通过Mono(跨平台.NET运行环境)执行shellcode

0x00 前言

在上篇文章《通过Boolang语言执行shellcode的利用分析》介绍了利用Boolang语言执行shellcode的方法，本文将按照同样的思路，使用Mono(跨平台.NET运行环境)实现执行shellcode的功能，分析利用思路，给出防御建议

0x01 简介

  • Mono简介
  • Mono使用示例
  • 通过Mono执行shellcode的方法
  • 利用分析
  • 防御检测

0x02 Mono简介

参考资料：

https://www.mono-project.com/

https://github.com/mono/mono

Mono是Microsoft .NET Framework的开源实现

包括C#编译器和通用语言架构

Mono项目不仅可以运行于Windows系统上，还可以运行于Linux，FreeBSD，Unix，OS X和Solaris

0x03 Mono使用示例

开发环境： Win7x64

下载Mono安装包，地址如下：

https://www.mono-project.com/download/stable/#download-win

默认安装路径：C:\Program Files\Mono\

1.编译程序输出hello world

HelloWorld.cs的内容如下：

using System;

public class HelloWorld
{
    public static void Main(string[] args)
    {
        Console.WriteLine ("Hello Mono World");
    }
}

使用mcs.exe进行编译，命令如下：

"C:\Program Files\Mono\bin\mcs" HelloWorld.cs

生成HelloWorld.exe

2.编译程序调用Messagebox

Messagebox.cs的内容如下：

using System;
using System.Windows.Forms;
namespace MessageboxTest
{
    class Program
    {
        static void Main(string[] args)
        {          
            MessageBox.Show("Hello World");
        }
    }
}

使用mcs.exe进行编译，命令如下：

"C:\Program Files\Mono\bin\mcs" Messagebox.cs -r:System.Windows.Forms.dll

注：

需要加-r参数指定引用的dll，否则报错提示如下：

Messagebox.cs(2,22): error CS0234: The type or namespace name `Forms' does not exist in the namespace `System.Windows'. Are you missing `System.Windows.Forms' assembly reference?
Compilation failed: 1 error(s), 0 warnings

3.编译程序执行shellcode

Shellcode.cs已上传至GitHub，地址如下：

https://github.com/3gstudent/Homework-of-C-Sharp/blob/master/Shellcode.cs

使用mcs.exe进行编译，命令如下：

"C:\Program Files\Mono\bin\mcs" Shellcode.cs

生成Shellcode.exe

0x04 通过Mono执行shellcode的方法

在0x03简单介绍了使用mcs.exe编译程序的方法

这一节着重介绍利用Mono的特性绕过静态检测的方法

1.将启动shellcode的代码和payload分离

(1)将payload作base64加密并保存在文件中

部分示例代码如下：

using System.IO;
byte[] shellcode64 = new byte[276] {xxx};
String AsBase64String = Convert.ToBase64String(shellcode64);
StreamWriter sw = new StreamWriter(@"C:\test\ShellcodeBase64.txt");
sw.Write(AsBase64String);
sw.Close()

base64编码后的payload已上传至GitHub，地址如下：

https://github.com/3gstudent/Homework-of-C-Sharp/blob/master/ShellcodeBase64.txt

(2)从指定文件读取payload，作base解密后加载shellcode

实现代码已上传至GitHub，地址如下：

https://github.com/3gstudent/Homework-of-C-Sharp/blob/master/ReadShellcode.cs

2.使用csc将生成的文件编译成只能通过Mono加载的形式

使用mcs编译出来的程序可以直接运行，这有可能被查杀

使用csc进行编译可选的选项更多，我在csc帮助文件中发现可以生成只能通过Mono加载的形式，参数说明如下：

-target:appcontainerexe       Build an Appcontainer executable (Short form: -t:appcontainerexe)

因此完整的编译命令如下：

"C:\Program Files\Mono\bin\csc" ReadShellcode.cs -target:appcontainerexe

生成文件ReadShellcode.exe，无法直接执行，只能通过Mono加载，加载的命令如下：

"C:\Program Files\Mono\bin\mono.exe" ReadShellcode.exe

3.构造精简的Mono运行环境

如果我们要在另一系统执行以上文件，不必安装Mono的安装包

经过测试只需要以下文件：

  • /bin/mono-2.0-sgen.dll
  • /bin/mono.exe
  • /bin/ReadShellcode.exe
  • /bin/ShellcodeBase64.txt
  • /lib/mono/4.5/mscorlib.dll

树形图如下图

Alt text

注：

调用Messagebox引用System.Windows.Forms.dll时所需文件的树形图如下图

Alt text

0x05 利用分析

通过Mono(跨平台.NET运行环境)执行shellcode，有以下两个优点：

1.通过Mono.exe加载启动程序，启动程序不包括恶意的功能，payload可保存在另一个脚本文件中

2.通过Mono能够构造一个.Net环境，这可以解决某些程序对.Net环境的依赖

例如：

程序只能在.Net 4下运行，而当前系统不支持.Net 4，借助Mono就可以解决这个问题

0x06 防御检测

通过跨平台.NET运行环境Mono执行shellcode，父进程为Mono.exe，值得注意

这个技术无法绕过对程序行为的检测，所以可以通过检测进程行为的方式进行防御

0x07 小结

本文介绍了Mono(跨平台.NET运行环境)的使用方法，分享了几种绕过静态检测的方法，分析利用思路，给出防御建议

LEAVE A REPLY

Written on February 14, 2020