iT邦幫忙

2021 iThome 鐵人賽
DAY 4
1
Security

打通任督二脈奇幻之旅 - 用 30 天探索 Windows 底層運作原理系列 第 4 篇

【Day 04】- 今天來把 Module 藏起來（基於 PEB 斷鏈，隱藏 DLL 的方法）

13th鐵人賽 資訊安全 security windows kernel security
3130 瀏覽

  • 分享至 

  • xImage
    •  

Agenda

  • 資安宣言
  • 測試環境與工具
  • 前情提要
  • 學習目標
  • 技術原理與程式碼
  • References
  • 下期預告

資安宣言

撰寫本系列文章目的在於提升資訊安全之實務能力，
並透過實作體悟到資訊安全領域的重要性，
本系列所有文章之內容皆有一定技術水平，
不得從事非法行為、惡意攻擊等非法活動，
「一切不合法規之行為皆受法律所約束」，
為了避免造成公司、廠商或玩家之間困擾，
所有實作不會拿已上市產品、Online Game 等等來作範例學習，
且部分具有深度、價值之內容，將會提升一定閱讀門檻(不對該技術做分析、解說)，
請勿透過本系列文章所學，從事任何非法活動，請不要以身試法！！！

測試環境與工具

前情提要

就在昨天（鐵人賽 Day 03）的時候有說到 Blackbone 的其中一個 DLL Injection 方法，
還沒看的人可以先去快速看一下：【Day 03】- 打針！打針！從 R0 注入的那件事！

在昨天的文章中，最後部分有提到兩個隱藏 Module 的方法，
而就在今天！就是這篇文章！將要來說說第一個隱藏技術：
PEB（Process Environment Block）斷鏈

另外：
明天，也就是鐵人賽 Day 05 將會介紹 PEB 斷鏈的缺點與找出隱藏 Module 的方法，
後天，也就是鐵人賽 Day 06 將會介紹其它更厲害、更難以偵測的隱藏 Module 方法！

最後：
這個 Module 系列就會在鐵人賽 Day 06 結束，
當然，隱藏 Module 的方法百百種，這幾天只簡單的講幾個例子～
鐵人賽 Day 07 將會進入 Process 偽裝、隱藏，甚至是 Rookit 常用的技術。

學習目標

  • 1.了解 PEB（Process Environment Block）
  • 2.完成 PEB 斷鏈，達到隱藏 DLL 效果

技術原理與程式碼

（在閱讀這篇文章之前，應該要確保目前腦袋是清晰的）

首先要先說一下，
小弟我目前還屬於菜鳥階段，正不斷努力學習中，
若有發現錯誤或不妥之處還請不吝賜教。
歡迎大家多多留言，互相交流交流。

那麼進入今天主題~~

第一個問題：
什麼是 PEB（Process Environment Block）？？？
/images/emoticon/emoticon12.gif

  • PEB（Process Environment Block）
    • Process_Environment_Block
    • 出現在 EProcess 中
    • 出現在 TEB（Thread Environment Block） 中
    • 儲存著 Process「執行中」的相關資訊
    • 包含 Module 資訊
    • 包含 Debug 資訊
    • 包含 Title 資訊
    • 包含 Path 資訊
    • Image Information
    • Heap Information
    • ... ... ...
    • ... ... ...

那這個 PEB 長什麼樣子？可以怎麼看？

  1. 使用 Administrator 權限打開 WinDbg
  2. 選 Kernel Debug...
    • （需要打開測試模式，依照提示的指示進行操作）
  3. 選 Local 按確定
    • （需要打開測試模式，依照提示的指示進行操作）
  4. 輸入 !process 0 0 notepad.exe 查看 notepad.exe 
    lkd> !process 0 0 notepad.exe
PROCESS ffff8f899b178080
    SessionId: 1  Cid: 0b2c    Peb: ecacd59000  ParentCid: 10b8
    DirBase: 984ad000  ObjectTable: ffffa685c250d6c0  HandleCount: 262.
    Image: notepad.exe
    • 其中 PROCESS 後面的 Address 是 EProcess Address
    • 繼續看就可以看到 Peb: ecacd59000
    • notepad.exe 的 Peb Address 就是 0xecacd59000
  5. 輸入 !peb ecacd59000 查看 notepad.exe 的 PEB
    • 有一大堆... 大家就自己看了...
  6. 輸入 dt _peb 查看 PEB 結構
    • 這邊要提醒一下，MSDN 上面寫的都不太完整 XD（所以要自己操作）
    • 結果大家可以自己看，太多了：
    lkd> dt _peb
ntdll!_PEB
   +0x000 InheritedAddressSpace : UChar
   +0x001 ReadImageFileExecOptions : UChar

    --- --- --- --- ---
    --- --- --- --- ---
    --- --- --- --- ---

   +0x010 ImageBaseAddress : Ptr64 Void
   +0x018 Ldr              : Ptr64 _PEB_LDR_DATA
   +0x020 ProcessParameters : Ptr64 _RTL_USER_PROCESS_PARAMETERS

    --- --- --- --- ---
    --- --- --- --- ---
    --- --- --- --- ---

    --- --- --- --- ---
    --- --- --- --- ---
    --- --- --- --- ---

   +0x3a0 WaitOnAddressHashTable : [128] Ptr64 Void
   +0x7a0 TelemetryCoverageHeader : Ptr64 Void
   +0x7a8 CloudFileFlags   : Uint4B

好了，到這邊基本上介紹完 PEB 是什麼了（？ XD 已經快速帶過

假設你/妳剛才有仔細看的話，會注意到：

lkd> !peb ecacd59000
PEB at 000000ecacd59000
    InheritedAddressSpace:    No
    ReadImageFileExecOptions: No
    BeingDebugged:            No
--->ImageBaseAddress:         00007ff67a610000
    NtGlobalFlag:             0
    NtGlobalFlag2:            0
--->Ldr                       00007ff9baa6f3a0
    Ldr.Initialized:          Yes
--->Ldr.InInitializationOrderModuleList: 000002de3e212440 . 000002de3e27cb90
--->Ldr.InLoadOrderModuleList:           000002de3e2125b0 . 000002de3e27c320
--->Ldr.InMemoryOrderModuleList:         000002de3e2125c0 . 000002de3e27c330

    --- --- --- ---
    --- --- --- ---
    --- --- --- ---

lkd> dt _peb
ntdll!_PEB
   +0x000 InheritedAddressSpace : UChar
   +0x001 ReadImageFileExecOptions : UChar

    --- --- --- --- ---
    --- --- --- --- ---
    --- --- --- --- ---

-->+0x010 ImageBaseAddress : Ptr64 Void
-->+0x018 Ldr              : Ptr64 _PEB_LDR_DATA
   +0x020 ProcessParameters : Ptr64 _RTL_USER_PROCESS_PARAMETERS

    --- --- --- --- ---
    --- --- --- --- ---
    --- --- --- --- ---

    --- --- --- --- ---
    --- --- --- --- ---
    --- --- --- --- ---

   +0x3a0 WaitOnAddressHashTable : [128] Ptr64 Void
   +0x7a0 TelemetryCoverageHeader : Ptr64 Void
   +0x7a8 CloudFileFlags   : Uint4B

再次進入到 WinDbg 輸入 dt _PEB_LDR_DATA
來看一下 Ldr 的數據類型：

lkd> dt _PEB_LDR_DATA
ntdll!_PEB_LDR_DATA
   +0x000 Length           : Uint4B
   +0x004 Initialized      : UChar
   +0x008 SsHandle         : Ptr64 Void
-->+0x010 InLoadOrderModuleList : _LIST_ENTRY
-->+0x020 InMemoryOrderModuleList : _LIST_ENTRY
-->+0x030 InInitializationOrderModuleList : _LIST_ENTRY
   +0x040 EntryInProgress  : Ptr64 Void
   +0x048 ShutdownInProgress : UChar
   +0x050 ShutdownThreadId : Ptr64 Void

看一下 MSDN 可以知道：

  1. Contains information about the loaded modules for the process.
  2. Each item in the list is a pointer to an LDR_DATA_TABLE_ENTRY structure.

哦！所以 Process 中的 Module 資訊是存在這三個表裡的：

  1. InLoadOrderModuleList
    • 這張表按照「載入」順序排列
  2. InMemoryOrderModuleList
    • 這張表按照「記憶體」順序排列
  3. InInitializationOrderModuleList
    • 這張表按照「初始化」順序排列

然後儲存著它們訊息的 structure 是 LDR_DATA_TABLE_ENTRY

所以再次進入到 WinDbg 輸入 dt _LDR_DATA_TABLE_ENTRY
來看一下 LDR_DATA_TABLE_ENTRY structure 長什麼樣子：

lkd> dt _LDR_DATA_TABLE_ENTRY 
ntdll!_LDR_DATA_TABLE_ENTRY
   +0x000 InLoadOrderLinks : _LIST_ENTRY
   +0x010 InMemoryOrderLinks : _LIST_ENTRY
   +0x020 InInitializationOrderLinks : _LIST_ENTRY
   +0x030 DllBase          : Ptr64 Void
   +0x038 EntryPoint       : Ptr64 Void
   +0x040 SizeOfImage      : Uint4B
   +0x048 FullDllName      : _UNICODE_STRING
   +0x058 BaseDllName      : _UNICODE_STRING
   +0x068 FlagGroup        : [4] UChar
   +0x068 Flags            : Uint4B
   +0x068 PackagedBinary   : Pos 0, 1 Bit
   +0x068 MarkedForRemoval : Pos 1, 1 Bit
   +0x068 ImageDll         : Pos 2, 1 Bit
   +0x068 LoadNotificationsSent : Pos 3, 1 Bit
   +0x068 TelemetryEntryProcessed : Pos 4, 1 Bit
   +0x068 ProcessStaticImport : Pos 5, 1 Bit
   
   --- --- --- ---
   --- --- --- ---
   --- --- --- ---
   
   +0x070 HashLinks        : _LIST_ENTRY
   
   --- --- --- ---
   --- --- --- ---
   --- --- --- ---

所以所以，用一張圖來表達以上資訊：
（如果感覺模糊看不清楚，請複製圖片連結）
（在新分頁打開就可以看高清圖片！）

圖片參考自：33c0c3 大大畫的圖

補充一下：
（因為這是補充的，所以就不詳細寫了）
（多看幾次就會看懂我要寫的內容是什麼 XD）

  1. 假設想看某個 Address 的 PEB 的話：
lkd> dt _PEB 0x000000ec`acd59000
ntdll!_PEB
   +0x000 InheritedAddressSpace : 0 ''
   +0x001 ReadImageFileExecOptions : 0 ''
   
    --- --- --- ---
    --- --- --- ---
    --- --- --- ---
    
   +0x003 IsLongPathAwareProcess : 0y0
   +0x004 Padding0         : [4]  ""
   +0x008 Mutant           : 0xffffffff`ffffffff Void
   +0x010 ImageBaseAddress : 0x00007ff6`7a610000 Void
   +0x018 Ldr              : 0x00007ff9`baa6f3a0 _PEB_LDR_DATA
   
    --- --- --- ---
    --- --- --- ---
    --- --- --- ---
  1. 假設想看某個 Address 的 _PEB_LDR_DATA 的話：
    （地址來自上面的範例）
lkd> dt 0x00007ff9`baa6f3a0 _PEB_LDR_DATA
ntdll!_PEB_LDR_DATA
   +0x000 Length           : 0x58
   +0x004 Initialized      : 0x1 ''
   +0x008 SsHandle         : (null) 
   +0x010 InLoadOrderModuleList : _LIST_ENTRY [ 0x? - 0x? ]
   +0x020 InMemoryOrderModuleList : _LIST_ENTRY [ 0x?0 - 0x? ]
   +0x030 InInitializationOrderModuleList : _LIST_ENTRY [ 0x? - 0x? ]
   +0x040 EntryInProgress  : (null) 
   +0x048 ShutdownInProgress : 0 ''
   +0x050 ShutdownThreadId : (null)
  1. 假設想看：
    • 某個 Address 的 _PEB_LDR_DATA
    • 裡面的 InLoadOrderModuleList
    • 的 _LIST_ENTRY 的話：
    lkd> dt 0x00007ff9`baa6f3a0+0x010 _LIST_ENTRY
ntdll!_LIST_ENTRY
 [ 0x000002de`3e2125b0 - 0x000002de`3e27c320 ]
   +0x000 Flink            : 0x? _LIST_ENTRY [ 0x? - 0x? ]
   +0x008 Blink            : 0x? _LIST_ENTRY [ 0x? - 0x? ]

到了這邊概念大致上已經講完，
接下來講一下 Module 的隱藏方式：
首先，先回到 Blackbone Project 中的 Loader.c 的 BBUnlinkFromLoader Func

  1. 我們可以看到一開始先透過 PsGetProcessPeb 拿到 EProcess 中的 PEB Address
PPEB pPeb = PsGetProcessPeb( pProcess );
if (!pPeb)
{
    DPRINT( xxxxxxxxxx );
    return STATUS_NOT_FOUND;
}
  1. 開始列舉 InLoadOrderModuleList
for (PLIST_ENTRY pListEntry = pPeb->Ldr->InLoadOrderModuleList.Flink;
      pListEntry != &pPeb->Ldr->InLoadOrderModuleList;
      pListEntry = pListEntry->Flink)
{

--- --- ---
--- --- ---

}
  1. Get LDR_DATA_TABLE_ENTRY Address
xxx pEntry = CONTAINING_RECORD( 
                                pListEntry, 
                                LDR_DATA_TABLE_ENTRY, 
                                InLoadOrderLinks 
                                );

#define CONTAINING_RECORD(address, type, field) ((type *)( \
                                          (PCHAR)(address) - \
                                          (ULONG_PTR)(&((type *)0)->field)))
// addr:   結構體中某個成員地址
// type:   結構體原本的樣子
// field:  結構體的某個成員
//詳細說明請谷哥...
  1. 如果找到要隱藏的 Module 的話就將其斷鏈！
// Unlink
if ((PVOID)pEntry->DllBase == pBase)
{
    RemoveEntryList( &pEntry->InLoadOrderLinks );
    RemoveEntryList( &pEntry->InInitializationOrderLinks );
    RemoveEntryList( &pEntry->InMemoryOrderLinks );
    //RemoveEntryList( &pEntry->HashLinks );
    //最後這個 HashLinks 今天沒時間講了，有空再補充上來。

    break;
}
  1. 斷鏈的意思就是：

    圖片取自：unlink-module-hide
  2. Blackbone 實作的斷鏈方法：
FORCEINLINE
BOOLEAN
RemoveEntryList(
    _In_ PLIST_ENTRY Entry
    )

{

    PLIST_ENTRY PrevEntry;
    PLIST_ENTRY NextEntry;

    NextEntry = Entry->Flink;
    PrevEntry = Entry->Blink;
    if ((NextEntry->Blink != Entry) || (PrevEntry->Flink != Entry)) {
        FatalListEntryError((PVOID)PrevEntry,
                            (PVOID)Entry,
                            (PVOID)NextEntry);
    }

    PrevEntry->Flink = NextEntry;
    NextEntry->Blink = PrevEntry;
    return (BOOLEAN)(PrevEntry == NextEntry);
}
  1. 開 「普通的」 工具找看看能不能找到 DLL

到這裡，告一段落了！！！！！
不過最後我再補充一項知識，
假設想在 User mode 中做到 PEB 斷鏈有可能嗎？
答案是有的，但是必須想辦法拿到 PEB 的 Address。

我們知道 EProcess 是存在於 Kernel mode，
那要怎麼在 User mode 拿到 PEB 的 Address 呢？
最一開始有說到 PEB 出現在 TEB（Thread Environment Block） 中

TEB（Thread Environment Block）：
當 Windows 載入 Process 建立 Thread 時，系統會為每個 Thread 分配 TEB，
且 FS 暫存器會被設置成 FS:0 指向目前 Thread 的 TEB Address，
所以可以拿到 TEB Address。

TEB（Thread Environment Block）結構：

lkd> dt _TEB
ntdll!_TEB
   +0x000 NtTib            : _NT_TIB
   +0x038 EnvironmentPointer : Ptr64 Void
   +0x040 ClientId         : _CLIENT_ID
   +0x050 ActiveRpcHandle  : Ptr64 Void
   +0x058 ThreadLocalStoragePointer : Ptr64 Void
-->+0x060 ProcessEnvironmentBlock : Ptr64 _PEB
   +0x068 LastErrorValue   : Uint4B
   +0x06c CountOfOwnedCriticalSections : Uint4B
   +0x070 CsrClientThread  : Ptr64 Void
   
    --- --- --- ---
    --- --- --- ---
    --- --- --- ---
    
    --- --- --- ---
    --- --- --- ---
    --- --- --- ---

看到了吧？有 Process Environment Block 耶！！！
可以再看一下，位於 0x00 的 NtTib 是 _NT_TIB 結構，

_NT_TIB 結構：

lkd> dt _NT_TIB
ntdll!_NT_TIB
   +0x000 ExceptionList    : Ptr64 _EXCEPTION_REGISTRATION_RECORD
   +0x008 StackBase        : Ptr64 Void
   +0x010 StackLimit       : Ptr64 Void
   +0x018 SubSystemTib     : Ptr64 Void
   +0x020 FiberData        : Ptr64 Void
   +0x020 Version          : Uint4B
   +0x028 ArbitraryUserPointer : Ptr64 Void
->>+0x030 Self             : Ptr64 _NT_TIB

所以呢～所以呢～
直接：

//mov eax,fs:[0x030]    //x86 Get PEB
mov eax,gs:[0x060]      //x64 Get PEB
//mov ecx,[eax + 0x00c] //x86 PEB 的 Ldr
mov ecx,[eax + 0x018]   //x64 PEB 的 Ldr
mov xxx,ecx             //把拿到的 Address 放進 xxx 變數
pop ecx
pop eax

好了，這篇真的結束了！
明天將介紹一些方法，來對抗這種 PEB 斷鏈隱藏 Module 的手法！

如果你/妳有發現哪裡寫得不好或是有地方寫錯，
歡迎留個言，大家一起討論討論鴨~~
那我們下期見 o(￣▽￣)ブ

References

下期預告


上一篇
【Day 03】- 打針！打針！從 R0 注入的那件事！
下一篇
【Day 05 】- 藏起來的 Module 還是被發現了QuO（基於暴力搜尋 PE Header 的方法與解法）
系列文
打通任督二脈奇幻之旅 - 用 30 天探索 Windows 底層運作原理 共 15 篇
  1. 11
    【Day 11】- 再次創造 Ghost Process，這次找不到了吧哈哈（基於修改 PspCidTable 隱藏的 Rookit）
  2. 12
    【Day 12】- 找出看不見也摸不著的 Process，終極辦法！
  3. 13
    【Day 13】- 有了這個，就沒有打得開的程式了 XD（SetCreateProcessNotifyRoutine）
  4. 14
    【Day 14】- 今天來實作一個鍵盤監聽器
  5. 15
    【Day 15】- 今天來實作一個 Kernel mode Thread
完整目錄
圖片
  直播研討會
圖片
{{ item.channelVendor }} {{ item.webinarstarted }} |
{{ formatDate(item.duration) }}
直播中

尚未有邦友留言

立即登入留言
iThome鐵人賽
參賽組數
1064 組
團體組數
40 組
累計文章數
22195 篇
完賽人數
600 人
iT+看影片追技術 看影片追技術 看更多
熱門tag 看更多
15th鐵人賽 16th鐵人賽 13th鐵人賽 14th鐵人賽 12th鐵人賽 11th鐵人賽 鐵人賽 2019鐵人賽 javascript 2018鐵人賽 python 2017鐵人賽 windows php c# windows server linux css react vue.js
熱門問題
熱門回答
熱門文章
IT邦幫忙