-
-
[原创]GO恶意样本分析
-
发表于: 2020-12-2 11:32
-
Go 语言是一个比较新的强类型静态语言，2009 年由 Google 发布，在 2012 年才发布首个稳定版。Go 语言靠 Goroutine 和 channel、wait group、select、context 以及 sync 等辅助机制实现的 CSP 并发模型，以简洁高效编写高并发程序为亮点，很快就在全球范围内吸引大量开发者使用其编写各种程序。现在 Go 已成为云原生领域的首选开发语言。
由于 Go 语言上手快，编码效率高，程序运行效率也高，而且很方便跨平台交叉编译，也吸引了恶意软件开发者的注意。渐渐地，安全厂商开始捕获到越来越多的 Go 语言编写的恶意软件 ，这些恶意软件横跨 Windows、Linux 和 Mac 三大平台，并且多个APT组织开始使用go语言构建他们的武器库，并且用于实际的攻击活动中，因此可以预见在不久的将来，会有越来愈多的go语言的恶意程序出现。
在本文中，整理了作为一个样本分析人员该关注的go语言的一些基础知识，有错误的地方，烦请指正。
在go语言的编译过程中，会全静态链接构建二进制文件，把标准库函数和第三方package 全部做了静态编译，在加上go语言还包含runtime代码和gc代码，即使做strip操作，(go build -ldflags="-s -w")生成的二进制文件的体积依然很大，在使用IDA打开go二进制文件时，会发现有几千个函数。
使用如下的代码编译一个简单的go二进制程序。
go build 产生的二进制文件的函数如下图
当我们使用go build -ldflags="-s"去除符号时，函数如下图，可以看到很多函数都已经识别不了。
在go语言中，interface是一个非常重要的抽象数据类型，用与描述go语言中的其他具体的数据类型，如int，string。根据有无方法绑定，可以分为eface和iface。
在go语言中，基础的数据类型，如果没有绑定Method的情况下，在使用时，会将其转化为eface，具体的转化函数runtime_convT2E*。
eface的结构
runtime_convT2Estring
当一个类型绑定了Method的时候,并且存在data数据时，使用iface 进行表示。在没有data 的情况下，会利用runtime_itablink数组中保存保存的itab指针进行访问。
使用如下的代码进行验证
当执行var t MyInterface = 这句代码时，可以看到在汇编代码中调用runtime_convT2I，生成iface。
go语言的程序的具体启动流程的分析可以学习《Go语言程序初始化过程》，在分析恶意go语言的恶意样本时需要关注go语言的启动过程的点是在main.main()执行之前，可以人为实现的函数main.init()，init主要实现一些包级别的初始化的操作。所以一般在分析go恶意程序的时候，也需要关注一下mian.init()函数。
go语言在1.3版本之后，开始使用连续栈，其基本的思路是，在函数入口出进行栈溢出检查，当栈顶的地址小于stackguard时，则会调用runtime.morestack分配新的栈，并将原来栈的数据拷贝到新的栈然后继续执行。
这在逆向分析过程中，尤其是在动态分析时，可能的一种场景是，当我们不关注函数具体细节时，就会直接步过函数，然后在函数调用前后观察参数和返回值的内存数据，如果分配新的栈之后，关注的数据的内存地址也会发生改变。
使用如下的代码来进行验证(直接复制了《解密Go协程的栈内存管理》代码)
当我们在分析是应该关注一个函数在调用前后rsp(esp)是否发生变化来判断是否被分配了新的栈。如果分配了新的栈，需要重新定位内存数据。如下图为调用main_a函数前后rsp的变化情况。
go语言的函数参数和返回值都是通过栈来传递的，并且是支持多值返回的，我们来看下go语言的参数传递的实现以及在逆向go语言二进制程序时应该要注意的问题。
我们使用如下的代码进行分析
在build时禁止优化
此时的栈的数据分布如下图所示。所以不管时多值返回返回还是单值返回，调用函数都会为返回值预留栈空间以保存返回值。
在函数内部，IDA会统一将参数和返回值都识别成函数参数。在一般情况下，会在函数快结束位置对返回值进行赋值操作，以此来鉴别参数和返回值。
remnux@remnux:~/go$ go version
go version go1.10.4 linux/amd64
remnux@remnux:~/go$ go version
go version go1.10.4 linux/amd64
//helloworld.go
package mainimport "fmt"
func main() { fmt.Printf("Καλημέρα κόσμε; or こんにちは 世界\n")
}//helloworld.go
package mainimport "fmt"
func main() { fmt.Printf("Καλημέρα κόσμε; or こんにちは 世界\n")
}type eface struct {
_type *_type //_type指针
data unsafe.Pointer //数据
}type _type struct {
size uintptr
ptrdata uintptr // size of memory prefix holding all pointers
hash uint32
tflag tflag
align uint8
fieldAlign uint8
kind uint8
// function for comparing objects of this type
// (ptr to object A, ptr to object B) -> ==?
equal func(unsafe.Pointer, unsafe.Pointer) bool
// gcdata stores the GC type data for the garbage collector.
// If the KindGCProg bit is set in kind, gcdata is a GC program.
// Otherwise it is a ptrmask bitmap. See mbitmap.go for details.
gcdata *byte
str nameOff
ptrToThis typeOff
}type eface struct {
_type *_type //_type指针
data unsafe.Pointer //数据
}type _type struct {
size uintptr
ptrdata uintptr // size of memory prefix holding all pointers
hash uint32
tflag tflag
align uint8
fieldAlign uint8
kind uint8
// function for comparing objects of this type
// (ptr to object A, ptr to object B) -> ==?
equal func(unsafe.Pointer, unsafe.Pointer) bool
// gcdata stores the GC type data for the garbage collector.
// If the KindGCProg bit is set in kind, gcdata is a GC program.
// Otherwise it is a ptrmask bitmap. See mbitmap.go for details.
gcdata *byte
str nameOff
ptrToThis typeOff
}package mainimport (
"fmt"
)type MyInterface interface {
Print()
}type MyStruct struct{
bookid int
}func (ms MyStruct) Print() {}
func main() { x := 1
var y interface{} = x
var s MyStruct
s.bookid = 0x1000
var t MyInterface = s
fmt.Println(y, t)
}package mainimport (
"fmt"
)type MyInterface interface {
Print()
}type MyStruct struct{
bookid int
}func (ms MyStruct) Print() {}
func main() { x := 1
var y interface{} = x
[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
