ToB企服应用市场:ToB评测及商务社交产业平台

标题: LyScript 实现应用层钩子扫描器 [打印本页]
作者: 去皮卡多    时间: 2022-9-6 09:10
标题: LyScript 实现应用层钩子扫描器
Capstone 是一个轻量级的多平台、多架构的反汇编框架，该模块支持目前所有通用操作系统，反汇编架构几乎全部支持，本篇文章将运用LyScript插件结合Capstone反汇编引擎实现一个钩子扫描器。
要实现应用层钩子扫描，我们需要得到程序内存文件的机器码以及磁盘中的机器码，并通过capstone这个第三方反汇编引擎，对两者进行反汇编，最后逐条对比汇编指令，实现进程钩子扫描的效果。
LyScript项目地址：https://github.com/lyshark/LyScript
通过LyScript插件读取出内存中的机器码，然后交给第三方反汇编库执行，并将结果输出成字典格式。
  1. #coding: utf-8
  2. import binascii,os,sys
  3. import pefile
  4. from capstone import *
  5. from LyScript32 import MyDebug
  7. # 得到内存反汇编代码
  8. def get_memory_disassembly(address,offset,len):
  9.     # 反汇编列表
  10.     dasm_memory_dict = []
  12.     # 内存列表
  13.     ref_memory_list = bytearray()
  15.     # 读取数据
  16.     for index in range(offset,len):
  17.         char = dbg.read_memory_byte(address + index)
  18.         ref_memory_list.append(char)
  20.     # 执行反汇编
  21.     md = Cs(CS_ARCH_X86,CS_MODE_32)
  22.     for item in md.disasm(ref_memory_list,0x1):
  23.         addr = int(pe_base) + item.address
  24.         dasm_memory_dict.append({"address": str(addr), "opcode": item.mnemonic + " " + item.op_str})
  25.     return dasm_memory_dict
  27. if __name__ == "__main__":
  28.     dbg = MyDebug()
  29.     dbg.connect()
  31.     pe_base = dbg.get_local_base()
  32.     pe_size = dbg.get_local_size()
  34.     print("模块基地址: {}".format(hex(pe_base)))
  35.     print("模块大小: {}".format(hex(pe_size)))
  37.     # 得到内存反汇编代码
  38.     dasm_memory_list = get_memory_disassembly(pe_base,0,pe_size)
  39.     print(dasm_memory_list)
  41.     dbg.close()
复制代码
效果如下：

我们将文件反汇编也写一下，然后让其对比，这样就可以实现扫描内存与文件中的汇编指令是否一致。
  1. #coding: utf-8
  2. import binascii,os,sys
  3. import pefile
  4. from capstone import *
  5. from LyScript32 import MyDebug
  7. # 得到内存反汇编代码
  8. def get_memory_disassembly(address,offset,len):
  9.     # 反汇编列表
  10.     dasm_memory_dict = []
  12.     # 内存列表
  13.     ref_memory_list = bytearray()
  15.     # 读取数据
  16.     for index in range(offset,len):
  17.         char = dbg.read_memory_byte(address + index)
  18.         ref_memory_list.append(char)
  20.     # 执行反汇编
  21.     md = Cs(CS_ARCH_X86,CS_MODE_32)
  22.     for item in md.disasm(ref_memory_list,0x1):
  23.         addr = int(pe_base) + item.address
  24.         dic = {"address": str(addr), "opcode": item.mnemonic + " " + item.op_str}
  25.         dasm_memory_dict.append(dic)
  26.     return dasm_memory_dict
  28. # 反汇编文件中的机器码
  29. def get_file_disassembly(path):
  30.     opcode_list = []
  31.     pe = pefile.PE(path)
  32.     ImageBase = pe.OPTIONAL_HEADER.ImageBase
  34.     for item in pe.sections:
  35.         if str(item.Name.decode('UTF-8').strip(b'\x00'.decode())) == ".text":
  36.             # print("虚拟地址: 0x%.8X 虚拟大小: 0x%.8X" %(item.VirtualAddress,item.Misc_VirtualSize))
  37.             VirtualAddress = item.VirtualAddress
  38.             VirtualSize = item.Misc_VirtualSize
  39.             ActualOffset = item.PointerToRawData
  40.     StartVA = ImageBase + VirtualAddress
  41.     StopVA = ImageBase + VirtualAddress + VirtualSize
  42.     with open(path,"rb") as fp:
  43.         fp.seek(ActualOffset)
  44.         HexCode = fp.read(VirtualSize)
  46.     md = Cs(CS_ARCH_X86, CS_MODE_32)
  47.     for item in md.disasm(HexCode, 0):
  48.         addr = hex(int(StartVA) + item.address)
  49.         dic = {"address": str(addr) , "opcode": item.mnemonic + " " + item.op_str}
  50.         # print("{}".format(dic))
  51.         opcode_list.append(dic)
  52.     return opcode_list
  54. if __name__ == "__main__":
  55.     dbg = MyDebug()
  56.     dbg.connect()
  58.     pe_base = dbg.get_local_base()
  59.     pe_size = dbg.get_local_size()
  61.     print("模块基地址: {}".format(hex(pe_base)))
  62.     print("模块大小: {}".format(hex(pe_size)))
  64.     # 得到内存反汇编代码
  65.     dasm_memory_list = get_memory_disassembly(pe_base,0,pe_size)
  66.     dasm_file_list = get_file_disassembly("d://win32project1.exe")
  68.     # 循环对比内存与文件中的机器码
  69.     for index in range(0,len(dasm_file_list)):
  70.         if dasm_memory_list[index] != dasm_file_list[index]:
  71.             print("地址: {:8} --> 内存反汇编: {:32} --> 磁盘反汇编: {:32}".
  72.                   format(dasm_memory_list[index].get("address"),dasm_memory_list[index].get("opcode"),dasm_file_list[index].get("opcode")))
  73.     dbg.close()
复制代码
此处如果一致，则说明没有钩子，如果不一致则输出，这里的输出结果不一定准确，此处只是抛砖引玉。


免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！



欢迎光临 ToB企服应用市场:ToB评测及商务社交产业平台 (https://dis.qidao123.com/) Powered by Discuz! X3.4