-
-
[原创] 震惊！一男子居然用杀软做出这种事情!
-
发表于: 2020-7-7 14:43
-
利用杀软对感染型病毒的清除过程中对文件名过滤的不严格实现任意目录写任意文件.(包括杀软目录, 但杀软目录下的文件无法覆盖)
最近搞polyransom.a. 这个感染型病毒会把目标文件整个包起来,然后执行时会释放, 而且它会保留原文件名信息.
之后我用各杀软清理了下被感染的文件,发现杀软会在当前目录下以原文件名创建恢复后的文件. 这时,我想到,如果保留的文件名中包含路径分隔符, 然后我再弄个目录符号链接(文件夹快捷方式应该也行), 岂不是可以利用杀软往任意目录下写任意文件了? 而且还是利用杀软的清除功能, 把内嵌的文件放到了我想要的位置!
那么,关键就在,杀软会不会对从感染体中获得的文件名信息进行检查. 经过试验发现, 不会,所以就有了这篇文章.
随意取一个能查杀的polyransom.a样本, 将路径信息更改成b\fuck.exe
原始文件名:
可以看到文件名为cuninst.exe, 后面紧跟着文件的PE数据. 此处是解密后的数据.
重跑程序,来到解密之前, 将数据填成解密之后的数据. 修改解密为加密流程, 得到新文件名的解密前数据:
od的显示有点bug, \fuck.exe前面的b也应该是被选中的. 得到的数据为:
利用010editor修改文件数据:
将修改完的文件跑下,看是否修改成功:
至此,样本构造完成.
首先, 根据杀软安装目录,创建目录符号链接:
然后把构造的样本放到C:下, 选择查杀样本.
果然, 成功了.
同理,测试,得到结果为:
同理,测试,得到结果为:
你在卡饭论坛上上传了一个这样的样本, 让大家帮你测测看能不能查杀, 于是....
只需在样本所在目录下用mklink /d b <targetdir>,然后用杀软扫描样本, 就可以将文件释放到targetdir中.
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
360就一狗屎，上次去学校后边的复印店用U盘打印了点东西，结果他们安着360还是未能查出来。 老牌Norton好，饭桶当自强。
最后于 2020-7-7 16:11
被ninebell编辑
，原因：
|
|
|
|
|
|
|
|
|
都行 |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
简单的办法就是你弄好自己的exe, 然后让polyransom.a感染你, 之后你把信息中的名字改了就行. 麻烦的办法就是找出被识别为polyransom的exe的构造方法. 这个变种具体解密方式不属于这帖子讨论的内容, 逆向自己看看就知道了. 理论上来说, 这个病毒有问题, 那么其他的满足以下条件的病毒可能都有问题: 1. 清除过程中会释放文件 2. 名字由被感染体中信息指定 |
|
|
其实就是这样的过程, 假设以下是杀软的清除代码: // szdir: 当前扫描目录 int fuckpolyransom(wchar_t* szdir)
{
//得到被感染文件的原始文件名
wchar_t* originalfilename = GetInfectedFileOriginalFileName(xxxx);
wchar_t* fulloriginalfilename = (wchar_t*)malloc(sizeof(wchar_t)*(32767));
//没有对originalfilename进行检查是否包含'\\','//', 导致了问题.
StringCbPrintfW(fulloriginalfilename,32767*sizeof(wchar_t),L"%s\\%s",szdir,originalfilename);
CreateFile(fulloriginalfilename,xxxx);
return 0
} |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
安全卫士会提示, 360杀毒不提示, 不过符号链接不是必须步骤. |
|
|
|
|
|
|
|
|
|
