问答
发起
提问
文章
攻防
活动
Toggle navigation
首页
(current)
问答
商城
实战攻防技术
漏洞分析与复现
NEW
活动
摸鱼办
搜索
登录
注册
利用LLVM解释器执行你的代码
渗透测试
llvm工具链中的lli.exe可以执行中间bitcode文件,通过这一方法在目标环境执行代码,能够绕过Windows Defender检测。
前言 == 撰写这一篇文章的起因是看到CrowdStrike最近的一篇[博客](https://www.crowdstrike.com/blog/malicious-inauthentic-falcon-crash-reporter-installer-ciro-malware/), 文章中介绍一个MSI样本将Mythic的agent编译为LLVM的IR bitcode,在目标上通过LLVM解释器执行。 这种技术似曾相识,.NET代码可以转换为公共中间语言(CIL)在内存中编译执行,Python代码通过解释器执行,JAVA代码通过JVM虚拟机执行,如今C代码也可以转换为LLVM IR语言解释执行。 使用方法 ==== llvm与clang ---------- LLVM是一套编译器基础设施项目,以C++写成,包含一系列模块化的编译器组件和工具链,用来开发编译器前端和后端。 其中Clang是基于LLVM开发的一个编译器前端工具,用来解析C/C++代码,将其转换为LLVM中间语言IR,最后通过不同的编译器后端编译成可执行代码。差不多过程就是下面这样 C/C++代码 -->LLVM IR --> MachineCode(x86、ARM...) clang.exe和gcc.exe差不多,Visual Studio则是cl.exe clang工具 ------- clang工具可以自行下载llvm的源码进行编译,也可以通过https://github.com/llvm/llvm-project/releases 下载,注意要下载clang+llvm-18.1.8-x86\_64-pc-windows-msvc.tar.xz,这里面才包含可以执行LLVM IR bitcode的工具lli.exe。 首先打开x64 Native Tools Command Prompt for VS 2019 并切换到源代码目录  以简单的hellloworld代码为例,使用clang正常编译cpp文件为可执行文件: (clang-cl是clang适配MSVC的版本) ```php clang-cl helloworld.cpp -o hello.exe ```  bitcode生成与使用 ------------ 使用clang编译cpp文件为LLVM IR bitcode ```php clang -emit-llvm -c helloworld.cpp -o helloworld.bc ``` bitcode文件是这样的:  那么我们使用工具中的llc.exe来执行bitcode文件: ```php llc helloworld.bc ```  可以看到bitcode文件被成功执行了,而且将lli.exe以及bc文件放到另一个主机可以成功执行。 其实LLVM IR还有另外一种可读形态ll,通过下面的方式即可获得,但是这样会暴露源码中的信息,所以上述博客中的技术才会使用bitcode。 ```php clang -emit-llvm -S helloworld.cpp -o helloworld.ll ``` 可读形态ll文件内容如下所示  免杀效果 ==== 执行弹计算器shellcode --------------- 既然可以能够执行helloworld,为什么不来加载shellcode呢 通过msf生成一段弹计算器的shellcode,使用CreateThread加载执行 ```php clang-cl shellcode_calc.cpp -o shellcode_calc.exe shellcode_calc.exe ``` 在关闭Windows Defender的情况下可以正常运行  但是一旦放到开启Windows Defender的环境中,就会被检测删除  如果使用lli.exe + shellcode\_calc.bc呢,则可以成功在Windows Defender下执行这段shellcode ```php clang -emit-llvm -c shellcode_calc.cpp -o shellcode_calc.bc lli.exe shellcode_calc.bc ```   执行回连shellcode ------------- 让我们使用msf生成一个reverse\_tcp,使用lli工具在开启了Windows Defender的环境下执行,同样可以看到成功回连。   原理分析 ==== 那么lli文件是如何加载执行我们的代码?让我们使用x64dbg对lli文件进行调试,并执行之前弹计算器的bitcode,同时在NtCreateThreadEx下断点(为什么自在这下断点?后面会说) 当在NtCreateThreadEx断下时  持续回溯,当我们回到lli.exe的代码空间时,会看到这段类似于shellcode\_calc.cpp中功能的汇编代码。不难看出,这里调用的是KernelBase中的CreateThread,而其他函数也是调用的KernelBase的API,所以在NtCreateThreadEx下断点。  而这段代码的地址为245B0DA0000,在内存布局中可以看到这应该是属于堆内存,并且由执行权限。汇编代码中的245B0DB0000则是用于弹计算器的shellcode,该空间只读。245B0DC0000也是同样的shellcode,而这个地址空间则有通过VirtualAlloc函数分配的RWX权限。    查看此时的堆栈,返回到lli的代码7FF61F44D42E,而且还返回到ntdll.RtlFreeHeap。  重新运行,在7FF61F44D42C处下断点(在执行shellcode\_calc汇编代码之前) 通过此时的堆栈,能知道是使用RtlAllocateHeap函数分配的内存。在之前调用了memmove函数将bitcode转成的本机代码移动到rax指向的地址空间,再call进去。 至于lli.exe如何将bitcode转成的本机代码,则涉及到编译器的范畴了。   思考 == 1. lli.exe文件大小为24M,放到目标环境比较明显。因此上述CrowdStrike博客中描述的那样,将该文件放到MSI安装程序中,可以降低可疑性。或者也能自己修改lli.exe的源代码,去除多余功能代码,编译一个较小的版本。 2. lli.exe使用RtlAllocateHeap函数在自身进程空间中分配内存,然后call,并且代码中也没有直接调用Kernel32中的函数,而是调用的KernelBase中的函数。 那么lli.exe文件有数字签名是不是更安全了?很遗憾,llvm github发布的版本没有数字签名(也没有必要花钱去签名,毕竟llvm的版本更新太快了)。而VS2019、VS2022提供的llvm工具链中的工具倒是有微软的数字签名,但是却没有lli工具。其他提供llvm工具链的工具管理包譬如MSYS2、Anaconda,也没有lli.exe或带数字签名。 3. Rust语言也是基于llvm的,是否也具备这样的特性? 4. 对于这种技术的防范,则需要监控是否存在可疑的lli工具被执行。
发表于 2024-09-19 09:00:00
阅读 ( 1936 )
分类:
安全工具
1 推荐
收藏
0 条评论
请先
登录
后评论
br1ght
1 篇文章
×
发送私信
请先
登录
后发送私信
×
举报此文章
垃圾广告信息:
广告、推广、测试等内容
违规内容:
色情、暴力、血腥、敏感信息等内容
不友善内容:
人身攻击、挑衅辱骂、恶意行为
其他原因:
请补充说明
举报原因:
×
如果觉得我的文章对您有用,请随意打赏。你的支持将鼓励我继续创作!