книги хакеры / журнал хакер / 174_Optimized

Malware

КАК РАСПОЗНАТЬ ВИРТУАЛЬНУЮ МАШИНУ?

Во-первых, любая виртуальная машина несет на своем борту какое-нибудь специфическое оборудование. Это касается видеоадаптера, жесткого диска, идентификатора процессора, версии BIOS, MAC-адреса сетевой карты.

Во-вторых, виртуальные машины оставляют следы в системе в виде запущенных вспомогательных процессов, драйверов и других специфических объектов.

В-третьих, если как следует покопаться в реестре виртуальной машины, там можно найти много всяких интересных ключей, характерных только для виртуальных машин.

Ну и в-четвертых, некоторые производители специально оставляют возможности, позволяющие обнаружить их продукты.

Что же касается общих признаков наличия виртуальной машины, предложенных в свое время госпожой Рутковской (характерное расположение таблиц IDT, GDT и LDT, а также время выполнения операций процессором), то в настоящий момент все эти признаки трудно поддаются анализу и приведению к какому-нибудь общему знаменателю, главным образом из-за многоядерности и многоликости современных процессоров.

АНАЛИЗИРУЕМ ОБОРУДОВАНИЕ

Начнем, пожалуй, с жесткого диска. Если посмотреть идентификатор жесткого диска в диспетчере устройств на виртуальной машине, то в его составе можно увидеть интересные строчки:

DiskVirtual для Virtual PC

DiskVBOX_HARDDISK для VirtualBox

Prod_VMware_Virtual для VMware Workstation

Самый простой способ узнать наименование жесткого диска — прочитать значение ключа с именем «0» в ветке реестра HKLM\HARDWARE\SYSTEM\CurrentControlSet\Services\ Disk\Enum.

В этом месте перечисляются все дисковые накопители в системе, и первым, как раз в ключе с именем «0», будет тот диск, с которого произошла загрузка системы.

Детектим виртуалки

Как читать реестр, я думаю, ты знаешь. Используем сначала API RegOpenKeyEx для открытия нужного ключа, далее с помощью RegQueryValueEx читаем значение. Выглядеть это должно примерно вот так:

...

//Открываем нужный ключ реестра

RegOpenKeyExA(HKEY_LOCAL_MACHINE, "HARDWARE\\ SYSTEM\\CurrentControlSet\\Services\\Disk\\ Enum", 0, KEY_QUERY_VALUE, &rKey);

//Читаем значение

RegQueryValueExA(rKey, "0", NULL, &Type,

(LPBYTE)RegKey, &RegPath);

// Закрываем все, что открыли ранее

RegCloseKey(rKey);

...

Далее все просто — используем strstr для поиска нужных нам строк в считанном значении и, в зависимости от результата сравнения, делаем вывод.

Версия BIOS содержится в ключе `SystemProductName` в ветке HKLM\HARDWARE\DESCRIPTION\System\BIOS. К примеру, для VMware там будет лежать строка «VMware Virtual Platform», а для VirtualBox — «VBOX –1». Прочитать это все можно с помощью все тех же API — RegOpenKeyEx и RegQueryValueEx.

Данные о видеоадаптере можно подглядеть в HKLM\ System\CarrentControlSet\Enum\PCI. В этой ветке перечислено все, что подключено к шине PCI, в том числе и видеокарта. Для VirtualPC это строчка вида VEN_5333&DEV_8811&SUBSY S_00000000&REV_00, которая определяет видеоадаптер S3 Trio 32/64, эмулируемый виртуалкой от Microsoft — на реальном железе такое оборудование нынче днем с огнем не сыскать (а у меня такая была в конце прошлого века. — Прим. ред.). Для VirtualBox видеокарта описана последовательностью VEN_80EE&DEV_BEEF&SUBSYS_00000000&REV_00, что расшифровывается как «VirtualBox Display», а у Parallels Workstation — строка VEN_1AB8&DEV_4005&SUBSYS_04001AB8 &REV_00 определяет видеоадаптер «Parallels Display».

Помимо этого, в VirtualBox можно найти строку VEN_80EE&DEV_CAFE&SUBSYS_00000000&REV_00, определяющую некий «VirtualBox Device», а у Parallels Workstation строки VEN_1AB8&DEV_4000&SUBSYS_04001AB8&REV_00 и VEN_1AB8& DEV_4006&SUBSYS_04061AB8&REV_00, определяющие «Parallels Tools Device» и «Parallels Memory Controller» соответственно.

Алгоритм действий следующий: пытаемся открыть нужный нам ключ, и если он открывается успешно, то оборудование, описанное этим ключом, в наличии и можно делать вывод о присутствии какой-либо виртуальной машины:

...

if (RegOpenKeyEx(HKEY_LOCAL_MACHINE,

L"SYSTEM\\CurrentControlSet\\Enum\\PCI\\

VEN_5333&DEV_8811&SUBSYS_00000000&REV_00",0,

Использование MAC-адреса для идентификации производителя сетевой карты — довольно ненадежный способ

Malware

00:50:56

Microsoft (Virtual PC)

00:03:ff

00:0d:3a

00:50:f2

7c:1e:52

00:12:5a

00:15:5d

00:17:fa

28:18:78

7c:ed:8d

00:1d:d8

00:22:48

00:25:ae

60:45:bd

Dc:b4:c4

Oracle (VirtualBox) 08:00:20

Parallels (Parallels Workstation) 00:1c:42

Вытащить эти первые три байта из MAC-адреса нам поможет API-функция GetAdaptersInfo:

//Подключаем либу, в которой содержится нужная

//нам функция

#include <iphlpapi.h>

#pragma comment(lib, "IPHLPAPI.lib")

...

//Определяем размер буфера под данные,

//возвращаемые функцией

GetAdaptersInfo(AdapterInfo, &OutBufLen);

//Выделяем память под данные об адаптере

AdapterInfo = (PIP_ADAPTER_INFO) new(char[OutBufLen]);

//Получаем информацию об адаптере

GetAdaptersInfo(AdapterInfo, &OutBufLen);

//Сравниваем первые три байта MAC-адреса

//с 00:1c:42 (Parallels Workstation)

if (((BYTE)AdapterInfo->Address[0] == 0x00) && ((BYTE)AdapterInfo->Address[1] == 0x1c) && ((BYTE)AdapterInfo->Address[2] == 0x42)) {

delete(AdapterInfo);

// Мы под Parallels Workstation

return true; } else {

delete(AdapterInfo);

return false;

}

Для нормальной работы почти все виртуальные машины требуют установки дополнений к гостевой операционной системе

Детектим виртуалки

В VMware Workstation для взаимодействия гостевой и основной операционных систем реализован небольшой бэкдор в виде порта с номером 0x5658

DesktopUtilites

Virtual PC

{0843FD01-1D28-44a3-B11D-E3A93A85EA96}

ВОЗМОЖНОСТИ, ЗАЛОЖЕННЫЕ ПРОИЗВОДИТЕЛЕМ

Некоторые производители (в частности, VMware и Microsoft) специально реализуют возможности управления своими продуктами, которые можно использовать для наших целей.

ВVirtual PC используются инвалидные (не «инвалидные»,

а«альтернативно одаренные». И вообще-то они «недействительные». — Прим. ред.) команды процессора с опкодами 0x0F, 0x3F, 0x07 и 0x0B, попытка выполнения которых на реальном процессоре вызовет исключение, в то время как на Virtual PC все пройдет нормально. С помощью этих команд можно достаточно просто задетектить виртуалку от Microsoft:

VMware Workstation

VMSwitchUserControlClass

Найти окно по имени класса очень просто — для этого есть функция FindWindow:

...

// К примеру, ищем окно для VMware

HWND VMwareWindow = FindWindowA

("VMSwitchUserControlClass", NULL);

if(VMwareWindow != NULL) return true; // Мы под

// VMware Workstation

...

Помимо процессов и окон, указывающих на наличие ВМ, можно найти и другие «подозрительные» объекты — например, если покопаться в гостевой ОС виртуальной машины утилитой WinObj или какой-нибудь аналогичной, то можно найти вот такие объекты:

VirtualBox

\Device\VBoxMiniRdrDN

\Device\VBoxGuest

Parallels Workstation

\Device\prl_pv

\Device\prl_tg

\Device\prl_time

\Device\PrlMemDev

\Device\PrlMemDevPci

\Device\PrlMemDev

Virtual PC

\Device\VirtualMachineServices

Проверить наличие «подозрительного» объекта совсем несложно, достаточно попытаться открыть его с помощью CreateFile:

...

// К примеру, проверяем VirtualBox

if ((CreateFile(L"\\\\.\\VBoxMiniRdrDN", 0, 0,

0, OPEN_EXISTING, 0, 0) != INVALID_HANDLE_VALUE)

|| (CreateFile(L"\\\\.\\VBoxGuest", 0, 0, 0,

OPEN_EXISTING, 0, 0) !=INVALID_HANDLE_VALUE))

return true; // Мы под VirtualBox

...

ЧТО ЕЩЕ «ПОДОЗРИТЕЛЬНОГО» МОЖНО НАЙТИ В РЕЕСТРЕ?

Помимо признаков наличия специфического оборудования, в реестре можно увидеть и другие следы, оставляемые виртуальными машинами. Некоторые из них базируются в ветке HKLM\HARDWARE\ACPI\DSDT. Достаточно в этом месте проверить наличие таких вот ключей:

Проверку реализуем так же, как мы проверяли наличие определенного оборудования. Просто делаем попытку открыть нужный нам ключ и, в случае успеха, делаем вывод о наличии ВМ.

...

__try {

__asm {

xor ebx, ebx

mov eax, 1

__emit(0x0F)

__emit(0x3F)

__emit(0x07)

__emit(0x0B)

}

return true; // Мы под Virtual PC

}

__except(EXCEPTION_EXECUTE_HANDLER) return false;

...

ПУБЛИЧНАЯ ПОРКА ПИНГВИНА

Недавно случилась довольно неприятная история с 0-day-уязвимостью, всплывшей сразу во всех версиях ядра Linux, выпущенных за последние три года. В связи с этим мы проанализировали все самые серьезные и опасные уязвимо-

сти в Linux за последнее время. Причем в обзор 114 попали дыры не только в ядре, но и в других под-

системах, включая glibc, X-сервер и не только.

UNIXOID

Кодинг

Александр Лозовский lozovsky@glc.ru

ОТВЕТЫ НА ЗАДАЧИ ОТ SOFTLINE ИЗ ПРОШЛОГО НОМЕРА

1. ЧТО ВЫВЕДЕТ СЛЕДУЮЩИЙ СКРИПТ И ПОЧЕМУ?

УСЛОВИЕ

<?php

$sVar1 = "Hello, world!";

$sVar2 = "";

$sVar3 = "";

function foo1()

{

global $sVar1, $sVar2;

$sVar2 = &$sVar1;

}

function foo2()

{

global $sVar1;

$GLOBALS["sVar3"] = &$sVar1;

}

foo1();

echo "sVar2 = '$sVar2'\n";

foo2();

echo "sVar3 = '$sVar3'\n";

?>

ОТВЕТ sVar2 = ''

sVar3 = 'Hello, world!'

Объяснение: на самом деле в локальных пространствах имен все переменные, объявленные как global, являются ссылками на элементы суперглобального массива $GLOBALS['variable_ name']. А при присвоении этим ссылкам других ссылок связь с суперглобальным массивом теряется.

2. ЧЕМУ БУДЕТ РАВНО ЗНАЧЕНИЕ ПЕРЕМЕННОЙ $A?

УСЛОВИЕ

а) $a = (int) ( (0.1+0.7) * 10 );

б) $a = 90;

$a += ++$a;

ОТВЕТ

а) 7 Объяснение: рациональные числа, которые мо-

гут быть точно представлены в виде чисел с плавающей точкой с основанием 10, например, 0.1 или 0.7, не имеют точного внутреннего представления в качестве чисел с плавающей точкой с основанием 2, вне зависимости от размера мантиссы. Поэтому они и не могут быть преобразованы в их внутреннюю двоичную форму без небольшой потери точности. Соответственно, результат сложения вернет по сути 7,9999999999... При умножении и приведении к целочисленному типу дробная часть отбросится.

б) 182 Объяснение: в момент присвоения переменной

$a значения префиксный инкремент уже увеличит ее значение (согласно приоритетам операций). Соответственно, получится 91 + 91 = 182.

3. ЧТО ВЫВЕДЕТ СЛЕДУЮЩИЙ КОД?

УСЛОВИЕ

<?php

$a = array(1=>10, 2=>20, 3=>30);

$b = &$a[1];

$ a[1] = $a[2];

$a[1] = &$a[3];

echo $b;

?>

ОТВЕТ

20 Объяснение: при присвоении переменной, явля-

ющейся ссылкой, значения другой ссылки, связь теряется. Переменная, на которую была ссылка до присвоения, останется при своем значении.

4. КАКИМИ СПОСОБАМИ МОЖНО ПОЛУЧИТЬ РОМБ СРЕДСТВАМИ CSS И HTML?

Рис. 1. Ромб, который надо

нарисовать

ОТВЕТ

Способ 1:

.rectangle {

width:100px; height:100px;

background:#f02c22;

-webkit-transform: rotate(-45deg);

-moz-transform: rotate(-45deg);

-ms-transform: rotate(-45deg);

-o-transform: rotate(-45deg);

transform: rotate(-45deg);

-webkit-transform-origin: 0 100%;

-moz-transform-origin: 0 100%;

-ms-transform-origin: 0 100%;

-o-transform-origin: 0 100%;

transform-origin: 0 100%;

}

Способ 2:

.rectangle {

background:#23B7E4;

width:100px;

height:100px;

}

. rectangle:before, .rectangle:after {

content: '';

width:0;

height:0;

position:absolute;

}

.rectangle:before { border-bottom:50px solid #23B7E4;

border-left:50px solid #fff;

border-right:50px solid #fff;

}

.rectangle:after {

border-top:50px solid #23B7E4;

border-left:50px solid #fff;

border-right:50px solid #fff;

margin:50px 0 0 0;

}

5. ИСПРАВЬ БАГИ

УСЛОВИЕ

Исправьте имеющийся код, чтобы получить результат на картинке. Полученный код должен работать в последних версиях браузеров Chrome, Firefox, Safari, Opera, а также IE9, IE10.

Что в приведенном коде является неправильным и почему? Удалось ли вам получить идентичный результат во всех браузерах?

Данная задача была протестирована в браузерах IE9, IE10, Windows Safari 5.1.7, Opera 12.15, Firefox 20.0.1, Chrome 26.0.1410.64.

Рис. 2. Результат выпол-

нения кода из задачи про

исправление багов

Исходный код:

<!DOCTYPE html>

<html>

<head>

<title>Some title</title>

<meta http-equiv="Content-Type"

content="text/html; charset=utf-8" />

<style type="text/css">

body {

padding:100px;

}

.element {

width:200px;

height:100px;

background: linear-gradient

(to bottom, #269ae2 0%,

#83cee2 100%);

filter: progid:DXImageTransform. Microsoft.gradient

(startColorstr='#269ae2',

endColorstr='#83cee2',

GradientType=0 );

color:#fff;

text-align:center;

line-height:100px;

font:18px Georgia, serif;

Задачи на собеседованиях