關(guān)于pyinstaller與Xbash系列分析（續(xù)）

前言：
?繼《Xbash部分樣本分析》一篇博客之后，研究了關(guān)于pyinstaller與pyc字節(jié)碼格式。雖然相關(guān)資料比較少，但是不影響去接觸新的知識。
?不得不說pyinstaller是Xbash系列惡意軟件跨平臺執(zhí)行的罪魁禍?zhǔn)?，PyInstaller支持Linux、Windows、Apple macOS等多平臺可執(zhí)行文件轉(zhuǎn)換。意味著病毒可以在多平臺上兼容運(yùn)行。雖然python開發(fā)維護(hù)病毒難度較小，周期短，對于分析人員來說也是件好事，比如把可執(zhí)行文件提取成python源碼。
?

???
一、Pyinstaller:
??介紹一下pyinstaller，如前言所說pyinstaller將會讀取您編寫得python腳本，它會自行分析，當(dāng)然是根據(jù)導(dǎo)出得與執(zhí)行所需要得模塊與庫。收集這些文件包括活動得解釋器，把他們放在一個文件夾中。

?This section covers the basic ideas of PyInstaller. These ideas apply to all platforms. Options and special cases are covered below, under Using PyInstaller.
?PyInstaller reads a Python script written by you. It analyzes your code to discover every other module and library your script needs in order to execute. Then it collects copies of all those files – including the active Python interpreter! – and puts them with your script in a single folder, or optionally in a single executable file.

?上述參考源于pyinstaller手冊：https://pyinstaller.readthedocs.io/en/stable/index.html
也就是說當(dāng)使用pyinstaller得時候，會自動檢索我們代碼中所需要得庫與模塊與解釋器，將他們打包到一起，根據(jù)不同得參數(shù)生成可執(zhí)行得文件。當(dāng)然我們并不是研究如何實現(xiàn)轉(zhuǎn)換成pe格式與elf格式得，因為這需要很漫長得過程。
?但是我們需要了解，pyinstaller打包到一個文件夾后，如何執(zhí)行得？首先pyinstaller會加載myscript.exe，這是核心文件，然后會引導(dǎo)加載程序得活動平臺二進(jìn)制可執(zhí)行程序。會引導(dǎo)加載程序，加載python環(huán)境，方便python解釋器在myscript中導(dǎo)入模塊和庫。
?啟動時候會在操作系統(tǒng)對應(yīng)得文件夾創(chuàng)建一個臨時得文件夾名稱_MEIxxxxxx, 引導(dǎo)加載程序與臨時文件夾的上下文中的單文件夾包完全相同。當(dāng)捆綁代碼終止時，引導(dǎo)加載程序?qū)h除臨時文件夾，詳細(xì)得參考請看官方文檔。

?
?關(guān)于pyinstaller的一些參數(shù)，如下所示：

????????????????????圖片一：pyinstaller參數(shù)

    1、-F, --onefile         創(chuàng)建一個文件捆綁的可執(zhí)行文件
    2、-w, --windowed, --noconsole       pe格式窗口程序GUI
    3、-c, --console, --nowindowed         pe格式控制臺程序
    4、-a， --ascii不包含unicode支持
    5、-D, --onedir 創(chuàng)建包含可執(zhí)行文件的單文件夾包

?
如和安裝pyinstaller呢？很簡單，命令如下所示：

系統(tǒng)Centos
如果你沒有安裝pip，參考如下:
    1、安裝epel擴(kuò)展：yum -y install epel-release
    2、安裝pip：yum -y install python-pip
安裝pyinstaller:
    pip install pyinstaller
Windows下參考也一樣

?
如何使用pyinstaller?分為以下幾大步，如下所示：
?1、首先你需要編寫一個py文件，當(dāng)然你可以分成多個文件進(jìn)行代碼得編寫，除了特殊模塊需要告訴pyinstaller位置之外,其余會自定幫你分析模塊與庫，這里用測試代碼如下：

????????????????????圖片二：python測試代碼
2、使用pyinstaller命令進(jìn)行打包，如下所示：

????????????????????圖片三：pyinstaller打包
3、查看生成得數(shù)據(jù)，如下所示：


????????????????????圖片四：dist/xxx
?生成的elf程序運(yùn)行正常，而且pyinstaller維護(hù)了如上圖所示得PYZ格式的數(shù)據(jù)文件，附加到了可執(zhí)行文件的末尾，然后最前面是PYZ開頭的格式。
?官方提供了對應(yīng)的腳本來提取pyc，名字叫archive_viewer.py代碼下載：https://github.com/pyinstaller/pyinstaller/blob/develop/PyInstaller/utils/cliutils/archive_viewer.py
4、從上述網(wǎng)站中把代碼粘貼下來，touch一個文件，+x權(quán)限后，復(fù)制即可使用，如下所示：

????????????????????圖片五：archive_viewer.py
5、我們發(fā)現(xiàn)下面有很多數(shù)據(jù)，我們需要關(guān)注的s標(biāo)志段中name是我們本身文件名：

????????????????????圖片六：S段標(biāo)志數(shù)據(jù)
6、archive_viewer.py都有什參數(shù)呢？很簡單分析一下源碼，如下所示：

????????????????????圖片七：命令分析
我們需要用到X的命令去提取pyc，上圖中為標(biāo)記的命令U是go Up one level的含義。
7、開始提取pyc，如下所示：

????????????????????圖片八：提取命令
8、這時候我們來看一看提取的pyc，widnows下用010就可以了，linux下用xxd可以觀察，如下所示：

????????????????????圖片九：提取pyc數(shù)據(jù)觀察
?9、pyc提取的到底對不對呢？怎樣來確認(rèn)？這時候我們需要利用python中的py_compile模塊，這個模塊中方法compile可以將py生成pyc，這樣我們對比觀察，如下所示：

????????????????????圖片十：py_compile

代碼：
            import py_compile
            py_compile.compile(r'路徑')
注意：
            有時候會生成一個__pycompile__文件夾，里面會是pyc，有時候會在輸入的路徑下生成pyc，小心覆蓋elf中提取的pyc。

10、我們看一下python原生態(tài)編譯生成的字節(jié)碼pyc如下：

????????????????????圖片十一：compile編譯pyc
?圖片九與圖片十一做比對，你一定會開頭少了8個字節(jié)的數(shù)據(jù)，注意當(dāng)前編譯環(huán)境使用的python2.7.5，缺少了8個字節(jié)的數(shù)據(jù)，python3前面的字節(jié)編碼字節(jié)也是不同的。
?所以在當(dāng)前環(huán)境下測試觀察，那么使用pyinstaller中archive_viewer.py抽取的pyc比正常編譯的字節(jié)碼缺少了8個字節(jié)的數(shù)據(jù)，缺少的是什么？下面我們來看一看pyc格式解析。
???
二、pyc格式解析：

????????????????????圖片十二：部分pyc格式數(shù)據(jù)分析
?當(dāng)然pyc的格式不只上述那么多，只是羅列出了一部分，詳細(xì)的去介紹參數(shù)不是一篇文章或者短時間內(nèi)能夠研究學(xué)習(xí)明白的，那么我們來看一些重要的數(shù)據(jù)。

?1、MAGIC，魔術(shù)頭，注意版本區(qū)分不同所以魔術(shù)頭的數(shù)值不同，比如python2一般是03f30d0a，python3.6一般是33790d0a，占用4個字節(jié)，前兩個字節(jié)是版本，后兩個字節(jié)是0d0a兩個標(biāo)志位.
?2、緊跟著Magic的是MTIME，是時間也占四個字節(jié)。
?3、TYPE_CODE, 表示了一個PyCodeObject對象，占用了一個字節(jié)大小，這個標(biāo)志位是c，其實就是Pyton中編譯過程生成code對象PyCodeObject。將PyCodeObject寫入二進(jìn)制文件，即.pyc。
?4、我們發(fā)現(xiàn)圖片中co_code的數(shù)值，其實就是PyCodeObject結(jié)構(gòu)體中的各個域，每一個屬性占用一個long字節(jié)。
?5、下面三個屬性Type_string與size values數(shù)值，是對應(yīng)著PyCodeObject的co_code。
?6、Type_List，占用一個字節(jié)，是類型鏈表。
?7、co_consts size 表示元素個數(shù)，占用四個字節(jié)。
?8、Type_INT與co_consts[0]是一個×××。
?還有很多的屬性，詳細(xì)的數(shù)據(jù)還可以參考：https://www.2cto.com/kf/201504/395067.html
?
??通過上面的描述，對pyc的數(shù)據(jù)格式有一個基礎(chǔ)的認(rèn)識，簡單的知道了那些字節(jié)的含義與基礎(chǔ)的作用。
?這樣我們就可以很輕易的知道在pyinstaller打包的時候，解壓Pyc缺失了8個字節(jié)，分別是Magic與MTIME兩個字段屬性，MTIME字段我們可以填充為0（無關(guān)緊要）。
?所以根據(jù)當(dāng)前環(huán)境來判定魔術(shù)頭的格式（pyinstaller在打包的時候,應(yīng)該會抽取魔術(shù)頭來作為版本的判定方式，所以會缺少字節(jié)）。我們嘗試將確實的數(shù)據(jù)添加到c也就PyCodeObject對象之前補(bǔ)齊8個字節(jié)的數(shù)據(jù)，如下所示：

????????????????????圖片十三：補(bǔ)齊數(shù)據(jù)
?注意：是在PyCodeObject對象之前補(bǔ)齊數(shù)據(jù)，而不是在原來的數(shù)據(jù)上修改！否則轉(zhuǎn)換py的時候會報錯的。
?補(bǔ)齊數(shù)據(jù)之后我們需要做的是用工具去反編譯成py文件，wdinows下推薦一款為EasyPythonDecompiler.exe的軟件，而linux下更是數(shù)不勝數(shù)，那么這里使用linux下名為uncompyle2, decompyle2很多都可以。下面演示就使用EasyPythonDecompiler.exe來轉(zhuǎn)換py，如下所示：

????????????????????圖片十四：Decompile Success
?轉(zhuǎn)換完成之后將會生成mypy.pyc_dis文件，如果pyc的格式不對就會失敗，生成mypy.pyc_dis.failure，這時候我們拉入到IDE看一看python源碼是否與圖二中源碼相同，如下所示：

????????????????????圖片十五：匹配成功
?上述一已經(jīng)能成功的將pyinstaller打包elf格式的文件成功的轉(zhuǎn)換成py，有何用呢？還記著Xbash系列病毒其中便有pyinstaller打包的病毒，如下所示：

????????????????????圖片十六：提取惡意代碼
??
三、Python惡意代碼分析：
?弱用戶與密碼字典：

????????????????????圖片十七：弱用戶與弱密碼
?公網(wǎng)請求及初始化掃IP及描端口：

????????????????????圖片十八：請求及端口初始化
?初始化惡意線程環(huán)境及啟動線程：

????????????????????圖片十九：創(chuàng)建啟動線程
?線程回調(diào)分析：

????????????????????圖片二十：線程回調(diào)分析
?WEB掃描及數(shù)據(jù)庫掃描：

????????????????????圖片二十一：pass_crack

????????????????????圖片二十二：check_pass

????????????????????圖片二十三：check_pass

????????????????????圖片二十四：mysql



????????????????????圖片二十五：mysql刪庫勒索

????????????????????圖片二十六：postgresql刪庫勒索



????????????????????圖片二十七：mongodb刪庫勒索

????????????????????圖片二十八：redis刪庫勒索

????????????????????圖片二十九：hadoop Yarn Rm執(zhí)行命令

????????????????????圖片三十：MQ利用執(zhí)行put
⑥內(nèi)網(wǎng)掃描：

????????????????????圖片三十一：內(nèi)網(wǎng)掃描

????????????????????圖片三十二：內(nèi)網(wǎng)掃描
?通過上述惡意代碼的分析，最可惡的是沒有任何備份的情況下刪庫，且欺0.02BTC，即使給對方支付了費(fèi)用，抱歉你的數(shù)據(jù)庫仍無法恢復(fù)，對方會利用你的心性索要更多的BTC。
?服務(wù)器中大量的弱賬戶與弱密碼，給病毒帶來了福利。掃描web、內(nèi)網(wǎng)創(chuàng)建線程，一經(jīng)發(fā)現(xiàn)字典匹配成功，那么會對數(shù)據(jù)庫進(jìn)行毀滅的操作。
?如何防范？如果你服務(wù)器與數(shù)據(jù)庫賬戶名，密碼規(guī)范化管理（復(fù)雜程度及長度），經(jīng)常更換，不使用這些弱密碼弱賬戶，即使突破了安全防護(hù)，在字典掃描與破解的時候，也不能胡作非為，那么XbashY樣本分析告一段落。