AI 助理
备案控制台
开发者社区 开发与运维 文章 正文

4.7 x64dbg 应用层的钩子扫描

2023-07-10 113
版权
版权声明：
本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《 阿里云开发者社区用户服务协议》和 《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写 侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。
简介： 所谓的应用层钩子（Application-level hooks）是一种编程技术，它允许应用程序通过在特定事件发生时执行特定代码来自定义或扩展其行为。这些事件可以是用户交互，系统事件，或者其他应用程序内部的事件。应用层钩子是在应用程序中添加自定义代码的一种灵活的方式。它们可以用于许多不同的用途，如安全审计、性能监视、访问控制和行为修改等。应用层钩子通常在应用程序的运行时被调用，可以执行一些预定义的操作或触发一些自定义代码。

所谓的应用层钩子（Application-level hooks）是一种编程技术，它允许应用程序通过在特定事件发生时执行特定代码来自定义或扩展其行为。这些事件可以是用户交互，系统事件，或者其他应用程序内部的事件。应用层钩子是在应用程序中添加自定义代码的一种灵活的方式。它们可以用于许多不同的用途，如安全审计、性能监视、访问控制和行为修改等。应用层钩子通常在应用程序的运行时被调用，可以执行一些预定义的操作或触发一些自定义代码。

通常情况下，第三方应用在需要扩展一个程序功能是都会采用挂钩子的方式实现，而由于内存数据被修改后磁盘数据依然是原始数据，这就给扫描这些钩子提供了便利，具体来说钩子扫描的原理是通过读取磁盘中的PE文件中的反汇编代码，并与内存中的代码作比较，当两者发生差异是则可以证明此处被挂了钩子。

本节内容中，笔者将通过一个案例并配合Capstone引擎来实现这个功能，之所以选用该引擎是因为该引擎支持Python包，可以非常容易的与LyScript插件互动，此外Capstone引擎在逆向工程、漏洞分析、恶意代码分析等领域有广泛的应用，著名反汇编调试器IDA则是使用了该引擎工作的。

  • Capstone引擎的主要特点包括：

  • 支持多种指令集：支持x86、ARM、MIPS、PowerPC等多种指令集，且能够在不同的平台上运行。

  • 轻量级高效：采用C语言编写，代码简洁高效，反汇编速度快。
  • 易于使用：提供了易于使用的API和文档，支持Python、Ruby、Java等多种编程语言。
  • 可定制性：提供了多种可配置选项，能够满足不同用户的需求。

Capstone的安装非常容易，只需要执行pip install capstone即可完成，使用Capstone反汇编时读者只需要传入一个PE文件路径，并通过md.disasm(HexCode, 0)即可实现反汇编任务；

代码首先使用pefile库读取PE文件，获取文件的ImageBase，以及名为".text"的节表的VirtualAddress、Misc_VirtualSize和PointerToRawData等信息。接下来，代码计算了".text"节表的起始地址StartVA和结束地址StopVA，然后使用文件指针读取文件中".text"节表的原始数据，并使用capstone库进行反汇编。反汇编结果以字典形式存储，包括反汇编地址和反汇编指令。最后，函数返回了包含所有反汇编指令的opcode_list列表。

from capstone import *
import pefile

def Disassembly(FilePath):
    opcode_list = []
    pe = pefile.PE(FilePath)
    ImageBase = pe.OPTIONAL_HEADER.ImageBase

    for item in pe.sections:
        if str(item.Name.decode('UTF-8').strip(b'\x00'.decode())) == ".text":
            # print("虚拟地址: 0x%.8X 虚拟大小: 0x%.8X" %(item.VirtualAddress,item.Misc_VirtualSize))
            VirtualAddress = item.VirtualAddress
            VirtualSize = item.Misc_VirtualSize
            ActualOffset = item.PointerToRawData
    StartVA = ImageBase + VirtualAddress
    StopVA = ImageBase + VirtualAddress + VirtualSize
    with open(FilePath,"rb") as fp:
        fp.seek(ActualOffset)
        HexCode = fp.read(VirtualSize)

    md = Cs(CS_ARCH_X86, CS_MODE_32)
    for item in md.disasm(HexCode, 0):
        addr = hex(int(StartVA) + item.address)
        dic = {"Addr": str(addr) , "OpCode": item.mnemonic + " " + item.op_str}
        print("[+] 反汇编地址: {} 参数: {}".format(addr,dic))
        opcode_list.append(dic)
    return opcode_list

if __name__ == "__main__":
    Disassembly("d://lyshark.exe")

当读者运行上方代码片段时，则可输出lyshark.exe程序内text节所有反汇编代码片段，输出效果如下图所示；

接着我们需要读入内存中的PE文件机器码并通过Capstone引擎反汇编为汇编指令集，如下get_memory_disassembly函数则是实现内存反汇编的具体实现细节。

此案例中通过read_memory_byte读入内存完整数据，并使用md.disasm依次反汇编，并最终将结果存储到dasm_memory_dict字典中保存。

import binascii,os,sys
import pefile
from capstone import *
from LyScript32 import MyDebug

# 得到内存反汇编代码
def get_memory_disassembly(address,offset,len):
    # 反汇编列表
    dasm_memory_dict = []

    # 内存列表
    ref_memory_list = bytearray()

    # 读取数据
    for index in range(offset,len):
        char = dbg.read_memory_byte(address + index)
        ref_memory_list.append(char)

    # 执行反汇编
    md = Cs(CS_ARCH_X86,CS_MODE_32)
    for item in md.disasm(ref_memory_list,0x1):
        addr = int(pe_base) + item.address
        dasm_memory_dict.append({"address": str(addr), "opcode": item.mnemonic + " " + item.op_str})
    return dasm_memory_dict

if __name__ == "__main__":
    dbg = MyDebug()
    dbg.connect()

    pe_base = dbg.get_local_base()
    pe_size = dbg.get_local_size()

    print("模块基地址: {}".format(hex(pe_base)))
    print("模块大小: {}".format(hex(pe_size)))

    # 得到内存反汇编代码
    dasm_memory_list = get_memory_disassembly(pe_base,0,pe_size)
    print(dasm_memory_list)

    dbg.close()

执行如上所示代码，则可输出当前程序内存中的反汇编指令集，并以字典的方式输出，效果图如下所示；

这两项功能实现之后，那么实现内存与磁盘之间的比对工作将变得很容易实现，如下代码中首先通过get_memory_disassembly获取到内存反汇编指令，然后通过get_file_disassembly获取磁盘反汇编指令，并将两者dasm_memory_list[index] != dasm_file_list[index]最比较，以此来判断特定内存是否被挂钩；

import binascii,os,sys
import pefile
from capstone import *
from LyScript32 import MyDebug

# 得到内存反汇编代码
def get_memory_disassembly(address,offset,len):
    # 反汇编列表
    dasm_memory_dict = []

    # 内存列表
    ref_memory_list = bytearray()

    # 读取数据
    for index in range(offset,len):
        char = dbg.read_memory_byte(address + index)
        ref_memory_list.append(char)

    # 执行反汇编
    md = Cs(CS_ARCH_X86,CS_MODE_32)
    for item in md.disasm(ref_memory_list,0x1):
        addr = int(pe_base) + item.address
        dic = {"address": str(addr), "opcode": item.mnemonic + " " + item.op_str}
        dasm_memory_dict.append(dic)
    return dasm_memory_dict

# 反汇编文件中的机器码
def get_file_disassembly(path):
    opcode_list = []
    pe = pefile.PE(path)
    ImageBase = pe.OPTIONAL_HEADER.ImageBase

    for item in pe.sections:
        if str(item.Name.decode('UTF-8').strip(b'\x00'.decode())) == ".text":
            # print("虚拟地址: 0x%.8X 虚拟大小: 0x%.8X" %(item.VirtualAddress,item.Misc_VirtualSize))
            VirtualAddress = item.VirtualAddress
            VirtualSize = item.Misc_VirtualSize
            ActualOffset = item.PointerToRawData
    StartVA = ImageBase + VirtualAddress
    StopVA = ImageBase + VirtualAddress + VirtualSize
    with open(path,"rb") as fp:
        fp.seek(ActualOffset)
        HexCode = fp.read(VirtualSize)

    md = Cs(CS_ARCH_X86, CS_MODE_32)
    for item in md.disasm(HexCode, 0):
        addr = hex(int(StartVA) + item.address)
        dic = {"address": str(addr) , "opcode": item.mnemonic + " " + item.op_str}
        # print("{}".format(dic))
        opcode_list.append(dic)
    return opcode_list

if __name__ == "__main__":
    dbg = MyDebug()
    dbg.connect()

    pe_base = dbg.get_local_base()
    pe_size = dbg.get_local_size()

    print("模块基地址: {}".format(hex(pe_base)))
    print("模块大小: {}".format(hex(pe_size)))

    # 得到内存反汇编代码
    dasm_memory_list = get_memory_disassembly(pe_base,0,pe_size)
    dasm_file_list = get_file_disassembly("d://lyshark.exe")

    # 循环对比内存与文件中的机器码
    for index in range(0,len(dasm_file_list)):
        if dasm_memory_list[index] != dasm_file_list[index]:
            print("地址: {:8} --> 内存反汇编: {:32} --> 磁盘反汇编: {:32}".
                  format(dasm_memory_list[index].get("address"),dasm_memory_list[index].get("opcode"),dasm_file_list[index].get("opcode")))
    dbg.close()

运行上方代码片段，耐性等待一段时间，则可输出内存与磁盘反汇编指令集列表，输出效果图如下所示；

原文地址

https://www.lyshark.com/post/ccb35246.html

文章标签：
Java
C语言
Python
Ruby
数据安全/隐私保护
安全
API
存储
lyshark
目录
相关文章
lyshark
|
2月前
|
存储 安全 容器
运用Capstone实现64位进程钩子扫描
进程钩子扫描是一种安全技术和分析方法，用于检测和分析进程内的指令是否被篡改或注入了恶意功能。钩子（Hook）技术允许开发人员在执行特定系统调用或函数时插入自定义代码。虽然进程钩子在调试和软件功能扩展中发挥了重要作用，但该技术也可以被恶意软件用来拦截和修改程序行为，从而隐藏其活动或进行其他恶意操作。本章将通过Capstone引擎实现64位进程钩子的扫描，读者可使用此段代码检测目标进程内是否被挂了钩子。
lyshark
34 3
运用Capstone实现64位进程钩子扫描
lyshark
|
安全 编译器
4.1 应用层Hook挂钩原理分析
InlineHook 是一种计算机安全编程技术，其原理是在计算机程序执行期间进行拦截、修改、增强现有函数功能。它使用钩子函数（也可以称为回调函数）来截获程序执行的各种事件，并在事件发生前或后进行自定义处理，从而控制或增强程序行为。Hook技术常被用于系统加速、功能增强、等领域。本章将重点讲解Hook是如何实现的，并手动封装实现自己的Hook挂钩模板。
lyshark
151 0
lyshark
|
安全 开发者
4.5 x64dbg 探索钩子劫持技术
钩子劫持技术是计算机编程中的一种技术，它们可以让开发者拦截系统函数或应用程序函数的调用，并在函数调用前或调用后执行自定义代码，钩子劫持技术通常用于病毒和恶意软件，也可以让开发者扩展或修改系统函数的功能，从而提高软件的性能和增加新功能。钩子劫持技术的实现一般需要在对端内存中通过`create_alloc()`函数准备一块空间，并通过`assemble_write_memory()`函数，将一段汇编代码转为机器码，并循环写出自定义指令集到堆中，函数`write_opcode_from_assemble()`就是我们自己实现的，该函数传入一个汇编指令列表，自动转为机器码并写出到堆内，函数的核心代码如
lyshark
129 0
4.5 x64dbg 探索钩子劫持技术
lyshark
|
安全 Windows
4.4 x64dbg 绕过反调试保护机制
在Windows平台下，应用程序为了保护自己不被调试器调试会通过各种方法限制进程调试自身，通常此类反调试技术会限制我们对其进行软件逆向与漏洞分析，我们以第一种`IsDebuggerPresent`反调试为例，该函数用于检查当前程序是否在调试器的环境下运行。函数返回一个布尔值，如果当前程序正在被调试，则返回True，否则返回False。函数通过检查特定的内存地址来判断是否有调试器在运行。具体来说，该函数检查了`PEB（进程环境块）`数据结构中的`_PEB_LDR_DATA`字段，该字段标识当前程序是否处于调试状态。如果该字段的值为1，则表示当前程序正在被调试，否则表示当前程序没有被调试。
lyshark
273 0
4.4 x64dbg 绕过反调试保护机制
lyshark
|
存储 安全 算法
4.8 x64dbg 学会扫描应用堆栈
LyScript 插件中提供了针对堆栈的操作函数，对于堆的开辟与释放通常可使用`create_alloc()`及`delete_alloc()`在之前的文章中我们已经使用了堆创建函数，本章我们将重点学习针对栈的操作函数，栈操作函数有三种，其中`push_stack`用于入栈，`pop_stack`用于出栈，而最有用的还属`peek_stack`函数，该函数可用于检查指定堆栈位置处的内存参数，利用这个特性就可以实现，对堆栈地址的检测，或对堆栈的扫描等。
lyshark
156 0
lyshark
|
Windows
驱动开发：内核扫描SSDT挂钩状态
在笔者上一篇文章`《驱动开发：内核实现SSDT挂钩与摘钩》`中介绍了如何对`SSDT`函数进行`Hook`挂钩与摘钩的，本章将继续实现一个新功能，如何`检测SSDT`函数是否挂钩，要实现检测`挂钩状态`有两种方式，第一种方式则是类似于`《驱动开发：摘除InlineHook内核钩子》`文章中所演示的通过读取函数的前16个字节与`原始字节`做对比来判断挂钩状态，另一种方式则是通过对比函数的`当前地址`与`起源地址`进行判断，为了提高检测准确性本章将采用两种方式混合检测。
lyshark
202 0
陈大剩
|
存储 JavaScript
tp5源码解析--hook(钩子函数)类详解
tp5源码解析--hook(钩子函数)类详解
陈大剩
276 0
tp5源码解析--hook(钩子函数)类详解
游客ywxcp53cgkqwi
|
C#
Revit空闲事件(Idling Event)增强和外部事件(External Event)
Revit空闲事件(Idling Event)增强和外部事件(External Event)
游客ywxcp53cgkqwi
316 0
Revit空闲事件(Idling Event)增强和外部事件(External Event)
lyshark
|
Python
x64dbg 实现插件Socket反向通信
编写一个带有socket通信功能的插件，x64dbg运行后，用户点击链接按钮可直接连接到外部的python中，python作为服务端，当x64dbg内部出现某个事件后，自动将消息推送到外部python脚本上，实现反向传参的目的。
lyshark
170 0
x64dbg 实现插件Socket反向通信
lyshark
LyScript 实现应用层钩子扫描器
Capstone 是一个轻量级的多平台、多架构的反汇编框架，该模块支持目前所有通用操作系统，反汇编架构几乎全部支持，本篇文章将运用LyScript插件结合Capstone反汇编引擎实现一个钩子扫描器。
lyshark
190 0
LyScript 实现应用层钩子扫描器