欢迎来到 黑吧安全网 聚焦网络安全前沿资讯,精华内容,交流技术心得!

如何解密出被混淆的PowerShell脚本?

来源:本站整理 作者:aWe18s 时间:2018-08-30 TAG: 我要投稿

最近在分析样本时,遇到了不少使用PowerShell脚本的病毒程序,这些脚本基本都是经过混淆处理过的,给分析过程带来了一些麻烦。
我们知道PowerShell是微软推出的一款强大的命令行脚本环境,连微(ju)软(ying)这样低调的公司都将其以“Power”冠名,足见其强大之处。但凡事都有两面性,PowerShell能够为用户管理Windows系统带来便捷,也同样可以为黑客大开方便之门,沦为黑客违法行为的工具。而PowerShell灵活的语言特性又使其能够轻易的被混淆处理,混淆过的PowerShell脚本不仅使得基于特征码的杀软很难查杀,也给病毒分析工作增加了难度。
本文基于笔者在分析PowerShell病毒过程中的经验,总结了解密被混淆过的PowerShell脚本的一些方法。
0×01 PowerShell代码混淆方法
想要去混淆,首先要了解有哪些混淆的方法。在17年的黑帽大会上,有人专门对此做过演讲。
主要包括:转义符(反引号)、简写与通配符*、脚本块、字符串处理、编码、自构造关键字替换等,这里不做详细介绍。
0×02 如何实现去混淆?
先看一个被混淆过的PowerShell脚本:


中间都是被混淆的代码,已经面目全非,所以只看头尾。可以发现混淆后其实只有一行代码,是一条IEX命令。查看微软对IEX的解释:

IEX用于将字符串作为命令执行,当去掉IEX后,执行后就会显示原本的字符串。
观察整段程序,其格式可以提取为:IEX( -jOiN(‘aaa’).SplIT( 'LzX>hGp!' ) |%{ ([chaR] ([CONVErT]::TOiNT16( ([StrIng]$_),16) ))} )),括号中的代码其实就是对字符串‘aaa’进行处理,将其还原成原本要执行的代码,处理完后调用IEX执行。
因此我们可以类比脱壳的思想,即无论程序怎样加壳,最终执行后都会把原本的代码吐出来,PowerShell也是如此,无论怎样混淆,最终都会执行它原本的代码。
将脚本开头的IEX去掉,并将执行结果输出到文件1.ps1中:

打开1.ps1,可以看到去混淆后的PowerShell代码:

有时IEX不一定在开头,也可能在结尾,如下:


这其实也是一行代码,其格式可以提取为:“aaa” | Invoke-Expression。也是将字符串当作命令执行,去混淆时只需删除结尾的| Invoke-Expression即可。
有时也会有找不到IEX的情况,如下:


可以看到这也是一行代码,但首尾都找不到IEX,这种情况如何处理呢?观察这行代码,可以将其提取为:&(“aaa”)(“bbb”)。&是PowerShell的操作符,调用&可以将字符串或变量当作命令执行。所以这里的&( $psHOme[4]+$pshOme[34]+'x')其实是一个命令。
这是什么命令呢?首先看下$psHOme表示什么:

可以看到它其实就是系统中PowerShell的路径。那么$psHOme[4]和$pshOme[34]就应该分别是这个路径字符串中的一个字符:

连起来正好是“iex”:

所以&( $psHOme[4]+$pshOme[34]+'x')其实等同于IEX命令,我们把它从脚本前面去掉,然后执行,可以看到去混淆后的代码:

前面都能够通过去掉头尾的IEX实现去混淆,但有时去掉后不一定就是可读的代码,如下:

[1] [2]  下一页

【声明】:黑吧安全网(http://www.myhack58.com)登载此文出于传递更多信息之目的,并不代表本站赞同其观点和对其真实性负责,仅适于网络安全技术爱好者学习研究使用,学习中请遵循国家相关法律法规。如有问题请联系我们,联系邮箱admin@myhack58.com,我们会在最短的时间内进行处理。
  • 最新更新
    • 相关阅读
      • 本类热门
        • 最近下载