-
-
[原创]内核层隐藏inject so来规避maps扫描
-
发表于: 2021-10-14 14:41
-
声明
学习交流, 请勿用于非法用途
防护系统如何检测你
续接上文内核层偷天换日之hook openat进行文件重定向
我们在分析一些软件的时候. 防护系统通过扫描/proc/self/maps,发现一些异常的so, 那么就会进行上报. 我们有很多方式解决这种问题, 但是我还是希望能够了解内核层底层原理的同时, 能够非常方便的解决此问题.
mmap文件映射需要注意的点
关于mmap的原理这里就不做详细的阐述, 这里面主要关注下文件映射, addr并不是完全相等映射, 只是相近而已. 通过官方的文档可以了解到.
maps文件简单介绍
最后于 2021-10-14 14:43
被github_yhnu编辑
，原因：
赞赏记录
参与人
雪币
留言
时间
sinker_
非常支持你的观点！
2025-2-10 22:02
嫉妒的死远点
为你点赞！
2025-2-9 04:38
alienhe
为你点赞~
2021-12-24 17:08
jmpcall
为你点赞~
2021-10-22 13:40
蟑螂一号
为你点赞~
2021-10-15 10:36
leftlizhi
为你点赞~
2021-10-14 18:35
|
|
|---|---|
|
|
|
|
|
rom真不真好解决后面再分享. 可能还得考虑linker下面2组获取modules的数据, 针对这个问题能否详细阐述下. 没理解 |
|
|
|
|
|
|
|
|
好主意,我已经按照这种模式改了 |
|
|
学习了,一段匿名空间但是有可执行权限, 在防护系统看来是否很可疑? |
|
|
感觉还好吧，目前的风控sdk大多还是扫描so文件特征。
最后于 2021-10-18 10:29
被virjar编辑
，原因：
|
|
|
很可疑，某讯就会检测此类内存段 |
|
|
那么如何过内存段是可执行属性检测呢 如果代码需要长时间驻留在内存里执行的话 |
|
|
要是能操控cpu就好了 
|
|
|
用户层的话就是拦截io操作，重定向maps，smaps文件，隐藏map_files目录，实现难度较高。内核层的话隐藏对应vma即可，难度较低。
最后于 2021-10-18 12:58
被不吃早饭编辑
，原因：
|
|
|
|
|
|
重定向maps文件在很多情况导致各种闪退。不太好操作。fd反查可以拿到重定向的真实的路径 |
|
|
重定向包括对stat系列函数的hook，许多io相关的操作都需要，例如inotify_add_watch等，当然不只是open/openat。另外重定向只要处理完善并不会出现频繁的闪退，至少我这里没有遇到
最后于 2021-10-18 15:12
被不吃早饭编辑
，原因：
|
|
|
一般来讲io重定向的主要问题是内联syscall，这种情况下如果不做专门处理确实会产生逃逸，不过实际上也有解决方案 |
|
|
ptrace？还是扫描全部可执行区域？ 我测试普通的io重定向没有出现过闪退，但是只要对maps进行fd重定向，确实有一定概率闪退。可能真的没有处理完善吧 |
|
|
|
|
|
 欢迎添加更多功能互相学习
|
|
|
就是，先生成一个进程，再attach它，在检测它的tracerid，看有无自相矛盾 |
|
|
大佬，这种方法是什么意思呢？是直接删除有rwxp权限的那一行吗？如果直接去掉的话maps中的内存地址不连续了 |
|
|
简单用户态可以参考 CobaltStrike，不执行的时候修改内存块权限，唤醒的时候再改一遍，要么就按内核 rootkit做 hook 内核函数写一个 filter |
|
|
|
|
|
是的，检测inline hook特征的 |
|
|
|
RiDiN
