full-disclosure - Re: [FD] FW: dve bypass dep+aslr+emet+cfi

Open Source and information security mailing list archives

Message-ID: <CALf7PjEJKb=6Zsu--=LYJKvsb4V0kPBWV+A+JBcA-oHNnkzp3g@mail.gmail.com>
Date: Sat, 12 Apr 2014 00:02:15 +0800
From: YiFei Yang <le.concorde.4590@...il.com>
To: "fulldisclosure@...lists.org" <fulldisclosure@...lists.org>
Subject: Re: [FD] FW: dve bypass dep+aslr+emet+cfi

Most people here don't read Chinese, so please, post in English, and link
only to English materials.

And for those who don't read Chinese, this post doesn't worth reading at
all, it's highly likely to be copy-pasted from several Weibo(Twitter in
China). I, as a native Chinese speaker, can't figure out what it's talking
about.

Anyway, here's the brief idea of the comprehensible part: You can write one
unified shellcode that can run on any operating system and any architecture
using any configuration, and because shellcode is interpreted, this is
neither detectable nor defensible, and is an absolutely the perfect way of
bypassing ASLR and DEP.

And for the links, the first one links to the blog post containing the
exactly same thing, and for the second one and third one, they talk about
what the author calls "text viruses", which is simply 16-bit MS-DOS
programs that has all its machine code in the ASCII range.

在 2014年4月10日 上午6:32，yuange <yuange1975@...mail.com>写道：

>
> From: yuange1975@...mail.com
> To: fulldisclosure@...lists.org
> Subject: dve bypass dep+aslr+emet+cfi
> Date: Sat, 29 Mar 2014 15:31:06 +0000
>
>
>
>
>
>
>
>
>
>
>
> dve数据虚拟执行技术对抗dep+aslr+emet+cfi
>
> http://hi.baidu.com/yuange1975/item/863a25e4501f542c5a7cfb7b
>
>
>
> 注意利用解释型语言与CPU代码相结合的新型病毒 http://t.cn/zYBJa07 文本病毒（病毒新理论）！
> http://t.cn/zHpAatd
>
>
>
> 97年左右的文章，思想应该还早得到一些，宏病毒爆发的时候金山和江民公司口水账时候的思考，其实前一篇文章是批驳当时金山的一些专家的文章！一再点名这两篇文章说很多人没有看懂，很多高人自认为看懂了嘲笑我翻老文章。搞安全的可以去好好读读理解理解，还可以追加找找利用异常结构突破溢出保护这篇。
>
>
> “解释执行与CPU代码执行在本质上并没有区别！”、“C中有指针”为什么要选数组，“有时有一些BUG可以增强我们的这一指令集”。
> 有执行代码，DVE数据虚拟执行直接过DEP，怎么扩充脚本语言的指令集？脚本语言与
> C和汇编的本质区别是什么？脚本语言没有指针，指针的本质是什么？数组。一切自然而然。
>
>
>
> 远程代码执行需要过DEP，一个华丽转身就转换成了没有DEP任何事情，我已经有本地执行代码，如何提权（突破虚拟机限制）本地代码已经没有aslr的任何事情。CFI，当时我说CFI也是一个虚拟机，被笑话。EIP的争夺大战，我争夺的是vip，不是EIP，CFI干着急。
>
>
>
> 直接脚本就是执行代码，就是shellcode，已经过了DEP，我的利用整个就是脚本，所以为什么能通用能对付未来版本IE和操作系统以及防护措施，思路不只针对IE，不只针对windows，不只针对x86。
>
>
> @tombkeeper
> 已经理解了我的高级语言编写shellcode的精髓了，我已经发展了shellcode，我的shellcode就是脚本。和现在的所有对抗措施不在一个空间。
>
>
> 回复@instruder:当然。 //@...truder:这里脚本不限于js吧 或者vbs 或者Silverlight 等？
>
>
> 要和我的利用比较的，看看有差距吗？整个理论数组也只是一个比较好的技术点吧了，而外面现在完全依靠的是数组，并且很多还没有利用好数组。
>
>
>
>
>
> 97年的价值起码50万美刀APT价值起码500万美刀的两篇文章，为大家解读了几句，如何写出完美的利用，就看大家的造化了。能任意读写，最终就是如何编写shellcode的问题了，可真的就是这么简单吗？你的shellcode编写能通用能过未来一些防护能更完美吗？
>
>
> 回复@instruder:哈哈我的实现技术！ //@...truder：刚同事看了下insafemode 改一个字节
> 就可以直接用脚本shellcode了
>
>
> 最后不加载进程直接打开文件等加密发送的话，能触发几个报警？FEYE和国内的防0day的能防得住吗？如果再增加一些防护重播功能呢？
>
>
> 我的一个利用代码对于现在防护技术，完全一点没有触发，整个EIP都没有去控制改变，玩的的虚的。
>
>
> 《文本病毒（病毒新理论）！》 当时只是为玩病毒写的，现在看来活脱脱一个怎么对抗DEP的教程。
>
>
>
> 目前很多安全专家都还认为计算机冯诺依曼结构数据和指令不区分是现今漏洞的根源，文本病毒里面已经指明了计算机指令和虚拟的代码（数据）没本质区别，其实这些数据就是虚拟机里的指令，完全可以和计算机的指令没有任何关系。
>
>
> 陈硕论文里的数据控制里面还是太特殊的少有一些情况，这个里面也包含这些情况，只是脚本环境是更有普遍意义和更能方便稳定实现控制的情况。
>
>
>
>
>
> _______________________________________________
> Sent through the Full Disclosure mailing list
> http://nmap.org/mailman/listinfo/fulldisclosure
> Web Archives & RSS: http://seclists.org/fulldisclosure/

_______________________________________________
Sent through the Full Disclosure mailing list
http://nmap.org/mailman/listinfo/fulldisclosure
Web Archives & RSS: http://seclists.org/fulldisclosure/

lists.openwall.net		lists / announce owl-users owl-dev john-users john-dev passwdqc-users yescrypt popa3d-users / oss-security kernel-hardening musl sabotage tlsify passwords / crypt-dev xvendor / Bugtraq Full-Disclosure linux-kernel linux-netdev linux-ext4 linux-hardening linux-cve-announce PHC
Open Source and information security mailing list archives