本机函数和汇编代码调用
2022-10-3 12:0:0 Author: www.4hou.com(查看原文) 阅读量:22 收藏

微信截图_20220928141315.png

对于逆向工程师来说,直接从分析的二进制代码中调用函数的能力是一种捷径,可以省去很多麻烦。虽然在某些情况下,理解函数逻辑并在高级语言中重新实现它是可能的,但这并不总是可行的,而且原始函数的逻辑越脆弱和复杂,这种方法就越不可行。在处理自定义哈希和加密时,这是一个特别棘手的问题,如果计算中的某个地方出现一个错误,就会导致最终输出完全不同,而且调试起来非常麻烦。

我们将在本文中,介绍3 种实现此“捷径”的不同方法,并直接从汇编中调用函数。我们首先介绍IDA Pro原生支持的IDA Appcall功能,可以直接通过idpython使用。然后我们演示如何使用Dumpulator实现同样的行为,最后,我们将展示如何使用Unicorn Engine模拟得到该结果。本文中使用的实际示例基于MiniDuke恶意软件示例实现的“经过调整的”SHA1哈希算法。

MiniDuke 实现的改进的 SHA1 Hashing 算法

MiniDuke示例中经过修改的SHA1算法用于为恶意软件配置创建每个系统的加密密钥。要哈希的缓冲区包含与所有接口描述的 DWORD 连接的当前计算机名称,例如 'DESKTOP-ROAC4IJ\x00MicrWAN WAN MicrWAN MicrWAN InteWAN InteWAN Inte'。此函数 (SHA1Hash) 在初始摘要和中间阶段使用与原始 SHA1 相同的常量,但产生不同的输出。

1.webp.jpg

MiniDuke SHA1Hash 函数常量

由于在原始和修改后的 SHA1 中使用的常量都相同,因此差异必须出现在函数的 1241 条汇编指令中。我们不能说这种调整是否是故意引入的,但事实仍然是恶意软件开发者越来越喜欢插入这样的“惊喜”,而处理它们的责任就落在了分析师身上。为此,我们必须首先了解函数期望其输入并产生其输出的形式。

事实证明,Duke-SHA1汇编使用自定义调用约定,其中要哈希的缓冲区长度在ecx寄存器中传递,而缓冲区本身的地址在edi中传递。从技术上讲,在 eax 中也传递了一个值,但是每当可执行文件调用该函数时,该值都是相同的 0xffffffff,因此我们可以将其视为常量。有趣的是,恶意软件还在每次调用该函数时将缓冲区长度(ecx)设置为0x40,仅对缓冲区的前 0x40 个字节进行有效地哈希处理。

2.webp.jpg

SHA1Hash 函数参数

由此产生的160位SHA1哈希值在寄存器中以5个dword的形式返回(从高到低: eax, edx, ebx, ecx, esi)。例如,缓冲DESKTOP-ROAC4IJ\x00MicrWAN WAN MicrWAN MicrWAN InteWAN InteWAN Inte的Duke-SHA1值为1851fff77f0957d1d690a32f31df2c32a1a84af7,返回为EAX:0x1851fff7 EDX:0x7f0957d1 EBX:0xd690a32f ECX:0x31df2c32 ESI:0xa1a84af7。

3.webp.jpg

生成的SHA1缓冲区哈希示例

如上所述,查找SHA1和Duke-SHA1的逻辑发生分歧的确切位置,然后在Python中重新实现Duke-SHA1,不过这个方法非常浪费时间。接下来,我们将使用几种方法来“插入”函数的调用约定并直接调用它。

IDA–Appcall

Appcall是IDA Pro的一个功能,它允许IDA Python脚本在调试程序中调用函数,就像它们是内置函数一样。这是非常方便的,但它也不是通用的,即当用例变得有些不寻常或复杂时,应用难度会急剧上升。虽然在 ecx 中传递缓冲区长度和在 edi 中传递缓冲区是正常的,但在5个寄存器中分割160位的返回值并不是典型的函数输出形式,Appcall 需要一些创意来解决这个问题。

接下来,我们创建了一个自定义结构struc_SHA1HASH,它保存了5个寄存器的值,并用作函数原型的返回类型:

4.png

IDA 结构窗口——“struc_SHA1HASH”

现在有了结构定义, Appcall 就可以与这个函数原型交互,如下面的 PROTO 值所示。

5.png

由于IDA Appcall依赖于调试器,为了调用这个逻辑,我们首先需要编写一个脚本来启动调试器,对堆栈进行必要的调整,并执行其他必要的管理工作。

6.png

IDA视图——堆栈调整

使用Appcall是最后一步,有几种方法可以利用它来调用函数。我们可以在不指定原型的情况下直接调用函数,但这高度依赖于 IDA 的 IDB 中正确类型的函数。第二种方法是根据函数名和定义的原型创建一个可调用对象。通过这种方式,我们可以调用带有特定原型的函数,无论在IDB中设置了什么类型,如下所示:

7.png

使用 Appcall 调用 Duke-SHA1 的完整脚本如下所示。

8.png

还有一些示例输出:

9.webp.jpg

脚本执行——“IDA Appcall”产生与 MiniDuke 样本相同的 SHA1 哈希值

如果我们只是想将被调用的函数用作黑盒,那么上面的方法是可以的,但有时我们可能希望在执行的特定状态下访问注册表值,并且像上面那样指定原型是一件繁琐的事情。令人高兴的是,这两个缺点都可以被优化。

由于 IDA Appcall 依赖于调试器并且可以直接从 IDAPython 调用,因此我们可以从调试器调用 Appcall 并对其执行进行更精细的控制。例如,我们可以通过为 Appcall 设置一个特殊选项——APPCALL_MANUAL 来让 Appcall 在执行过程中将控制权交还给调试器。

10.png

通过这种方式,我们可以使用Appcall来准备参数,分配一个缓冲区,然后恢复之前的执行上下文。我们也可以避免为返回值指定结构类型(将其输入为void),因为这将由调试器处理。有更多的方法来获取函数的返回值,因此当控制调试器,就可以使用条件断点在特定的执行状态(例如在返回时)打印所需的值。

11.png

我们可以通过调用cleanup_appcall()在任何需要的执行时刻恢复之前的状态(在 Appcall 调用之前)。在我们的例子中,正好在遇到条件断点之后。

12.png

完整的脚本如下:

13.png

Dumpulator

Dumpulator是一个python库,它帮助在minidump文件中进行代码模拟。dumator的核心模拟引擎基于Unicorn engine,但在同类工具中有一个比较独特的特点,那就是可以获得整个过程的内存。这带来了性能改进(在不离开 Unicorn 的情况下模拟大部分已分析的二进制文件),如果我们可以在调用函数所需的程序上下文(堆栈等)已经就位的时候计算内存转储的时间,那么就更方便了。此外,只有模拟系统调用才能提供真实的Windows环境(因为实际上一切都是合法的进程环境)。

可以使用许多工具(x64dbg - MiniDumpPlugin, process Explorer, process Hacker, Task Manager)或Windows API (MiniDumpWriteDump)捕获所需进程的一个minidump。我们可以使用x64dbg - MiniDumpPlugin在几乎所有进程都已经设置为SHA1哈希创建的状态下创建一个minidump,就在SHA1Hash函数调用之前。注意,没有必要以这种方式对转储进行计时,因为在进行转储后,可以在转储器中手动设置环境,这只是为了方便而已。

14.webp.jpg

使用“x64dbg - MiniDumpPlugin”创建minidump

Dumpulator不仅可以访问整个转储的进程内存,还可以分配额外的内存、读取内存、写入内存、读取注册表值和写入注册表值。换句话说,模拟器可以做的任何事情。也有可能实现系统调用,因此可以模拟使用它们的代码。

要通过Dumpulator调用Duke-SHA1,我们需要指定将在minidump中调用的函数的地址及其参数。在本例中,SHA1Hash的地址为0x407108。

15.webp.jpg

在 IDA 中打开生成的minidump

因为我们不希望在minidump的当前状态中使用已经设置的值,所以我们为函数定义自己的参数值。我们甚至可以分配一个新的缓冲区,用作哈希的缓冲区。完成此任务的代码如下所示。

16.png

执行此脚本将生成正确的Duke-SHA1值

17.webp.jpg

脚本执行——“Dumpulator”产生与 MiniDuke 样本相同的 SHA1 哈希值

Emulation–Unicorn Engine

对于模拟方法,我们可以使用任何类型的CPU模拟器(例如Qiling、Speakeasy等),它们能够模拟x86汇编,并具有针对Python语言的绑定。因为我们不需要任何更高的抽象级别(系统调用,API函数),我们可以使用其他大多数引擎的基础设施——Unicorn Engine。

Unicorn是一个轻量级、多平台、多体系结构的CPU模拟器框架,基于QEMU,它是用纯C语言实现的,并绑定了许多其他语言。我们将使用Python绑定。我们的目标是创建一个独立的函数SHA1Hash,它可以像Python中的任何其他普通函数一样被调用,产生与MiniDuke中原始函数相同的SHA1哈希。我们使用的实现背后的想法非常简单——我们只需提取函数的操作码字节并通过 CPU 模拟使用它们。

提取原始函数操作码的所有字节可以简单地通过idpython或使用IDA→Edit→Export Data来完成。

18.png

使用IDA“Export data”对话框导出SHA1Hash函数的操作码字节

与前面的方法一样,我们需要设置执行上下文。在本文示例中,这意味着为函数准备参数,并为提取的操作码和输入缓冲区设置地址。

19.png

请注意,应从提取的操作码列表中删除最后一条 retn 指令,以免将执行转移回堆栈上的返回地址,并且应通过指定 ebp 和 esp 的值手动设置堆栈帧。所有这些都显示在下面的最终 Python 脚本中。

20.png

脚本输出如下所示:

21.png

脚本执行——“Unicorn Engine”产生与MiniDuke示例相同的SHA1哈希值

总结

上述所有直接调用汇编的方法都各有优缺点。给我们留下特别深刻印象的是简易的Dumpulator,它是免费的,执行起来很快,而且非常有效。它非常适合编写通用字符串解密器、配置提取器和其他上下文,在这些上下文中,必须依次调用许多不同的逻辑片段,同时保留难以设置的上下文。

当我们希望直接使用调用特定函数产生的结果来丰富IDA数据库时,IDA Appcall功能是最好的解决方案之一。系统调用可以是Appcall在实际执行环境中使用的函数的一部分——使用调试器。Appcall最大的优点之一就是快速而简单的上下文恢复。由于Appcall依赖调试器,可以与idpython脚本一起使用,理论上它甚至可以作为模糊器的基础,向函数提供随机输入以发现意外行为(即错误),但这种方法的消耗太大。

通过 Unicorn Engine 使用纯仿真是独立实现特定功能的通用解决方案。使用这种方法,可以按原样获取部分代码并在不连接到原始示例的情况下使用它。此方法不依赖于可运行的示例,并且仅适用于部分代码重新实现功能。对于不是连续的、易于转储的代码块的函数,这种方法可能更难实现。对于发生 API 或系统调用的部分代码,或者难以设置执行上下文的代码,前面提到的方法通常是更好的选择。

本文翻译自:https://research.checkpoint.com/2022/native-function-and-assembly-code-invocation/如若转载,请注明原文地址


文章来源: https://www.4hou.com/posts/ZXRv
如有侵权请联系:admin#unsafe.sh