-
-
[原创]迅雷在win10x64上的services进程注入
-
发表于: 2019-3-26 11:07
-
这几天分析了一下迅雷在win10x64的上开机启动阶段的services进程注入方法。
注入流程在驱动模块XLGuard.sys中，它会在System阶段启动，一开始，注入流程很正常:
(1)创建模块加载回调
(2)在进程名为services.exe并且模块名为ntdll.dll时构建一段shellcode
(3)在ntdll!LdrLoadDll处写入一个内联hook
(4)内联hook会跳转到shellcode处执行，但这段shellcode的执行流程很简单，就只是调用了LdrLoadDll加载一下迅雷注入services进程的dll，其他什么都没有做。
注入流程在驱动模块XLGuard.sys中，它会在System阶段启动，一开始，注入流程很正常:
(1)创建模块加载回调
(2)在进程名为services.exe并且模块名为ntdll.dll时构建一段shellcode
(3)在ntdll!LdrLoadDll处写入一个内联hook
(4)内联hook会跳转到shellcode处执行，但这段shellcode的执行流程很简单，就只是调用了LdrLoadDll加载一下迅雷注入services进程的dll，其他什么都没有做。
那么问题就来了，win10x64上会对services进程加载的dll进行签名校验，直接调用LdrLoadDll一定会失败，那它的dll是如何躲过签名校验的？后来我发现这么一段代码:
它利用了EPROCESS中SectionSignatureLevel可以控制是否对dll进行签名校验，将它修改为0就可以躲过签名校验。
[峰会]看雪.第八届安全开发者峰会10月23日上海龙之梦大酒店举办！
|
|
|---|---|
|
|
|
|
|
|
|
|
可他就是这么做的呀...... |
|
|
|
|
|
|
|
|
请问你说的是什么Protection? |
|
|
|
|
|
好吧，你说的是另一个问题，Protection成员修改了会触发PG，那SectionSignatureLevel应该也会触发才对 |
|
|
|
|
|
|
|
|
DisableDynamicCode 啥玩意 |
|
|
那他为什么会这样做？ |
|
|
|
|
|
所以这个标志位，PatchGuard到底检不检查......我也怀疑了 |
|
|
|
|
|
可能是仅针对于services等系统进程的检查，不是每个进程都可以这么搞 |
|
|
这个东西可以限制申请内存 |
|
|
|
|
|
|
Justgoon
xiaofuy
昵称好麻烦
