恶意代码技术及恶意代码检测技术原理与实现

总结一下，各扫描技术特点如下表：

恶意代码注入技术

• OpenProcess（打开进程）
• VirtualAllocEx（修改内存空间状态）
• WriteProcessMemory（写入内存至空间）
• LoadLibrary（加载动态链接库）
• CreateRemoteThread（远程创建线程）

1. 调用OpenProcess打开目标进程（得到目标进程句柄）
2. 调用VirtualAllocEx在目标进程中申请一块内存（用于写动态链接库）
3. 调用WriteProcessMemory将Dll路径写入远程内存空间内
4. 调用GetProcAddress获取 LoadLibrary在Kernel32中的地址（方便后续远程调用LoadLibrary加载动态链接库）
5. 调用CreateRemoteThread创建一个远程线程，用于调用LoadLibrary加载动态链接库
6. 关闭目标句柄

#include <stdio.h>int main(){printf("Hallo World!n");          getchar();return 0;        }`      *代码中的getchar函数是防止程序输出字符串后直接退出，从而无法观察到实验现象而使用的。    第二步：新建一个项目（动态链接库项目），用以下代码实现简单弹窗：BOOL APIENTRY DllMain(HMODULE hModule,              DWORD  ul_reason_for_call,              LPVOID lpReserved              ){switch (ul_reason_for_call)              {case DLL_PROCESS_ATTACH:              {                  HANDLE hHandle = GetCurrentProcess();                  DWORD pressID = GetProcessId(hHandle);char temp[100] = { 0 };sprintf(temp, "I am Form pressID = %d", pressID);                       MessageBoxA(0, temp, "Success!", MB_OK);break;              }case DLL_THREAD_ATTACH:break;case DLL_THREAD_DETACH:break;case DLL_PROCESS_DETACH:break;              }return TRUE;          }    * DLL_PROCESS_ATTACH表示dll加载成功，case  DLL_PROCESS_ATTACH下的代码获取了当前进程PID并且通过 MessageBoxA弹出窗口。这可以更加方便我们理解注入技术。  第三步：再新建一个项目用于远程注入动态链接库，代码如下：#include <stdio.h>#include <Windows.h>int main(){printf("请输入进程ID：");      DWORD processID = 0;scanf("%d", &(DWORD)processID);char dllPath[MAX_PATH];memset(dllPath, 0x00, sizeof(dllPath));printf("请输入注入模块路径（绝对路径）：");scanf("%s", dllPath);      LPVOID pathSize = lstrlen(dllPath) + 1;      HANDLE hHandle = OpenProcess(PROCESS_ALL_ACCESS, FALSE, processID);if (hHandle == NULL)      {printf("远程进程打开失败！n");        getchar();return -1;      }      LPVOID NewMemoryAddress = VirtualAllocEx(hHandle, NULL, pathSize,                 MEM_COMMIT, PAGE_READWRITE);if (NewMemoryAddress == NULL)      {printf("远程进程空间创建失败！n");        getchar();return -1;      }      SIZE_T real_size = 0;if (WriteProcessMemory(hHandle, NewMemoryAddress, dllPath, pathSize, &real_size)           ==   FALSE)      {printf("远程进程空间写入失败！n");        getchar();return -1;      }printf("写入目标进程空间成功[写入 %zu 字节]n", real_size);      FARPROC LoadFun = GetProcAddress(GetModuleHandleA("kernel32.dll"),                 "LoadLibraryA");if (LoadFun == NULL)      {printf("获取LoadLibrary函数地址失败！n");        getchar();return -1;      }      HANDLE rHandle = CreateRemoteThread(hHandle, NULL, 0,                       (LPTHREAD_START_ROUTINE)LoadFun, NewMemoryAddress, 0, NULL);if (rHandle == NULL)      {printf("远程调用LoadLibrary注入失败！n");        getchar();return -1;      }      CloseHandle(hHandle);printf("注入成功！n");      getchar();return 0;    }    *其中 processID是目标进程的进程ID，而 dllPath是第二步中生成的Dll文件的路径（注意需要使用DLL的绝对路径）

1. 静态加密：对文件加密后得到一份加密文件，当需要使用时在手动使用解密算法对加密文件进行解密，解密后即可正常访问文件。
2. 动态加密：对文件进行动态加密，实时检测访问文件用户合法性，对于合法用户在访问文件时进行实时解密，在用户关闭文件时重新加密，无需手动解密加密文件，动态加密能够做到加解密全过程透明无感，所以动态加密技术也成为透明加密。

键盘记录技术

屏幕截取技术

屏幕截取技术同样是木马远控等程序常有的功能。通过截取目标机器屏幕，可以使远控端查看目标当前所处状态及操作。截取屏幕可以使GetDC来实现，GetDc可以进行绘图。

#include <stdio.h>#include <Windows.h>#include <atlimage.h>int PrintScreen(){    HWND hWnd;    HDC hdc;    HBITMAP bmp;    HGDIOBJ bmp_t;    HDC mdc;unsigned int width = 0;unsigned int hight = 0;    hWnd = GetDesktopWindow();    hdc = GetDC(hWnd);    mdc = CreateCompatibleDC(hdc);    width = GetSystemMetrics(SM_CXSCREEN);    hight = GetSystemMetrics(SM_CYSCREEN);    bmp = CreateCompatibleBitmap(hdc, width, hight);bmp_t = SelectObject(mdc, bmp);    BitBlt(mdc, NULL, NULL, width, hight, hdc, NULL, NULL, SRCCOPY);    CImage image;    image.Attach(bmp);    image.Save("ScreenPrint.jpg");return 0;  }int main(void){    PrintScreen();  }





恶意代码检测技术原理论述




MD5检测技术
MD5检测技术是指通过MD5算法对恶意文件生成一串长度固定，且唯一的MD5值，通过大量样本的计算，将多个恶意文件的MD5值保存至文件便成为了MD5病毒库，在检测一个新程序是否是恶意文件时我们只需要对这个文件用相同的MD5算法进行运算，得到的MD5值进入数据库内查询，如果匹配到了，那么我们可以判断，这一定是一个恶意文件。
MD5由于计算快速简便且不会发生误报的现象，大部分恶意代码检测引擎都有对文件MD5的检测。但由于MD5的唯一性，哪怕恶意文件中1个字节发生了改变，MD5也会随之发生改变。这样就出现了另一种优化的MD5检测方法，通过查找PE文件的.text节(即代码段)，对其进行MD5值运算，这样得出的MD5值相较先前更好一点。当然了，现在也有一种模糊哈希的计算方法，通过对恶意文件分片计算哈希值可以对比出两个文件的相似度。这种算法更适合对恶意文件进行检测。接下来我们通过一个图片加深对MD5检测技术的了解：


上图简单表明了一个基础的MD5检测病毒的示例，通过计算待测文件MD5与病毒库内保存的恶意文件MD5值比对，当MD5值A与MD5值B相同时则匹配到恶意文件，反之则为正常文件。
特征码检测技术
接下来我们来了解特征码检测技术，特征码检测技术是一种静态检测方式，特征码检测技术通过在二进制文件中查找指定的特征码（通常是十六进制）进行比对分析来判定程序是否存在威胁。


特征码（ Signature ）：特征码通常为十六进制码，特征码可以是二进制文件中特定的字符串(如熊猫烧香病毒中的“xboy”字符串，转换为十六进制特征码0x78 0x62 0x6f 0x79)，还可以是一段汇编指令或其他特征。特征码不再是简单的一对一（即一条特征码对应一个病毒）而可以做到一条特征码可以匹配多个病毒（即具有通杀性）。


特征码匹配 ：特征码匹配是特征码检测技术中的一部分，我们通常将特征码匹配的算法成为特征码扫描引擎。


特征码匹配技术有以下几种方式：
[1]基于特征码偏移量+特征码长度的匹配方式：这种匹配方式通过所得特征码位于恶意文件内的偏移地址加上特征码的长度进行定位匹配，这种方式的好处是扫描快，缺点是这种匹配方式通杀性较低，对于存在特征码但偏移地址不同的恶意文件无法扫描出正确结果。下图解释了该种特征码匹配技术扫描流程：


 [2]基于全文匹配的方式：该特征码匹配方式使用了全文匹配算法，通过KMP或AC自动机或BF暴力匹配等算法在整个待测文件的二进制码中匹配特征，只要成功匹配到，则可以判定该文件为恶意文件。下图解释了该种特征码扫描流程：


导入表分析技术(启发式扫描)

导入表分析技术，是启发式扫描的一个子目，也属于静态分析方法，通过对Windows下PE文件的函数导入导出表进行分析，可以为该程序威胁程度进行赋分，当分数达到一定阈值时可以判断该程序可能为恶意程序。导入表分析技术也依赖于一个函数库，这个库中记录不同API函数的敏感程度，并为该API函数赋分，在扫描程序时当匹配到该程序调用了库中记载的API函数时查找库中该函数对应的权重并累加到该文件的可疑总分中。该检测方式优点是可以检测未知的威胁文件；缺点是误报率较高。

下图简述了导入表分析技术的流程：


当然这只是一个最简单的方式，实际情况复杂的多，一般通过导入表组合排列或函数调用流程来做更精确的检测。
沙盒模拟技术
沙盒模拟技术，是一种动态分析方式，通过虚拟出未知文件的运行环境并在该虚拟环境中(与物理机隔离)运行该未知程序并实时监控该未知程序操作来判断该程序的威胁性。由于该虚拟环境与物理主机完全隔离，所以即使该程序存在威胁操作也不会影响到真实的物理主机。
【


原文始发于微信公众号（FreeBuf）：恶意代码技术及恶意代码检测技术原理与实现