也来谈谈沙箱逃逸技术
这篇讲的是作者基于过往经验，总结的一系列针对在线沙箱检测的逃逸技巧。核心观点是：沙箱因其环境特征，反而可能暴露出独特的“指纹”，而绕过检测的关键在于识别并利用这些差异。 文章首先从进程检测入手，指出直接明文比对进程名（如vmtoolsd.exe）会触发监控，而用加密后的密文进行比对则是一种有效规避。接着，作者详细列举了多种沙箱指纹特征：例如特定的Windows ProductId（如Anubis沙箱的76487-640-1457236-23837）、有规律的ComputerName（如某些沙箱环境以“xiaochen”开头）、固定的内存大小（Anubis 128M、火眼512M），以及固定的样本路径（如Comodo沙箱的C:\TEST\sample.exe），这些在不同厂商间存在明显差异。 此外，文章还探讨了如何在不联网的情况下泄露沙箱数据，比如将文件内容写入注册表，或更巧妙地将二进制数据编码到图片像素中，利用沙箱截图功能来传递信息。最后，作者总结道，逃逸的核心思路在于找到“沙箱有的而别的机器却没有的”特征，以及开发“你有的而别人没有的”绕过方法，为攻防双方提供了具体的实战视角。