某网络监视器完整逆向
✎引子：
早些时候想去研究Windows Filter Platform （WFP），参考资料少且不齐全。贴吧、论坛搜集一些关于网络过滤、网络监听的工具。开始琢磨别人是怎样写，怎样实现的。然而没有去研究驱动层（很多原理性的东西需要时间），自己写用户层前一直琢磨，三环如何去实现这些网络监听？用什么API可以实现对数据包的捕获呢？怎样把这些数据进行处理？
当我看到其中的项目的时候，单纯的.exe文件，运行后也没有释放dll之类的动态资源，脑海中出现一个念头shellCode（这里就先叫shellCode了，其实准确说是机器码）。这个程序是好多年前的，比较单一，注入任意进程，捕获网络响应数据，兼容性也还不错，用360浏览器做测试，windows7~windwos10网络响应捕获正常。
这是给大家提供一些逆向的思路，并不是教程系列，有一定逆向基础才可以（对汇编、网络编程、OD等工具了解）。当遇到类似的程序或者问题，对他们的实现原理做到心中有度。
创新互联公司是一家朝气蓬勃的网站建设公司。公司专注于为企业提供信息化建设解决方案。从事网站开发，网站制作，网站设计，网站模板，微信公众号开发，软件开发，微信小程序开发，十年建站对成都混凝土搅拌站等多个领域，拥有多年的网站运维经验。
- 如下图所示:
图片一：网络监控exe
✎逆向分析目录：
| 1、注入代码分析 | 2、shellCode调试方法 | 3、shellCode动态分析 |
|---|---|---|
| --------★ ★ ★------- | -----------------★ ★ ★------------------- | -----------★ ★ ★ ★----------- |
☂草稿示意图：
图片二：程序流程草图
一、☛注入代码分析：
➊ 用IDA先简略的浏览一下汇编指令，发现反汇编代码不算多，了解了基本的程序结构，拖到OD开始动态调试。
➋ 如图二中第一步所示，获取被注入的数据，需要获取选中的目标进程Id等，并且OpenProcess打开目标进程，获取句柄才可以完成注入，如下图所示（图中关键代码已给出解释）：
图片三：获取目标进程信息及获取句柄
➌ 目标进程申请虚拟内存，如下图所示:
图片四：申请虚拟内存空间
➍ 目标进程虚拟内存申请之后，写入shellCode，且5次写入目标程序申请的虚拟内存空间，这个地方我们无需关系写入shellCode的内容及作用，后面会详细介绍，我们只需要通过反汇编简单看一下即可。
图片五：第一次写入shellCode
图片六：第二次写入shellCode
图片七：第三次写入shellCode
图片八：第四次写入shellCode
在第四次写入之后，又做了一些事情，如创建了事件（保证以下操作在多线程环境下安全），创建了一个全局句柄，如下图所示：
图片九：事件及新句柄创建
✍注意：第五次写入的是函数地址，图片中的注释是第一次分析时候注释，并不是IAT，也不是修复重定位，只是为了方便shellCode调用而写入的地址，在目标程序中shellCode会用到的函数地址，作为一个格外的附加项写入到了目标程序，如下图所示：
图片十：第五次写入shellCode
➎ 创建远程线程及且把第五次写入的shellCode作为参数执行：
图片十一：创建远程线程
以上就是整个目标程序注入的过程，发现并不复杂，这时候又要考虑，注入到目标进程shellCode，如何去分析这些代码呢？
二、☛shellCode调试方法：
第一次用的是dump，dump下来的是丢失的、不是完整的代码，思路很阻塞...... 后来找朋友请教了一些问题，思考后大体有以下两种办法供参考：
1、手动构建pe文件，修改shellCode或者写入到目标进程中shellCode，在虚拟内存空间二进制复制出来。二进制复制的代码拖入IDA中，我们需要手动去找些函数名称（根据第五次写入的函数），这样虽然能达到静态分析的过程，但是相对比较麻烦。下面是在010中打开的复制的shellCode，我们可以看到与第5次写入的函数完全一致，如下图所示：
图片十二：010中查看数据
2、双进程动态调试，在目标程序中分析观察（动态）。简单点来说，被注入的进程是你能够附加而且可以调试的程序（有网络响应）。就能动态的观察虚拟内存的申请、写入的过程。能下内存访问断点，能够动态的调试，而且是真实的应用环境下进行的，更为精准。
第三部分的内容将采用这种方式进行解析，分析代码都干了什么事情？是怎样捕获这些网络数据？下面我们一起来看。
三、☛shellCode动态分析：
1、双进程调试，注入程序与被注入程序。当注入程序（也就是图一软件），在目标进程中创建虚拟内存空间后，EAX会返回创建成功的地址，我们要到目标进程中找到地址，注意是目标进程中！
2、一般会遇到这种问题：在目标进程中Ctrl+G查找地址的时候会找不到注入程序申请的虚拟内存？明明申请都成功了为何还找不到？不慌！，我们在OD中Alt+M，然后拉到最下面（一般都在最下面），就会发现申请的虚拟内存空间。
3、当注入的程序调用WriteProcessMemory，5次写入代码的时候，我们就可以在目标程序的数据窗口跟随，动态的观察写入的数据，直到5次写入完成。
4、在创建远程线程之前，这时候目标程序中的虚拟内存应该是有数据的，因为写入已经完成。不要反汇编然后在申请的虚拟内存中F2，好像也没办法F2下断点。保险起见直接下内存访问断点即可，然后注入程序创建远程线程成功，我们就可以让目标程序跑起来，直接会在申请的虚拟内存中断下来，剩下的就好办了。
✎我们开始动态调试shellCode,这段代码先干了些什么？如下图所示：
图片十三：获取send、recv函数地址
这段代码先来了个获取send、recv的函数地址，竟然这样我们科普一下这两个函数，为了让大家更容易理解，下面写了一段简单的网络编程，来看以如何进行网络通讯。
先来看函数原型，send与recv两个函数，分别是发送与响应，函数原型如下：
int WSAAPI recv(
_In_ SOCKET s,
_Out_writes_bytes_to_(len, return) __out_data_source(NETWORK) char FAR * buf,
_In_ int len,
_In_ int flags
);
int WSAAPI send(
_In_ SOCKET s,
_In_reads_bytes_(len) const char FAR * buf,
_In_ int len,
_In_ int flags
);
参数基本相同，第二个参数是指向char* 类型的缓冲区，这第三个参数是缓冲区大小，这两个很关键。
服务器端：
#include "pch.h"
#include
#include
#pragma comment(lib, "WS2_32.lib")
using namespace std;
/*
Socket网络编程服务器端
*/
// 用于接受客户端发来的消息 强转后查看是否数据一致（精准）
typedef struct _Message
{
int Code;
char Number;
}Message, *pMessage;
int main()
{
cout << "服务端：" << endl;
WSADATA str_Data = { 0, };
int SockAddSize = sizeof(sockaddr_in);
int nResult = 0;
// 1. 初始化
nResult = WSAStartup(MAKEWORD(2, 2), &str_Data);
if (nResult == SOCKET_ERROR)
{
cout << "WSAStartup() ErrorCode = " << GetLastError() << endl;
system("pause");
return -1;
}
// 2. 创建套接字
SOCKET sock = socket(AF_INET, SOCK_STREAM, IPPROTO_TCP);
// 3. 初始化Ip及端口信息
sockaddr_in str_Addrs = { 0, };
str_Addrs.sin_addr.S_un.S_addr = inet_addr("127.0.0.1");
str_Addrs.sin_family = AF_INET;
str_Addrs.sin_port = htons(8888);
// 4. 绑定socket
nResult = bind(sock, (sockaddr*)&str_Addrs, SockAddSize);
if (SOCKET_ERROR == nResult)
{
closesocket(sock);
WSACleanup();
cout << "bind() failuer ErrorCode = " << GetLastError() << endl;
return -1;
}
// 5. 监听(失败几率与种500w有一拼，所以不做判断)
try
{
listen(sock, SOMAXCONN);
}
catch (const std::exception&)
{
return -1;
}
sockaddr_in str_Client = { 0, };
// 6. 连接响应(如果不设置异步 会阻塞等待 tcp)，知道有客户端去连接
SOCKET ClientSock = accept(sock, (sockaddr *)&str_Client, &SockAddSize);
if (ClientSock == INVALID_SOCKET)
{
closesocket(sock);
WSACleanup();
cout << "bind() failuer ErrorCode = " << GetLastError() << endl;
}
char nBuf[] = "消息已收到！";
int BufSize = sizeof(nBuf);
Message str_Msg = {0,};
// 7. 等待连接(这是一个死循环)
// 如果有客户端连接成功，发送一条消息看是否成功
if (SOCKET_ERROR == recv(ClientSock, (char*)&str_Msg, sizeof(Message), 0))
cout << "recvError Code = " << GetLastError() << endl;
cout << "客户端发来消息： Code = " << str_Msg.Code << endl;
cout << "客户端发来消息： Code = " << str_Msg.Number << endl;
// 回复客户端一条消息
send(ClientSock, nBuf, BufSize, 0);
system("pause");
return 0;
} 客户端：
#include "pch.h"
#include
#include
#pragma comment (lib, "WS2_32.lib")
using namespace std;
/*
Socket客户端
*/
// 使用结构体 更直观表示通过send可以传送大量的数据
typedef struct _Message
{
int Code;
char Number;
}Message, *pMessage;
int main()
{
cout << "客户端：" << endl;
WSADATA str_Data = { 0, };
int nRet = 0;
// 1. 初始化
nRet = WSAStartup(MAKEWORD(2, 2), &str_Data);
if (SOCKET_ERROR == nRet)
{
cout << "WSAStartup() ErrorCode = " << GetLastError() << endl;
return -1;
}
// 2. Socket初始化
SOCKET sock = socket(AF_INET, SOCK_STREAM, IPPROTO_TCP);
sockaddr_in str_sockAdd = { 0, };
str_sockAdd.sin_addr.S_un.S_addr = inet_addr("127.0.0.1");
str_sockAdd.sin_family = AF_INET;
str_sockAdd.sin_port = htons(8888);
int socketSize = sizeof(sockaddr_in);
nRet = connect(sock, (sockaddr *)&str_sockAdd, socketSize);
if (SOCKET_ERROR == nRet)
{
cout << "connect failuer ErrorCode = " << GetLastError() << endl;
closesocket(sock);
WSACleanup();
return -1;
}
Message str_Msg = { 0, };
str_Msg.Code = 1;
str_Msg.Number = 'a';
// 成功消息到服务器端
send(sock, (char*)&str_Msg, sizeof(Message), 0);
char nBuf[20] = {0,};
// 响应服务器发来的消息
recv(sock, nBuf, sizeof(nBuf), 0);
cout << "服务器端发来消息：" << nBuf << endl;
system("pause");
return 0;
} 如果对网络编程不熟悉，请把上面代码学习一下，因为下面是对这两个函数的inlinehook，所以掌握函数使用与实现很重要。
如果对hook不熟悉，请看以前写的博客https://blog.51cto.com/13352079/2342776
上面我们分析了shellCode第一段代码，获取了recv与send函数，下面接着上图：
图片十三：读取函数前5个字节
图片十四：inlinehook的offset计算
图片十五：替换原函数前5个字节
简单的打个比方：
先读取原函数send的前5个字节，然后计算偏移: 中转地址 - 原函数地址 - 5。为什么-5？如图十五所示，原函数前5个字节hook后变为jmp，运行后被响应然后跳转，如果你不-5，那不是又到了jmp，应该jmp执行之后，该执行jmp下一条指令，所以-5。
如果还不太清楚，我们来做一个对比 hook前与hook后发生了哪些变化，如下图所示：
图片十六：hook之前的函数
图片十七：hook之后的函数
所以破坏了原函数前5个字节，一开始先读取是为了保存前5个字节的内容，执行JMP以后，跳转到JMP下一条指令之前（SUB ESP,0X20之前）还是会执行保存的5个字节机器码，在跳转到SUB ESP,0X20继续执行原函数。
inlinehook的recv函数干些什么事？？
图片十八：hook recv执行过程
✎注意！如上图所示，上述图片中缺少少一个步骤，上面图关联到一起只是为了让大家好理解，但是缺少了执行原函数栈顶的操作，其实CALL DWORD PTR DS:[ESI + 0XA90C]是跳转到自己的shellCode中，然后执行原函数的前5个字节，如图十二所示，到底CALL的是什么内容？如下图所示:
图片十九：执行原函数栈顶
如上图所示，CALL过来之后，执行机器指令8BFF558BEC（原函数的前5个字节），后面则是JMP ws2_32.74BF5FF5,其实就是 ：中转地址 - （send或者recv函数地址） - 5，上面介绍计算的偏移的作用就体现出来了，正好跳转到原函数的JMP下一条指令。
inlinehook的send函数干些什么事？？
图片二十：截获send函数
图片二十一：hook send执行流程1
根据截获跳转到BaseAddress + 0x400的地方,Getpc获取了当前的地址，注意GetPC这种方式，如E8 00000000是敏感操作，有时候这样使用当前地址以下的汇编指令将被截断，继续看：
图片二十二：hook send执行流程2
利用CreateFile在\.\Pipe\下面带开了文件句柄（图三中的文件路径），格式化输出的是什么？
图片二十三：wvsprintfA函数
格式化输出，我们看到了一些关键的数据，如上图中PID,TID等等，为了传送给网络监控工具显示数据而准备。
图片二十四：截获的send消息写入文件句柄
其实是ASCII截获的数据则是第二个参数，也就是缓冲区中的内容加上PID一些附加信息数据，写入大小是第三个参数加上PID等附加大小。注入程序去读取文件句柄内容，把捕获的消息数据通过ListView控件(MFC)显示到界面中。
简单来说，就干了这么一件事，利用inlinehook技术，hook send 和 recv两个函数，截获第二个参数中的缓冲区，显示到三环。所以使用windows SDK网络编程，或者说使用这两个函数，你发送与响应的消息会被截获。
到此你应该知道软件实现原理及过程，可以自己写一个更适用的网络软件，还可以做过滤，对一些敏感的数据操作，从而实现三环的网络监控功能、过滤功能等。
本文名称：某网络监视器完整逆向
标题来源：http://azwzsj.com/article/iesdos.html
