AnglerEK的Flash样本解密方法初探

在ActionScript3中代码调用的相关函数名称和类名，均以字符串形式存储在doabc字段中，所以为了规避针对调用函数名和类名的检测，AnglerEK采用了getDefinitionByName函数，根据传入的字符串参数转换为调用对应的函数或者类，然后在将这些字符串进行切分，躲避过了简单的特征字符串检测，这也是很多其他EK攻击包所常用的方法。

这种方法进一步进行混淆的话，就可以将这些字符串采用拼接、正则替换的手法，例如样本c288ccd842e28d3845813703b9db96a4中，使用了如下的方法，基本可以完美的躲避字符串特征检测。

此外，ActionScript和JavaScript同样基于ECMAScript，因此很多JavaScript的混淆方法同样适用于ActionScript，例如下标运算符同样能够用于访问对象的成员，这时可以参照JavaScript常见混淆方法来进行代码还原。

在样本eeb243bb918464dedc29a6a36a25a638中，摘录了部分采用下标运算来访问对象成员的代码

除了字符串及调用函数名以外，还有一大块比较重要的特征是ShellCode。ActionScript中ShellCode经常是存放在数组、Vector中，或者使用连续的pushInt、pushByte等代码构造，这些大段连续的代码，也是非常明显的特征，并且大多数情况下都不会有大幅度的改变。为了加密掉这些特征，通常会采取类似PE的加密壳的方法，使用一个外层的Flash解密并加载实际的带有漏洞利用功能的Flash文件。这样外壳Flash的功能非常简单，没有明显的特征，每次只需要对外壳Flash进行简单的特征修改，就能够躲避特征查杀。

vree = getDefinitionByName("flash.utils.ByteArray") as Class;
weruji = "length";
var _loc2_:* = new vree();
wxwrtu = "writeByte";
while(_loc7_ < _loc4_[weruji])
{
    _loc2[wxwrtu](_loc4_[_loc7_]);
    _loc7_++;
}

1.Base64解码

主要是将字符串转换成二进制数据，代码中的wigr方法就是Base64解码函数的具体实现。这也是非常常用的方法，如果看到类似图2中的this.eruuf字符串，则基本可以认为使用了Base64编码方法。

2.进行简单的解密运算，获得其实际的Flash。

其具体的解密是使用RC4对称加密算法。解密代码包含两个256次的循环，第一个while循环将是S盒初始化，第二个while循环是根据解密密钥打乱S盒，看到这个代码就可以猜测是使用了RC4加密算法。解密的key则是图2中的this.jety。
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke

Anti-debugging Skills in APK
Author：超六、曲和
时间相关反调试
通过计算某部分代码的执行时间差来判断是否被调试，在Linux内核下可以通过time、gettimeofday，或者直接通过sys call来获取当前时间。另外，还可以通过自定义SIGALRM信号来判断程序运行是否超时。

（1）/proc/pid/status、/proc/pid/task/pid/status

在调试状态下，Linux内核会向某些文件写入一些进程状态的信息，比如向/proc/pid/status或/proc/pid/task/pid/status文件的TracerPid字段写入调试进程的pid，在该文件的statue字段中写入t（tracing stop）

（2）/proc/pid/stat、/proc/pid/task/pid/stat

调试状态下/proc/pid/stat、/proc/pid/task/pid/stat文件中第二个字段是t（T）

（3）/proc/pid/wchan、/proc/pid/task/pid/wchan

若进程被调试，也会往/proc/pid/wchan、/proc/pid/task/pid/wchan文件中写入ptrace_stop。

检测端口号
使用IDA动态调试APK时，android_server默认监听23946端口，所以通过检测端口号可以起到一定的反调试作用。具体而言，可以通过检测/proc/net/tcp文件，或者直接system执行命令netstat -apn等。

检测android_server、gdb、gdbserver
在对APK进行动态调试时，可能会打开android_server、gdb、gdbserver等调试相关进程，一般情况下，这几个打开的进程名和文件名相同，所以可以通过运行状态下的进程名来检测这些调试相关进程。具体而言，可以通过打开/proc/pid/cmdline、/proc/pid/statue等文件来获取进程名。当然，这种检测方法非常容易绕过――直接修改android_server、gdb、gdbserver的名字即可。

signal
信号机制在apk调试攻防中有着非常重要的作用，大部分主流加固厂商都会通过信号机制来增加壳的强度。在反调试中最常见的要数SIGTRAP信号了，SIGTRAP原本是调试器设置断点时发出的信号，为了能更好的理解SIGTRAP信号反调试，先让我们看看一下调试器设置断点的原理：

和x86架构类似，arm架构下调试器设置断点先要完成两件事：

保存目标地址上的数据
将目标地址上头几个字节替换成arm/thumb下的breakpoint指令
Arm架构下各类指令集breakpoint机器码如下：

指令集 Breakpoint机器码（little endian）
Arm 0x01, 0x00, 0x9f, 0xef
Thumb 0x01, 0xde
Thumb2 0xf0, 0xf7, 0x00, 0xa0
调试器设置完断点之后程序继续运行，直至命中断点，触发breakpoint，这时程序向操作系统发送SIGTRAP信号。调试器收到SIGTRAP信号后，会继续完成以下几件事：

在目标地址上用原来的指令替换之前的breakpoint指令
回退被跟踪进程的当前pc值
当控制权回到原进程时，pc就恰好指向了断点所在位置，这就是调试器设置断点的基本原理。在知道上述原理之后，再让我们继续分析SIGTRAP反调试的细节，如果我们在程序中间插入一条breakpoint指令，而不做其他处理的话，操作系统会用原来的指令替换breakpoint指令，然而这个breakpoint是我们自定义插入的，该地址上并不存在原指令，所以操作系统就跳过这个步骤，进入下一步回退pc值，即breakpoint的前一条指令。这时就出现问题了，下一条指令还是breakpoint指令，这也就造成了无限循环。

char dynamic_ccode[] = {0x1f,0xb4, //push {r0-r4}
                        0x01,0xde, //breakpoint
                        0x1f,0xbc, //pop {r0-r4}
                        0xf7,0x46};//mov pc,lr

char *g_addr = 0;

void my_sigtrap(int sig){

    char change_bkp[] = {0x00,0x46}; //mov r0,r0
    memcpy(g_addr+2,change_bkp,2);
    __clear_cache((void*)g_addr,(void*)(g_addr+8)); // need to clear cache
    LOGI("chang bpk to nop\n");

}

void anti4(){//SIGTRAP

    int ret,size;
    char *addr,*tmpaddr;

    signal(SIGTRAP,my_sigtrap);

    addr = (char*)malloc(PAGESIZE*2);

    memset(addr,0,PAGESIZE*2);
    g_addr = (char *)(((int) addr + PAGESIZE-1) & ~(PAGESIZE-1));

    LOGI("addr: %p ,g_addr : %p\n",addr,g_addr);

    ret = mprotect(g_addr,PAGESIZE,PROT_READ|PROT_WRITE|PROT_EXEC);
    if(ret!=0)
    {
        LOGI("mprotect error\n");
        return ;
    }

在代码中主动触发breakpoint指令，然后在自定义SIGTRAP handle中将breakpoint替换成nop指令，于是程序可以正常执行完毕。

其中可使用r_debug-r_brk来触发异常，其原理即是用到了linker中一些调试特性。
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke

vtable 劫持的检测措施
在 2.24 版本的 glibc 中，全新加入了针对 IO_FILE_plus 的 vtable 劫持的检测措施，glibc 会在调用虚函数之前首先检查 vtable 地址的合法性。首先会验证 vtable 是否位于_IO_vtable 段中，如果满足条件就正常执行，否则会调用_IO_vtable_check 做进一步检查。

简单来说，如果 vtable 地址是非法的，那么会引发 abort。

原理分析
_IO_obstack_jumps
由上可知，vtable必须合法，我们观察以下vtable。

static int
_IO_obstack_overflow (_IO_FILE *fp, int c)
{
  struct obstack *obstack = ((struct _IO_obstack_file *) fp)->obstack;
  int size;
  /* Make room for another character.  This might as well allocate a
     new chunk a memory and moves the old contents over.  */
  assert (c != EOF);    //关注这里
  obstack_1grow (obstack, c);
  /* Setup the buffer pointers again.  */
  fp->_IO_write_base = obstack_base (obstack);
  fp->_IO_write_ptr = obstack_next_free (obstack);
  size = obstack_room (obstack);
  fp->_IO_write_end = fp->_IO_write_ptr + size;
  /* Now allocate the rest of the current chunk.  */
  obstack_blank_fast (obstack, size);
  return c;
}

可以看到，第二个参数要为0，才能正常执行该函数。而_IO_flush_all_lockp进行调用vtable时，rsi往往是0xffffffff

观察该函数，首先获得_IO_obstack_file结构体中的obstack结构体指针作为后面函数运行的参数。然后要绕过fp->_IO_write_ptr + n > fp->_IO_write_end，执行obstack_blank_fast(obstack, fp->_IO_write_ptr - fp->_IO_write_end);

可以看到，当_o->next_free + __len > __o->chunk_limit时，调用_obstack_newchunk，_obstack_newchunk函数源码

可以看到当((h)->use_extra_arg不为0时，调用(*(h)->chunkfun)((h)->extra_arg, (size))，而这也就是我们要利用的点。

/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke

域内用户Hash获取

在渗透测试的过程中，当我们已经是域管权限时，就可以实现提取所有域内用户的密码哈希以进行离线破解和分析，这是非常常见的一个操作，这些哈希值存储在域控制器(NTDS.DIT)中的数据库文件中，并带有一些其他信息，如用户名、散列值、组、GPP、OU等于活动目录相关的信息，它和SAM文件一样都是被操作系统锁定的，因此无法直接复制到其他位置以提取信息。NTDS.dit文件位于Windows以下位置

C:\Windows\NTDS\NTDS.dit

NTDS提取
NTDSUTIL
NTDSUTIL是一个命令行工具，它是域控制器生态系统的一部分，其目的是为了使管理员能够访问和管理Windows Active Directory数据库，但是，渗透测试人员和redteam可以用它来拍摄现有ntds.dit文件的快照，该文件可以复制到新位置以进行离线分析和密码哈希的提取

ntdsutil
activate instance ntds
ifm
create full C:\ntdsutil
quit
quit

之后在C:\ntdsutil中将生成两个新文件夹：Active Directory和Registry
TDS.DIT文件将保存在Active Directory中
SAM和SYSTEM文件将保存到Registry文件夹中
之后可以使用ntdsdump进行离线提取Hash:
ntdsdump.exe -f ntds.dit -s SYSTEM

ntdsdump.exe <-f ntds.dit> <-k HEX-SYS-KEY | -s system.hiv> [-o out.txt] [-h] [-t JOHN|LC] * -f ntds.dit路径 * -k 可选的十六进制格式的SYSKEY * -s 可选的system.hiv路径 * -h 导出历史密码记录 * -t 导出格式，LC或JOHN * -o 导出到指定文件中 *

vssadmin
vssadmin是WIndows Server 2008和Win 7提供的VSS管理工具，可用于创建和删除卷影拷贝、列出卷影拷贝的信息(只能管理系统Provider创建的卷影拷贝)、显示已安装的所有卷影拷贝写入程序等，在内网渗透测试过程中，我们也可以使用vssadminn来提取ntds.dit文件，流程如下：

Step 1：在域控制器中打开命令环境，输入如下命令，创建一个C盘的影卷拷贝：

vssadmin create shadow /for=c:
Step 2:将NTDS.dit和SYSTEM文件从创建的影卷中复制出来

copy \?\GLOBALROOT\Device\HarddiskVolumeShadowCopy1\windows\NTDS\ntds.dit c:\ntds.dit
copy \?\GLOBALROOT\Device\HarddiskVolumeShadowCopy1\Windows\System32\config\SYSTEM C:\SYSTEM

之后可以在C盘中看到成功复制ntds.dit文件

/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke

dump内存检测assembly内容
通过上面的操作我们可以发现一些入侵的痕迹了，但是有个问题，.NET自带的api没有dump assembly内容的操作。攻击者可以把assembly弄一个高度相似的名字来隐藏自己，所以只看名字可能很容易被绕过，那么怎么才能dump出来assembly对应的内容呢。

经过一番查找，我找到了这样一个工具：https://github.com/wwh1004/ExtremeDumper，这个工具本来是用来脱壳解混淆的，但是内置了一个dump module的功能，可以把对应.NET进程加载的assembly给dump出来。

以iis进程为例，首先选中iisexpress.exe，右键View Modules

然后点击Path排序，这样就可以把InMemory的给筛选出来了。

选中对应的module，右键Dump Selected Module，保存到本地，用dnspy打开即可看到其中的Payload了。

后面又简单看了下他的原理：因为.NET二进制格式是以 Windows PE格式为基础的，所以只需要扫内存中的PE头，然后把对应的内存抠出来就可以了。 这样就实现了检测assembly内容的操作。
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke