VOMM of MetaSploit Project

1. MetaSploit

 

MetaSploit是一款比较流行的漏洞利用工具集。一方面，可供用户和Vendors测试安全防护；另一方面，vendors可能要忙于修补这些漏洞了；再一方面，黑客们也能利用啊。。。

 

2. VOMM

 

VOMM( eVade o' Matic Module).它是包括在MetaSploit工程里。它为执行penetration test / IDS signature development / exploit research的人们提供有效信息。它通过开发对易知或鲜知的漏洞利用做到这一点。

 

没必要再去争论这些东东有没有存在的必要，因为它已经存在了，就像guns & wars.

 

传统方式：大部分的防御靠的是signature检测。病毒研究员们拿到一份新病毒并分析它：他解剖代码来寻找唯一的能识别该病毒的字符串，此串成为了该病毒的signature并进入数据库。如检查email附件里的病毒就是看附件代码里有没有DB中罗列的那些signature。如果匹配上了，bingo!

 

VOMM 新模式：VOMM将会对JS代码进行语法分析并使用逃避技术（无需用户交互）。给它一段普通静态的JS代码，VOMM将会把它变为不能被检测到的，秘密的利用。这是LMH（a MetaSploit 研究员）说的。LMH还罗列了一些基本技术

1. White-space randomization (using whitespace, tabs, etc)

 

Tabs, white-spaces, new lines and carriage returns (0x09, 0x20, 0x0a, 0x0d respectively) are added randomly,significantly affecting the structure of the binary stream. It's easy to see how this can disrupt internal detection signatures.

 

2. String obfuscation and encoding

 

3. Random comments: placement and manipulation of existing ones

 

4. Block randomization

 

5. Variables and functionsnames randomization

 

6. Integer and misc. variables obfuscation

 

7. Function pointer reassignment

 

8. .……

learn from: http://www.itsecurity.com/features/news-feature-metasploit-vomm-102906/