補丁對比漏洞挖掘技術在APT攻擊中的應用

郭 威,江 瀚,鄧韻東

（云南電網(wǎng)信息中心， 650217）

補丁對比漏洞挖掘技術在APT攻擊中的應用

郭 威,江 瀚,鄧韻東

（云南電網(wǎng)信息中心， 650217）

針對特定用戶和系統(tǒng)的高級持續(xù)性威脅（簡稱APT攻擊）愈演愈烈，給廣大用戶造成了極大的安全威脅。APT攻擊所使用的攻擊手法多種多樣，其中危害最大的技術手段是攻擊者對各種漏洞的利用。本次研究針對攻擊者對各種漏洞利用的問題，提出了漏洞挖掘技術在APT攻擊中的應用。本文詳細描述了補丁對比漏洞挖掘技術的原理、案例以及在APT攻擊中的應用和危害并提出了相應的加固建議。

APT攻擊；0day漏洞；補丁對比；漏洞挖掘；社會工程學

0 概述

高級持續(xù)性威脅即APT（Adavanced Persistent Threat），是指針對明確目標的持續(xù)的、復雜的網(wǎng)絡攻擊，是指高級的持續(xù)性的滲透攻擊，是針對特定組織的多方位的攻擊。

APT不是一種新的攻擊手法，其可以說是結合了新舊的各種攻擊技術和其他非技術手段的綜合攻擊行為。近年來針對特定企業(yè)的APT攻擊事件屢有發(fā)生，給受害企業(yè)造成了極大的損害。研究和分析APT攻擊行為則是做好APT攻擊防護的第一步。

1 傳統(tǒng)APT攻擊技術分析

APT攻擊是很難防御的一種攻擊模式，是一類特定的攻擊，為了獲取某個組織甚至是國家的重要信息，有針對性的進行的一系列攻擊行為的整個過程。主要就針對企業(yè)的商業(yè)機密信息和國家重要的基礎設施進行，包括能源、電力、金融、國防等關系到國計民生，或者是國家核心利益的網(wǎng)絡基礎設施。

對于這些單位而言，盡管已經(jīng)部署了相對完備的縱深安全防御體系，可能既包括針對某個安全威脅的安全設備，也包括了將各種單一安全設備串聯(lián)起來的管理平臺，而防御體系也可能已經(jīng)涵蓋了事前、事中和事后等各個階段。但是，這樣的防御體系仍然難以有效防止來自互聯(lián)網(wǎng)的入侵和攻擊，以及信息竊取，尤其是新型APT攻擊。APT攻擊為復合型攻擊，以下手段為APT攻擊常用的手段。

1.1 社會工程學

社會工程學（Social Engineering），一種通過對受害者心理弱點、本能反應、好奇心、信任、貪婪等心理陷阱進行諸如欺騙、傷害等危害手段，取得自身利益的手法。近年來已呈迅速上升甚至濫用的趨勢。社會工程學陷阱通常以交談、欺騙、假冒或口語等方式，從合法用戶那里套取用戶系統(tǒng)的秘密，例如：用戶名單、用戶密碼及網(wǎng)絡結構。

1.2 基于WEB的滲透攻擊

基于Web方式的滲透攻擊即攻擊者通過在正常的網(wǎng)站頁面中（通常是網(wǎng)站的主頁）插入一段代碼。瀏覽者在打開該頁面的時候，這段代碼被執(zhí)行，然后下載并運行某滲透攻擊的服務器端程序，進而攻擊和控制瀏覽者的主機。

1.3 基于病毒木馬攻擊

通過病毒木馬目標實施攻擊，可能是很復雜的網(wǎng)絡，如Stuxnet病毒、Flame病毒。

1.4 基于文件0day的攻擊

利用收集的郵件進行定向攻擊。發(fā)送帶惡意代碼的文本格式文件 如：office， pdf等。如Stuxnet病毒就利用了3個0day漏洞。

1.5 基于異常流量攻擊

1)網(wǎng)絡掃描嗅探的異常流量；

2）遠程溢出數(shù)據(jù)；

3）內網(wǎng)病毒木馬爆發(fā)的異常流量；4）數(shù)據(jù)回傳時的異常流量。

2 漏洞挖掘技術介紹

2.1 漏洞的定義

漏洞（Vulnerability）是指系統(tǒng)中存在的一些功能性或安全性的邏輯缺陷，包括一切導致威脅、損壞計算機系統(tǒng)安全性的所有因素，是計算機系統(tǒng)在硬件、軟件、協(xié)議的具體實現(xiàn)或系統(tǒng)安全策略上存在的缺陷和不足。信息系統(tǒng)中存在漏洞是無法避免的問題，一旦某些較為嚴重的漏洞被攻擊者發(fā)現(xiàn)，就有可能被其利用，在未授權的情況下訪問或破壞信息系統(tǒng)。

2.2 漏洞發(fā)掘技術

目前對于漏洞挖掘技術的分類，根據(jù)分析對象的不同，主要分為基于源代碼的漏洞挖掘技術和基于目標代碼的漏洞挖掘技術兩大類?；谠创a的漏洞挖掘既通過分析其公布的源代碼，就可能找到存在的漏洞。如對Linux系統(tǒng)的漏洞挖掘就可采用這種方法。

基于目標代碼的漏洞挖掘首先將要分析的二進制目標代碼反匯編，得到匯編代碼；然后對匯編代碼進行切片，即對某些上下文關聯(lián)密切、有意義的代碼進行匯聚，降低其復雜性；最后通過分析功能模塊，來判斷是否存在漏洞。

漏洞挖掘技術從逆向分析的軟件測試角度，一般又可分為白箱分析、黑箱分析和灰箱分析三類。

具體的漏洞挖掘技術分析手段，又主要分為手工測試、Fuzzing技術、二進制對比技術、靜態(tài)分析技術、動態(tài)分析技術等。

2.2.1 手工測試

手工測試是通過客戶端或服務器訪問目標服務，手工向目標程序發(fā)送特殊的數(shù)據(jù)，包括有效的和無效的輸入，觀察目標的狀態(tài)、對各種輸入的反應，根據(jù)結果來發(fā)現(xiàn)問題的漏洞檢測技術。手工測試不需要額外的輔助工具，可由測試者獨立完成，實現(xiàn)起來比較簡單。但這種方法高度依賴于測試者，需要測試者對目標比較了解。手工測試可用于Web應用程序、瀏覽器及其他需要用戶交互的程序。

2.2.2 Fuzzing技術

Fuzzing是一種基于缺陷注入的自動軟件測試技術，它利用黑盒測試的思想，使用大量半有效的數(shù)據(jù)作為應用程序的輸入，以程序是否出現(xiàn)異常為標志，來發(fā)現(xiàn)應用程序中可能存在的安全漏洞。所謂半有效的數(shù)據(jù)是指對應用程序來說，文件的必要標識部分和大部分數(shù)據(jù)是有效的，這樣應用程序就會認為這是一個有效的數(shù)據(jù)，但同時該數(shù)據(jù)的其他部分是無效的，這樣應用程序在處理該數(shù)據(jù)時就有可能發(fā)生錯誤，這種錯誤能夠導致應用程序的崩潰或者觸發(fā)相應的安全漏洞。Fuzzing技術是利用Fuzzer工具通過完全隨機的或精心構造一定的輸入來實現(xiàn)的。

2.2.3 二進制對比技術

二進制比對技術又可稱為補丁比對技術，它主要是被用以挖掘“已知”的漏洞，因此在一定意義上也可被認為是一種漏洞分析技術。由于安全公告中一般都不指明漏洞的確切位置和成因，使得漏洞的有效利用比較困難。但漏洞一般都有相應的補丁，所以可以通過比較補丁前后的二進制文件，確定漏洞的位置和成因。

2.2.4 靜態(tài)分析

靜態(tài)分析是通過詞法、語法、語義分析檢測程序中潛在的安全問題，發(fā)現(xiàn)安全漏洞的，其基本思想方法也是對程序源程序的靜態(tài)掃描分析，故也歸類為靜態(tài)檢測分析。靜態(tài)分析重點檢查函數(shù)調用及返回狀態(tài)，特別是未進行邊界檢查或邊界檢查不正確的函數(shù)調用（如strcpy，strcat等可能造成緩沖區(qū)溢出的函數(shù)）、由用戶提供輸入的函數(shù)、在用戶緩沖區(qū)進行指針運算的程序等。

3 補丁對比漏洞挖掘技術

3.1 補丁對比技術介紹

如前文所述，補丁對比技術又稱二進制比對技術。補丁比對技術對于安全人員及黑客都是非常有用的技術，通過補丁比對分析，定位漏洞代碼，再加以數(shù)據(jù)流分析，最后可以得到漏洞利用的攻擊代碼。有經(jīng)驗的安全專家或黑客甚至能在很短的時間內就完成這個漏洞挖掘與利用的過程。

補丁比對技術有很多，簡單的比較方法有二進制字節(jié)比較和二進制文件反匯編后的文本比較，前者只適用于若干字節(jié)變化的比較；而后者缺乏對程序邏輯的理解，沒有語義分析，適用于小文件和少量的變化。這兩種方法都不適合文件修改較多的情況。較復雜的方法還有Tobb Sabin提出的基于指令相似性的圖形化比較和Halvar Flake提出的結構化二進制比較，前者可以發(fā)現(xiàn)文件中一些非結構化的變化，如緩沖區(qū)大小的改變等，并且圖形化顯示比較直觀。其不足是受編譯器優(yōu)化的影響較大，且不能在兩個文件中自動發(fā)現(xiàn)大量比較的起始點。后者注重二進制可執(zhí)行文件在結構上的變化，從而在一定程度上消除了編譯器優(yōu)化對分析二進制文件所帶來的影響，但這種方法不能發(fā)現(xiàn)非結構的變化。

常用的補丁比對工具有IDefense公司發(fā)布的IDACompare、The eEye Digital Security發(fā)布的Binary Diffing Suite（EBDS）以及Sabre Security的BinDiff。它們都是基于結構化二進制比較技術的補丁比對工具。此外，NCNIPC還于2007年12月發(fā)布了NIPC Binary Differ（NBD）補丁比對工具，大大的擴充了經(jīng)典算法中簡易簽名。

3.2 補丁對比漏洞挖掘實例詳解

2012年3月13日 ，微軟發(fā)布安全公告MS12-020，同時發(fā)布安全補丁。此補丁修復了兩個漏洞，CVE標識分別為CVE-2012-0002（KB2621440）和CVE-2012-0152（KB2667402）。

其中，較為重要的是CVE-2012-0002：遠程桌面協(xié)議漏洞。該漏洞影響Microsoft Windows XP SP2 and SP3, Windows Server 2003 SP2, Windows Vista SP2, Windows Server 2008 SP2, R2, and R2 SP1, and Windows 7 Gold and SP1等多個版本，遠程桌面協(xié)議訪問內存中未正確初始化或已被刪除的對象的方式中存在一個遠程執(zhí)行代碼漏洞。

對于此漏洞，微軟未批露相關技術細節(jié)，本文將以KB2621440補丁更新前后比較的方式，對該漏洞原理進行探究，并嘗試構造漏洞觸發(fā)樣本。

微軟的更新中提到該安全更新通過修改遠程桌面協(xié)議處理內存中數(shù)據(jù)包的方式以及 RDP 服務處理數(shù)據(jù)包的方式來解決漏洞。也就是說漏洞是由于系統(tǒng)自帶服務RDP服務處理數(shù)據(jù)包時出現(xiàn)了問題。通過下載補丁前后的rdpwd.sys

可以看到其中的HandleAttachUserReq函數(shù)在補丁前后變化較大，相似率僅為82%。

我們可以查看詳細的函數(shù)流程，補丁后的文件多了一部分比較，補丁前，在通過調用ListRemove函數(shù)來斷開內存鏈的時候忽視了某些問題，補丁后在斷鏈之后還進行了一個比較，并在一定條件下會調用ExFreePoolWithTag，這個函數(shù)的作用為取消標簽指定的分配的內存資源，原型為：

NTKERNELAPI VOID ExFreePoolWithTag(

IN PVOID P, //分配內存的起始地址

IN ULONG Tag //內存標簽

);

也就是說在補丁后，多增加了一個if判斷，如果此時的P不為空，且＊((_BYTE ＊)P + 5)為空，則調用ExFreePoolWithTag來釋放起始地址為P，標簽為0的一塊內存。

通過分析系統(tǒng)補丁我們發(fā)現(xiàn)了漏洞原理后，我們便搭建一個模擬環(huán)境進行漏洞驗證，環(huán)境的系統(tǒng)為Windows XP Professional SP3，開啟了3389端口處于Listening狀態(tài)。由于出問題的地方位于RDP服務，我們編寫一個基本的腳本去發(fā)起RDP連接，抓包并結合WinDBG調試，中斷在SListRemove，調用了DetachUser，發(fā)現(xiàn)只有多次調用SListRemove及 DettachUser時會使用到SListRemove斷鏈附近的內存空間。我們嘗試達成在HandleAttachUserReq函數(shù)里，＊((_BYTE ＊) P + 5)為空，P不為空。最終，構造出的POC（漏洞驗證代碼）。

主要流程是正常的RDP連接，并發(fā)送有多個請求，并包含一部分user data數(shù)據(jù)。

調試過程中，在第三次DetachUser時，eip指針指向了未釋放的內存，然后從b2350434直接跳到了80528bec。

這個時候系統(tǒng)自身的保護機制已經(jīng)檢測到運行到無效指針了。系統(tǒng)的自保護函數(shù)開始運行。目標機也已經(jīng)進入黑屏，繼續(xù)藍屏。

由于釋放后重用的指針不可控，所以該漏洞常用于造成DoS攻擊，對于開啟了3389端口的相應windowsXP、2003、2008、7等操作系統(tǒng)，均可造成直接藍屏，對于這個漏洞的相關安全補丁也已經(jīng)及早由微軟安全中心、各大殺毒廠商推送。并且由于需要相應ip及3389端口 ，所以一般常用于內網(wǎng)攻擊，對于與外網(wǎng)相連只要關閉3389端口即可，當然最重要的還是及早更新。

4 結束語

本文首先對APT攻擊進行了詳細的介紹，接著分析了幾種常見的APT攻擊方法，提出了補丁對比技術在APT攻擊中的應用。然后從系統(tǒng)及WEB漏洞補丁對比兩個案例為例展示了如何利用補丁對比來進行漏洞挖掘和利用從而進行APT攻擊。最后提醒應用軟件開發(fā)商在進行補丁修補時要從安全的角度對補丁修補采用一定的混淆技術。

[1] Greg Day. 文章名[Advanced persistent threats-time to run for cover].

[2] Ali Lslam.文章名[2013:Attack Trends For The Year Ahead]

[3] Alex Lanstein.文章名[APTs By The Dozen:Dissecting Advanced Attacks]

[4] Eddie Schwartz.文章名[SPO-208-Getting Ahead of Targeted and Zero-Day Malware Using Multiple Concurrent Detection Methodoloies].

[5] Aaron Turner.文章名[MobileAPT:How Rogue Base Stations Can Root Your Devices]

Patch Contrast Vulnerability Mining Technology Used in APT Attack

Guo Wei,Jiang Han,Deng Yundong
(Yunnan State Grid Network Information Center， 650217)

It is the seriousness of APT attack that poses a great threat to the network security of mass use rs.The ways that APT attacks are various,while the most dangerous one is the technology of taking advantag e of bugs.This research brings forward how vulnerability detection is applied in dealing with APT Attacks. It elaborates vulnerability mining technology principle of comparative patch and examples and the harm and proposes suggestion accordingly.

Advanced Persistent Threat；Zero day Vulnerability；Patches Comparison；Vulnerability detection；Social Engineering

云南電網(wǎng)年度科技基金資助項目“高級持續(xù)性威脅檢測研究”（K-YN2013-148）

江瀚，男，工程師，通信工程專業(yè)，主要從事信息安全工作；

郭威，男，助理工程師，信息技術專業(yè)，主要從事信息安全工作；鄧韻東，男，助理工程師，主要從事軟件開發(fā)和信息系統(tǒng)測評工作