[stalk:00342] Re: [FYI] ADMutate

[Koji Shikata <shikap@xxxxxxxxxxxx>]

しかＰ＠英語は苦手だなぁ、です。

On Tue, 24 Apr 2001 23:07:58 +0900
MICKY <micky@xxxxxxxxx> wrote:
> さきほど犬小屋掲示板上で、ADMutateが公開されたとの報告
> がUSさんからありました。

掲示板を見て、早速ADMmutateを落として見てました。(^^;

よくわからんのですが（苦笑）、nop挿入したり、
結局何もしないと同意義なコードを挿入したり、xorをシェルコード
にかけたり、xorのデコード用コードをくっつけたり、
オフセット値をいじったり、てな事をするための関数群のようです。
うまく組み合わせると使えない１６進数（例えば0x00）や
toupper()、tolower()などの関数に送られてしまい、シェルコードを
送ることができなかったところなどにも大丈夫、なんて事も書いてある
ようで。

＃いつもの通り、読み間違えていたらすみません。_o_

こっから一部引用（READMEより）

   init_mutate(struct morphctl *)
   This function should initialize pointers to the OS specific structures,
   functions and limits that were specified in mut.arch;

   apply_key(buff,E,N,struct morphctl *)
   This function takes in input buff, substitutes E bytes @ location buff+N
   with encoded bytes.  It also will find a key that will work with your
   processing options.  MUST BE CALLED AFTER init_mutate.

   apply_jnops(buff,N,struct morphctl)
   This function takes buff, substitutes the first N bytes
   with alternate "junk nops"

   apply_engine(buff,E,N,struct morphctl)
   This functions takes  buff, generates a decode engine, places it at location
   buff+N-strlen(of.the.engine).

   apply_offset_mod(buff,N,X,morphctl);
   This function takes buf, modifies N amount at location buff+X, and adheres
   to the options in morphctl, such that the return address will be unique on
   execution.

ここまでで引用終了


確かにうっとおしいわ、これ。シグネチャベースのsnortには
荷が重いなぁ。誤検知減らすのとどっちが楽かしら(^^;

ちなみにシェルコードが1kbyteを超えてたら使えないよ、てな
事も書いてありました。もちろん1k超えるのなんて知りませんけど。

いじょ、FYI第２段(^^;
-- 
  ＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝
  　　鹿田　幸治　　　　　　　Koji.Shikata
  　　　E-Mail:shikap@xxxxxxxxxxxx
              :shikap@xxxxxxxxxxxx
　snort1.7のパッチ公開中 http://www.yk.rim.or.jp/~shikap/patch/
  ＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝

--
- このメイリングリストに関する質問・問い合せ等は
- <security-talk@xxxxxxxxxx>までお知らせください
--
------------------------------------------------------------------------
◆ 「パワーアップ！検索エンジン30万馬力キャンペーン」開催中！（5/2マデ）
　　　　　　　 http://www.infoseek.co.jp/ISCamp?svx=971122