本文讲的是
教你如何使用分组密码对shellcode中的windows api字符串进行加密，
介绍
字符串/模式匹配算法是当前最流行和最简单的检测shellcode方法。原理很简单：所有代码都有其独特的特征，可以根据这种特征去在内存中验证。即使没有事先分析shellcode，我们也可以得到一些有用的变量，或者至少看起来它是一串可疑代码，需要进一步分析。
我提到的有用变量是指API字符串以及hash值，它们已经在检测恶意代码历史上使用了20多年。如果想要绕过这种检测方法，编写shelcode过程中我们要考虑使用像C或C++这样的HLL语言，进行非常规的编程，保证shellcode中的内容是可以变换的，不固定的。
这一过程中不止可执行代码可以变换，任何内容都可以变换：代码，数据，常量，字符串等等。今天我要展示的是使用名为Maru的hash函数生成可排列的API散列。Maru使用分组密码生成字符串的hash值，当然你大可不必使用分组密码做此事，但是这样可以防止使用SMT进行hash碰撞攻击。
想要获取更多有关信息，你可以阅读：使用SAT和SMT消除简单的散列算法
签名检测
在MS-DOS病毒在30年前刚出现时，基于签名的检测是很容易的。为了隐藏恶意代码，攻击者使用八比特的变量对代码进行异或运算，举个例子，在1991年出现的Skism Rythem Stack Virus-808病毒，使用了感染时间时的毫秒数字进行异或运算，所以对于100个版本来说，每一个都是不同的。
这是该代码的入口，以及其解密过程:
jmp virus_start
encrypt_val db 00h
virus_start:
call encrypt ; encrypt/decrypt file
jmp virus ; go to start of code
encrypt:
push cx
mov bx, offset virus_code ; start encryption at data
xor_loop:
mov ch, [bx] ; read current byte
xor ch, encrypt_val ; get encryption key
mov [bx], ch ; switch bytes
inc bx ; move bx up a byte
cmp bx, offset virus_code + virus_size
; are we done with the encryption
jle xor_loop ; no? keep going
pop cx
ret
执行完这一串代码之后，病毒会使用当前时间值的毫秒数对'encrypt_val'进行更新:
;
mov ah, 2ch ; get time
int 21h
mov encrypt_val, dl ; save m_seconds to encrypt val so
; theres 100 mutations possible
攻击者为做到隐蔽自己做了一些努力，但是解密器是可以被察觉到的，并且病毒很容易被杀掉。此外，杀毒软件可以模拟解密程序，通过验证签名，在病毒执行前阻止他。
在1997年Win32病毒出现时，已经不存在MS-DOS中断，相反，可以通过动态链接库dll对API函数进行访问，这使得检测恶意软件变得更加容易，当存在大量调用API函数的代码块时，系统就会发出警报。
攻击者最终使用了32位校验码，其中最受欢迎的就是CRC32。不久之后，LSD-PL首先使用了基于ADD-Rotate—Xor方法，在他们的WASM包中，代码如下：
i3: mov esi,[4*eax+ebx] ; ptr to symbol name
add esi,edx ; rva2va
push ebx ; hash: h=((h<<5)|(h>>27))+c
push eax
xor ebx,ebx
i4: xor eax,eax ; hash loop
lodsb
rol ebx,5
add ebx,eax
cmp eax,0
jnz i4
ror ebx,5
cmp ebx,ecx ; hash compare
pop eax
pop ebx
je i5 ; same: symbol found
inc eax
jmp i3 ; different: go to the next symbol
大部分合法代码是不需要调用api的，也不会手动导入地址表或者导出地址表的。如果碰到这种行为代码，那么通常它会对你的计算机造成危害。
API散列是很有趣的，它不会被字符串签名验证给杀掉，所以如果杀毒软件只是对是否包含调用API的代码进行检测，那么这种检测方法是无效的。尽管现在很多攻击软件(BeEF,meterpreter，Veil)都会使用无熵或者随机化的散列算法。但是他们是不会被改变的，所以检测起来还是很容易的。
当然，这些工具都提供了像RC4、AES这样的加密算法，不过这样即使通过了杀毒软件和IDS进行的简单扫描，但是通过仿真器去解密主要代码，观察它的行为，对它防御是完全没有问题的。
字符串问题
在理想情况下，攻击者希望在编译过程中对所有代码进行混淆或者加密，并且在解密过程中不会使用冗余的代码和工具。
constexpr是使用c++代码的理想选择，不过对于C来说，则没有这样的功能，除非编译器在编译过程中对所有字符串进行修改和加密。
一些汇编程序比如MASM,NASM是支持基于宏的编译，但是工作过程中是基于很复杂的函数的(并不是你不能)。Z0MBiE已经在2002年在”Meta病毒中的编码“以及”在HLL中解决字符串问题“中对这一问题进行了讨论，但是如果进一步查看这些解决方法，这里只是使用很少的熵值而已。
使用熵对API字符串进行加密的目的很显然是增加检测有效载荷的难度。不过这不是一个长久之计，迟早会被发现，但是这种方法肯定比现有的没有熵的hash算法要好很多。
散列函数构造
我们可以从分组密码中构造新的hash算法，于是对于提供的不同key值，就会生成不同的API散列。但是，很少的分组密码是适用于shellcode生成的。
这里有三个可以使用的分组密码机制(其实有很多的， 只是目前发现了三个)。
1.Davies–Meyer
将每个块中的消息(mi)作为块密文的key，然后将先前的hash值(Hi-1)作为要被加密的明文。然后将输出的密文和之前的hash值(Hi-1)进行异或，生成下一个hash值（Hi）。在加密的第一轮中，之前并没有hash值产生，会使用我们预先设定的一个常量(H0)进行加密操作。
2.Matyas–Meyer–Oseas
将每块中的消息(mi)作为要被加密的明文。输出的密文同样和相同的明文块进行异或，产生下一组hash值(Hi)。前一组hash值会作为这一组加密的密钥。在第一轮中，并没有之前产生的hash值，所以使用之前设定的初始化变量H0.
3. Miyaguchi–Preneel
每一块消息都会作为要加密的明文，输出之后的密文和同样的明文进行异或运算，然后再和前一组产生的hash进行异或运算，产生这一组hash值(Hi)。前一组产生的hash值作为了加密的密钥。
在第一轮中，并没有之前产生的hash值，所以使用之前设定的初始化变量H0。这些是我认为使用的3种简单设计。对于Maru哈希，我使用Davies-Meyer与一些非标准填充。
选择分组密码
我们知道在加密过程中需要一些静态值，与加密常数相比，有什么更好的静态值吗？
你可以对这些静态值进行改变，不过可能会影响加密函数的安全性，所以最好使用一个不包含任何静态变量的密码。在查看可能使用的分组密码时，我选择的前三个是基于ADD-Rotate-Xor(ARX)设计实现的。
1. Speck
由NSA设计，于2013年进行发布（https://eprint.iacr.org/2013/404）。对于不同的架构，产生不同的密钥以及分组大小。成为大多数架构可用的最小的基于软件的块密码。
32位机器的参数为64位的分组大小以及128位的密钥长度。64位模式下的参数为128位的分组大小，以及256为的密钥长度。这两种加密代码长度分别为64字节以及86字节。
如下是x86代码：
2. Chaskey-LTS
在2015年发布(https://eprint.iacr.org/2015/1182),基于Even-Mansour加密方式，使用SipHash中的置换函数进行产生。参数为128位的密钥，和128位的分组大小。在x86机器上实现大小为90字节：
3.XTEA
拓展微加密算法。一种Feistel密码，在1997年发现微加密算法弱点之后发表(http://www.cix.co.uk/~klockstone/xtea.pdf).参数为128比特的密钥，分组大小为64比特。他有一个已知的常量，0x9E3779B9,这使他容易被基于签名检测出来，大小约80个字节:
Speck是轻量级应用程序更好的设计，不能通过签名轻松识别。 （至少不是从任何常数)所以我选择它生成hash。
Maru Hash
那么在关于需要消除shellcode中常量的讨论之后，我在这里介绍hash函数的一部分。在转换为整数之前，64位常数是137素数的乘法逆元。它是加密过程中的初始化参数H0。
进一步来说：
1. 0.00729927007299270072992700729927是137的乘法逆元。
2. 舍弃小数部分中的前两个0,将剩下的转换为64位整数。
3. 结果为：0x654C37754C5E9939
H是通过用Maru常数和64位密钥进行异或初始化的。然后将API字符串作为密钥重复使用Speck进行加密，直到达到终止符为止。
下方代码是C原型：
uint64_t maru(const void *str, const void *key);
str参数指向我们的API字符串，长度不应超过128字节(即使函数接受任意长度的字符串)。key参数应该指向我们唯一的64位值，这应该是理想的随机选择。
uint64_t maru(const void *str, const void *key)
{
uint8_t *s=(uint8_t*)str;
w64_t *k=(w64_t*)key;
w64_t h;
w128_t m;
uint32_t idx, end=0, i, t, k0, k1, k2, k3, x0, x1;
// set the initial hash which is 64-bit key xor 1/137
h.q = k->q ^ MARU_INIT_H;
// now update the hash using string as key
for (idx=0; !end; ) {
// if bytes remaining
if (*s != 0) {
// add byte to buffer
m.b[idx++] = *s++;
} else {
// this is last block
// pad with end bits
while (idx < MARU_BLK_LEN) {
m.b[idx] = (uint8_t)idx;
idx++;
}
end++;
}
// if m filled
if (idx == MARU_BLK_LEN) {
// copy 128-bit key to local registers
k0 = m.w[0]; k1 = m.w[1];
k2 = m.w[2]; k3 = m.w[3];
// copy H to local space
x0 = h.w[0]; x1 = h.w[1];
for (i=0; i<27; i++)
{
// encrypt block
x0 = (ROTR32(x0, 8) + x1) ^ k0;
x1 = ROTL32(x1, 3) ^ x0;
// create next subkey
k1 = (ROTR32(k1, 8) + k0) ^ i;
k0 = ROTL32(k0, 3) ^ k1;
XCHG(k3, k2);
XCHG(k3, k1);
}
// update previous hash
h.w[0] ^= x0; h.w[1] ^= x1;
// reset index
idx = 0;
}
}
// return 64-bit hash
return h.q;
}
hash举例
以下是对API以及潜在密钥的测试案例，他们不必是字符串。
从示例散列可以看出，一旦密钥被更改，生成的API哈希是完全不同的。通过选择不同的密钥，这使得我们的哈希值也会不同。
总结
设计自己的hash函数或者加密算法通常会很好的绕过杀毒软件。但是像Maru这样的hash算法并不适用于对防碰撞要求很高的场合。Maru hash真的是一个关于如何对shellcode中的字符串进行随机变换，进而绕过杀毒软件的字符串检测的方法。
原文发布时间为：2017年8月16日
本文作者：xnianq
本文来自云栖社区合作伙伴嘶吼，了解相关信息可以关注嘶吼网站。
