面向安全评估的攻击免杀技术研究

发布时间：2020-08-22 13:27

【摘要】：安全评估用于对企业内部的信息系统进行全面评估。近几年来,针对企业等大型机构的入侵行为大幅增加,安全评估可用于模拟入侵行为,机构负责人可根据安全评估的结果找到企业内部信息系统的脆弱点并予以加强。为模拟真实入侵行为,在安全评估中使用的渗透测试代码样本应当绕过杀毒软件查杀。本文通过逆向工程等手段对杀毒软件原理进行深入研究,并提出了三种可绕过杀毒软件的免杀技术,据此设计了免杀辅助工具及渗透测试代码投放平台。本文提出了混淆、白名单、沙盒绕过三种免杀手段。其中利用密码学及NP-Complete问题设计了杀毒软件难以识别的混淆方案,通过对Windows API的调用分析判断白名单程序能否用于实现免杀,基于沙盒技术自身的局限提出了稳定绕过沙盒查杀的方案。本文实现的工具有以下特点:1)使用了通过分析杀毒软件原理而提出的较全面的免杀技术。2)使用了通用的免杀技术,针对不同编程语言均有效。3)该工具能够有效降低恶意代码样本的被查杀率。实验结果表明,使用本文设计的免杀辅助工具提出的免杀策略能有效降低渗透测试代码投放平台使用的样本的被查杀率,样本最终能绕过NOD32、Kasperkey、Symentac等企业级杀毒软件,即在安全评估中使用本文提出的免杀技术可以达到预期效果。
【学位授予单位】：上海交通大学
【学位级别】：硕士
【学位授予年份】：2018
【分类号】：F272;TP309
【图文】：

熵值,检测流程,确认程序

上海交通大学硕士学位论文析被加壳的样本，但可以通过熵值[22, 23]判断样本是否被加壳，构造可视化的图[24]可以判断程序是否只是部分加壳。在此基础上，该论文[25]基于小波分解步挖掘了程序的加壳情况。在确认程序加壳且难以脱壳后，通常只能选择动析[26]程序行为。图 2-1 是基于熵值检测的杀毒软件分析流程。

流程图,杀毒,流程,符号执行

-17-图 2-2 理想杀毒系统的查杀流程Fig.2-2 Ideal anti-virus system handling process该系统难以在用户机器中实现，原因在于混合符号执行[17, 33]、调用链匹配技术比较耗时，分析一个样本可能需要数天时间。现代杀毒软件在云端实现分类、符号执行等较耗时的查杀手段。不具备学习能力是杀毒软件自身存在的瓶颈，以勒索软件为例，该软件之所以能广泛传播[34]，一个原因就是其特征无法被杀毒软

示意图,示意图,白名单,令牌

上海交通大学硕士学位论文总体而言，杀毒软件的白名单不算通用的免杀技术，在厂商修有效防止未授权的白名单修改行为。3.3.2 系统白名单在内核 Windows NT 6.0 之前，Windows 系统没有复杂的安全机所在组进行权限划分。在 Vista 版本及以后引入了用户账户控制机制户以管理员身份登录后会被授予两个令牌。对于所有操作系统均使当程序主动要求管理员令牌或用户主动使用管理员令牌时将触发 UA序在通过/未通过 UAC 授权时的行为也有所区别。 UAC 检查机制如

【相似文献】