프로세스에서 TracerPID를 숨기는 방법은 무엇입니까?

Question 1

내가 찾은 유일한 방법은 다음과 같습니다.커널을 패치하다. 이 것을 해킹하는 데에도 사용될 수 있다고 생각하지만 LD_PRELOAD나중에 확인해 보겠습니다.

Answer

내가 찾은 유일한 방법은 다음과 같습니다.커널을 패치하다. 이 것을 해킹하는 데에도 사용될 수 있다고 생각하지만 LD_PRELOAD나중에 확인해 보겠습니다.

Question 2

실제로 동일한 방식으로 보호되는 다른 프로그램을 디버그하려는 경우 커널 패치가 더 흥미로운 솔루션이 될 수 있습니다. 예를 들어, gdb동일한 트릭을 사용하여 디버깅 중인지 감지합니다.

그러나 귀하의 질문에 따라 TracerPID표시된 PID가 0과 다를 때 mssql 서버 동작을 수정하는 방법을 조사한 결과 더 깨끗한 솔루션을 찾았습니다.

나는 Hopper를 사용하여 MS SQL 서버 바이너리를 분해/역컴파일했고 sqlservr디버깅을 방지하기 위해 TracerPID를 확인하는 문제가 있는 서브루틴을 발견했습니다.

Hopper 디컴파일 출력에서 문제의 함수는 다음과 같습니다.

int sub_2d6d0() {
    r14 = fopen(0xa9b4e, 0xb6444);
    rbx = 0x0;
    if (r14 == 0x0) goto loc_2d791;

loc_2d702:
    var_30 = 0x0;
    var_38 = 0x0;
    r15 = &var_30;
    r12 = &var_38;
    goto loc_2d730;

loc_2d730:
    rbx = 0x0;
    if (__getdelim(r15, r12, 0xa, r14) < 0x0) goto loc_2d77b;

loc_2d74a:
    rax = strstr(var_30, "TracerPid:");
    if (rax == 0x0) goto loc_2d730;

loc_2d75b:
    var_40 = 0x0;
    rbx = strtol(rax + 0xb, &var_40, 0xa);
    goto loc_2d77b;

loc_2d77b:
    rdi = var_30;
    if (rdi != 0x0) {
            free(rdi);
    }
    fclose(r14);
    goto loc_2d791;

loc_2d791:
    rax = rbx;
    return rax;
}

(심하게 편집된) 인간의 해석에서 이 함수에 대한 C 의사 코드는 다음과 같습니다.

int  IsMonitorProcess() {                          ; sub_2d6d0
    FILE * f = fopen("/proc/self/", "r" );
    int pid = 0;                                   ; rbx
    char *s = NULL;

    if (f != NULL ) 
    {             
        while (__getdelim(s, 0, 0xa, f) >= 0x0) 
        {
            char *temp;

            temp = strstr(s, "TracerPid:");
            pid = 0;
            if (temp != NULL)
                pid = strtol(temp + 0xb, NULL, 10);
        }

        if (s != NULL) {
               free(s);
        }

        fclose(f);
    }

    return pid;
}

strstr문자열 "TracerPid:"가 발견 되면 temp/럭스0(NULL)과 다릅니다.

그런 다음 strtol호출은 문자열의 나머지 부분을 (긴) 정수로 변환합니다.RBX반환된 값 strtol(실제로는 디스어셈블리 목록에 있음)럭스).

따라서 언급한 대로 커널을 패치하는 것 외에도 추적 감지를 비활성화하는 두 가지 솔루션이 있습니다.

더 깔끔한 솔루션: 호출 시 LD_PRELOAD를 사용하여 로드되는 라이브러리를 작성합니다 sqlservr.

가장 간단한 해결책은 "TracerPid:"를 발견하면 다음 호출이 0을 반환 하도록 플래그를 활성화하는 코드를 가로채서 작성하는 것입니다 strstr.strtolstrstrstrtol

(바이너리를 두 번 확인했는데 실제로 동적으로 로드 strstr되었습니다 strtol.)

또 다른 옵션은 가로채기 fopen이지만 코드가 좀 더 복잡할 수 있습니다.

바이너리 가 패치되었으며 다음과 같이 로 sqlservr대체됩니다 .rax = rbxrax = 0RBXstrtol"TracerPid:" 이후 값의 긴 변환을 위해 /String을 저장합니다 .

이 솔루션의 단점은 새 버전이 나올 때마다 다시 패치해야 한다는 것입니다.

실제로 회의 자체 내에서는RBX레지스터 로딩은 호출 직후에 발생합니다 strtol. 바이너리는 mov rbx, rax에서 또는 까지 중 더 짧은 xor rbx,rbx것으로 패치 될 수 있습니다 mov rbx,0.

000000000002d75b         mov        qword [rbp+var_40], 0x0
000000000002d763         add        rax, 0xb
000000000002d767         lea        rsi, qword [rbp+var_40]                     ; argument "__endptr" for method j_strtol
000000000002d76b         mov        edx, 0xa                                    ; argument "__base" for method j_strtol
000000000002d770         mov        rdi, rax                                    ; argument "__nptr" for method j_strtol
000000000002d773         call       j_strtol                                    ; strtol
000000000002d778         mov        rbx, rax   <----------- xor rbx,rbx

                     loc_2d77b:
000000000002d77b         mov        rdi, qword [rbp+var_30]                     ; CODE XREF=sub_2d6d0+120
000000000002d77f         test       rdi, rdi
000000000002d782         je         loc_2d789

000000000002d784         call       j_free                                      ; free

                     loc_2d789:
000000000002d789         mov        rdi, r14                                    ; argument "__stream" for method j_fclose, CODE XREF=sub_2d6d0+178
000000000002d78c         call       j_fclose

LD_PRELOAD분명히 커널이나 바이너리 자체를 패치하는 것보다 이 솔루션을 사용하는 것이 좋습니다 .

이는 보다 깔끔한 솔루션이며 MSSQL 또는 커널 업그레이드를 수행할 때마다 이 작업을 다시 수행할 필요가 없습니다.

참고: 저는 mssql-server_14.0.3008.27-1_amd64.debMac에서 다운로드하여 압축을 풀었습니다.

LD_PRELOAD 라이브러리의 소스 코드에 대한 일반적인 아이디어는 다음과 같습니다.

int flag = 0;

char * strstr (const char *s1, const char *s2)
{
    if(!strcmp(s2, "TracerPid:"))
    {
        flag = 1;
    }
    .... rest of usual code
}

long strtol(const char *nptr, char **endptr, register int base)
{
    if(flag)
    {
        flag = 0;
        return 0;
    }
    .... rest of usual code
}

fopen요점만 언급한 내용 "/proc/self/": 이것은 버그가 아닙니다.

응, 그렇게 fopen하면 기분이 이상해 "/proc/self/". 아마도 그 뒤의 몇 가지 정수 변수는 런타임에 문자열의 나머지 부분을 완성하는 데 사용되는 공간을 채우는 데 사용됩니다. 이는 바이너리를 보려고 하는 사람을 속이기 위한 값싼 속임수입니다.

Answer