文章作者：xyzreg
作者网站：http://www.xyzreg.net
信息来源：邪恶八进制信息安全团队（forum.eviloctal.com）


这是今年我在XCON2007（安全焦点信息安全技术峰会）所演讲的议题，现在提供ppt资料下载

地址： http://www.xyzreg.net/down/xcon2007_xyzreg.rar

议题介绍:

主动防御技术已被杀毒软件、软件防火墙、HIPS等安全软件广泛采用，现有的后门木马、Rootkit等恶意软件面临严峻考验。无论传统的恶意软件功能有多强大隐蔽性有多高，初次安装以及工作时都会被主动防御功能拦截并提示用户，使其无法正常安装和工作。本议题阐述了主动防御技术的应用现状和原理，并深入Windows系统内核详细讲解突破主动防御的各种方法和思路。

坦白讲,从发展趋势看,恶意软件的生存空间将会越来越小.
网络只会越来越安全.

我就想知道，现在杀软对URLDOWNLOADTOFILE这个函数进行查杀了，怎么解决呢？

引用:

引用第3楼dayang1718于2007-11-04 21:34发表的 :
我就想知道，现在杀软对URLDOWNLOADTOFILE这个函数进行查杀了，怎么解决呢？

动态调用，UrlDownloadToFile在GetProcAddress之前加密~ 再不行就用WININET函数替代，或者用winsocket函数实现。

对付虚拟机式的启发式可以分析一下在虚拟启发式时和正常模式有什么不同，有些AV没虚拟某些指令。对于PELoader APIHOOK式的就更好对付了。

　　最近遇到一个dll，虽然不是什么高深的技术，也让人头疼，他Inline - RelativeJump了很多函数，这种“Inline - RelativeJump”方式，xyzreg你怎么解决呢？　

引用:

引用第5楼asm于2007-11-04 23:47发表的 :
　　最近遇到一个dll，虽然不是什么高深的技术，也让人头疼，他Inline - RelativeJump了很多函数，这种“Inline - RelativeJump”方式，xyzreg你怎么解决呢？　

? inline hook 嘛~

你想表达什么意思，是某安全软件的dll？恢复hook呗。

是恶意软件的dll。。。

恢复inline　hook？不会。。目前就会hook LoadLibraryA来监视。。

怎么现在的下载者都是使用那个UrlDownloadToFile呢，奇怪了
我就是使用的WinInet，写了有好几十行。
但生成的程序在VC6下简单设置了一下编译选项后只有3.5K，很不错了

引用:

引用第1楼andds于2007-11-04 18:30发表的 :
坦白讲,从发展趋势看,恶意软件的生存空间将会越来越小.
网络只会越来越安全.

突破主动防御是现在很热门的话题，不过我不认为主动防御会让恶意软件没有生存空间，只能说现在主动防御稍稍占了上风而已。

主动防御我觉得只是将导致恶意软件两级分化,一般人将很难写出破坏大的恶意软件,但对于掌握一些核心技术的牛牛们来说,无视.

引用:

引用第10楼g0ug0u于2007-11-06 19:27发表的 :
主动防御我觉得只是将导致恶意软件两级分化,一般人将很难写出破坏大的恶意软件,但对于掌握一些核心技术的牛牛们来说,无视.

言之有理，现在核心技术都被当成饭碗，因此不会被牛牛公布，就像有钱人越有钱，没钱人越没钱一样

对付很多恶意软件,装个HIPS就够了..
所以,以后杀软的方向应该是想主动防御发展..
行为分析大概会取代靠特征码...

Ps:菜鸟观点...高手略过.

安全一直都是在平民化的，即使是写驱动这种页一样，很多人都已经开始SSDT Hook和恢复了。但是实际上很多东西只是掌握在少数人的手里而已。平时接触的时候细心一下很多东西就都了解了。

面对如此多的HIPS和杀毒软件，实际上bypass也是比较简单的事情，只是平常你有没发现罢了....

引用:

引用第1楼andds于2007-11-04 18:30发表的 :
坦白讲,从发展趋势看,恶意软件的生存空间将会越来越小.
网络只会越来越安全.

我确实也很赞成你的说法.
随着利益的兴起,许多核心技术都与利益挂勾,而这些技术只会在少数人手里.
如今的网络,谁也不愿意公布自己的劳工成果.都把一些技术雪藏在背后,然后在地下买卖,技术得不到交流与沟通,也只会导致网络安全的不平衡对立...
无奈呀,这是一种趋势,未来的网络安全又会是怎么样呢?

主动防御是一个错误的方向

我没用防火墙和杀软，只做了网络监听和行为日志，然后每天筛选，手工的，但成果很好，我对主动防御的观点很明确，这是一个好办法，计算机不是只为会计算机的牛牛所用的，很多人都希望得到计算机的帮助，为什么要选择去破坏而不是去保护呢？所以，拼命的要让软件向应用层靠拢，要让老百姓靠拢，就是要两极化，这样才可以买钱，才有动力去创新，最终受益的还是大多数用计算机劳动的人，所以劳动者最光荣，只要珍惜别人的劳动成果，其他的没必要去很过分的争执

引用:

引用第1楼andds于2007-11-04 18:30发表的 :
坦白讲,从发展趋势看,恶意软件的生存空间将会越来越小.
网络只会越来越安全.

未必是这样吧
难道主动防御的来临
木马就要消失

这是不现实的

恶意软件和木马的免杀隐藏程度会提高

攻防实在是对立的
没有谁完全把谁消灭掉的

主动防御能暂时阻止破坏

楼主的意思是说可以绕过所有的安全软件,包括SSM?

主动防御已经是杀软发展的一个趋势了

主动防御是不是也是通过特征码来判断程序是否是病毒？
如果是，主动防御必然会被突破~~

楼上的请认真看一下讲义，如果还是依靠特征码，那是以前的杀毒软件，现在的好像是依据函数的调用，不对的高手指导

引用:

原帖由 lantion 于 2008-5-3 13:57 发表
主动防御已经是杀软发展的一个趋势了

主动防御是不是也是通过特征码来判断程序是否是病毒？
如果是，主动防御必然会被突破~~

你连主动防御是什么都不知道 就别瞎缠和了.

可以这么比喻吧：
特征码扫描好比通过看一个人的长相来识别人。
只要这个人往脸上多搞点化妆品，头发养长点，口红涂黑点，眉毛画细点。。。。。。。
就很有可能让特征码扫描认不出来。
而主动防御好比通过照X光来识别人，第一次照X光后，骨骼形状就被记录下来作为下次识别的依据。
这回，这个人还是往脸上多搞点化妆品，头发养长点，口红涂黑点，眉毛画细点。。。。。。。
但是，主动防御通过X光照射后，骨骼形状还是没变啊。。所以它还是能认出这个人来。
所以，要通过主动防御，其中一个办法就是修改“基因”，也就是程序作者创造出新思路，让生成的程序的“骨骼”形状完全不一样。。。