频道栏目
首页 > 安全 > 系统安全 > 正文

Loadlibrary:将Windows的动态链接库移植到Linux下

2017-08-10 09:40:55      个评论      
收藏   我要投稿

Loadlibrary在干什么?

loadlibrar运行在linux上,它可以调用windows上dll文件中的函数,实现windows下的程序在linux上运行。目前我们介绍的这部分实现的是对windows Denfender反病毒组件中的mpengine.dll的移植,使得我们可以在linux上进行对文件进行检测以确定文件是否携带病毒。

loadlibrary有什么意义?

简单来说,它的意义就是在linux上更加容易进行fuzz测试,耗费更少的资源、时间以及能够更加方便地进行fuzz测试。windows上的安全产品使用了非常复杂的组件,这些组件往往会跨内核跨用户空间进行互联,如果我们要对他们进行测试,将要调用到整个虚拟化windows环境。举个例子,我们可以使用afl-fuzz在linux上对该程序其进行测试,并能够方便地得到相关数据,但在windows下想要实现这一目的就会非常麻烦。

Windows Defender

从原理上来说,我们现在的loadlibrary所做的事与windows Defender是相同的,这是因为我们将要导入的组件就是Windows Defender恶意软件保护服务中的核心组件–mpengine.dll

准备

由于该dll文件是32位dll文件,你的linux系统上需要安装一些依赖包来在64位机器上来解析它。(非常重要)

\

我们需要的32位的反恶意软件文件下载链接:

mpengine

原作者说下载下来的名字叫mpam-fe.exe,但是我在ubuntu上下载下来并不叫这个名字而是一个.com文件。不过这个无所谓,我们只要利用cabextract命令提取就可以了。注意下载下来的文件要放在engine目录下再执行cabextract命令。

$ cabextract mpam-fe.exe

Extracting cabinet: mpam-fe.exe

extracting MPSigStub.exe

extracting mpavdlta.vdm

extracting mpasdlta.vdm

extracting mpavbase.vdm

extracting mpasbase.vdm

extracting mpengine.dll

All done, no errors.

查看版本

在engine目录下输入如下指令可以查看当前dll文件的版本。

$ exiftool mpengine.dll | grep 'Product Version Number'

Product Version Number : 1.1.13701.0

运行

先在loadlibrary目录下输入make构建可执行程序。

$make

完成之后得到一个可执行程序mpclient。该程序就是工具的入口。我们构建一个文件,用vi打开,输入欧洲计算机防病毒协会开发的病毒代码,保存为a.exe。将文件作为参数传给程序就可以进行验证。

X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*

这段代码只是为了验证反病毒软件的功能,本身没有任何危害。

# ./mpclient a.exe

main(): Scanning a.exe...

EngineScanCallback(): Scanning input

EngineScanCallback(): Threat Virus:DOS/EICAR_Test_File identified.

除此之外,类似的工具还有mpstreamfuzz和mpscript。

覆盖

在该项目中存在一个目录:coverage。这个目录包含了一个基本的pintool工具以收集覆盖数据,并且也包含了工具和脚本以便于去处理这些数据。这些工具可以支持语料库蒸馏与反语料库审查。

在最简单的操作模块中,这个工具提供了从dll文件中价值的可执行基本块的列表。

但是经过一些简单的处理我们就可以生成带注解的IDB文件或生成一个已蒸馏的语料库来进行fuzz测试。

\

下载pintool并将其解压在coverage目录下:

https://software.intel.com/en-us/articles/pintool-downloads

$ tar -zxvf pin-3.2-81205-gcc-linux.tar.gz

$ make

如果你想进行语料库蒸馏,那么执行如下命令。(需要glib-2.0的支持)

$ make coverage_parse_min

运行

执行如下命令,将会显示执行信息。

$ ./coverage/pin -t coverage/deepcover.so -- ./mpclient a.exe

main(): Scanning a.exe

EngineScanCallback(): Scanning input

EngineScanCallback(): Threat Virus:DOS/EICAR_Test_File identified.

----- COVERAGE ANALYSIS -----

58590 Unique Instructions Executed

10271 Unique Basic Blocks Executed

3193230 Total Instructions Executed

590362 Total Basic Blocks Executed

Hottest Basic Block (0x00000000003918e7)

11731 Executes

3 Instructions

\

这个报告默认名称为coverage.txt,你可以重写它的名称通过设置环境变量COVERAGE_REPORT_FILE

如果你有很多的输入文件,你可以把它们放在一个目录下,利用xarg:

$ ls samples

sample1.exe

sample2.exe

sample3.zip

...

$ find samples -type f | xargs -t -I{} -P8 -n1 env COVERAGE_REPORT_FILE={}.txt ./coverage/pin -t coverage/deepcover.so -- ./mpclient {}

-P参数用来标识你能够并行处理的进程数量。把它设置成你的内核支持的数目。

语义库蒸馏:

$ find samples -type f | xargs -t -I{} -P8 -n1 env COVERAGE_REPORT_FILE={}.txt ./coverage/pin -t coverage/deepcover.so -- ./mpclient {}

构建coverage_parse_min工具

$ make -C coverage coverage_parse_min

你可以用如下命令找到蒸馏过的语义库

$ grep -H ^ samples/*.txt | awk -F: '{print $2FS$1}' | ./coverage_parse_min | cut -d: -f2 | sort -u

反语义库审查

经验告诉我们,我们的fuzz测试的覆盖率是不够高的。这个工作能够帮助我们构建出已经覆盖的数据,并标识出来我们没有覆盖到的部分。

如下的脚本可以简单地产生带注解的idb文件,处理你上述产生的覆盖报告。

$ grep -H ^ *.txt | awk -F: '{print $2FS$1}' | ./coverage_parse_min | sed -e 's#:.*/#:#g' -e 's/.txt$//' > minimal.txt

$ bash genidc.sh minimal.txt > coverage.idc

之后,你可以在IDA中加载产生的coverage.idc文件通过File->Script File....

注意事项

只有当你调用了InstrumentationCallback().这个pintool工具才会开始收集覆盖数据。

你可以通过把你不希望加载的块放置在blacklist.h上来把他们加入黑名单。

调试

如果这个程序出现了崩溃需要进行调试,你可以按照如下步骤:

首先需要安装好gdb的环境。

然后,你需要用mpengine.dll生成一个.map文件。这个操作可以在Linux上进行也可以在window下进行。mpengine.dll在之前的步骤中已经生成的engine文件夹下。

linux执行如下命令:

> idaw -A -P+ -S"createmap.idc mpengine.map"mpengine.dll

windows执行如下步骤:

\

选择mpengine.dll,一路yes点过去。

\

产生一个map文件。

将该文件放在你的linux上,进行处理。在控制台输入如下命令使得文件可以在Linux上被识别:

$ dos2unix mpengine.map

使用gdb进行调试:

$ gdb -q ./mpclient

(gdb) r a.exe

添加符号文件:

(gdb) add-symbol-file engine/mpengine.dll 0xf6af4008+0x1000

add symbol table from file "engine/mpengine.dll"at

.text_addr=0xf6af5008

Reading symbols from engine/mpengine.dll...done.

(gdb) shell bash genmapsym.sh 0xf6af4008+0x1000 symbols_19009.o 0

add symbol table from file "symbols_19009.o" at

.text_addr = 0x0

Reading symbols from symbols_19009.o...done.

(gdb) p as3_parsemetadata_swf_vars_t

$1 = {void (void)} 0xf6feb842

(gdb) c

如果你想要在gdb中使用硬件断点的话,你可以使用hb或hbreak命令来代替原本的break命令

(gdb) b as3_parsemethodinfo_swf_vars_t

Breakpoint 1 at 0xf6feb8da

(gdb) c

Continuing.

main(): Scanning test/input.swf...

EngineScanCallback(): Scanning input

Breakpoint 1, 0xf6feb8da in as3_parsemethodinfo_swf_vars_t()

(gdb) bt

#0 0xf6feb8da inas3_parsemethodinfo_swf_vars_t ()

#1 0xf6dbad7f inSwfScanFunc ()

#2 0xf6d73ec3 inUfsScannerWrapper__ScanFile_scanresult_t ()

#3 0xf6d6c9e3 inUfsClientRequest__fscan_SCAN_REPLY ()

#4 0xf6d6a818 inUfsNode__ScanLoopHelper_wchar_t ()

#5 0xf6d6a626 inUfsNode__Analyze_UfsAnalyzeSetup ()

#6 0xf6d71f7f inUfsClientRequest__AnalyzeLeaf_wchar_t ()

#7 0xf6d71bb9 inUfsClientRequest__AnalyzePath_wchar_t ()

#8 0xf6dbbd88 instd___String_alloc_std___String_base_types_char_std__allocator_char______Myptr_void_()

#9 0xf6d75e72 inUfsCmdBase__ExecuteCmd__lambda_c80a88e180c1f4524a759d69aa15f87e____lambda_c80a88e180c1f4524a759d69aa15f87e__()

Backtrace stopped: previous frame inner to this frame(corrupt stack?)

(gdb) x/3i $pc

=> 0xf6feb8da 7>: lea ebx,[edx+0x1c]

0xf6feb8dd10>: push esi

0xf6feb8de11>: mov edx,ebx

上一篇:披着羊皮的狼:攻击者如何利用漏洞以特定图标伪装可执行文件
下一篇:域渗透TIPS:获取LAPS管理员密码
相关文章
图文推荐

关于我们 | 联系我们 | 广告服务 | 投资合作 | 版权申明 | 在线帮助 | 网站地图 | 作品发布 | Vip技术培训 | 举报中心

版权所有: 红黑联盟--致力于做实用的IT技术学习网站