API Hammering - 喵喵喵✨

特让他也让

玛卡巴卡，阿卡哇卡，米卡玛卡，呣

统计加载中...

公告

Welcome to my blog!

Learn More

516 字

3 分钟

API Hammering

2025-11-22

网络安全

Windows

/

Rust

/

反沙箱

统计加载中...

API Hammering 是一种反沙箱技术，其核心思想为：延迟执行。如果程序能在此刻保持静默，等到沙箱超时停止分析后再运行恶意代码，就能成功绕过检测。

从 Sleep 到 API Hammering#

最经典的延迟技术莫过于 sleep 函数。然而，随着沙箱技术的迭代，单纯的休眠已不再有效。

既然 sleep 会被快进，那能不能用循环来消耗时间？比如写一个死循环让 CPU 空转？理论上是可以的，那么我们可不可以使用算数循环呢？

答案通常是否定的，原因在于编译器优化和沙箱的启发式检测：

什么是 API Hammering#

为了解决上述问题，我们需要一种既能消耗时间，又无法被编译器优化，且沙箱不敢轻易跳过的循环。这就是 API Hammering。

代码实现（Rust 示例）#

为了演示效果，我们使用 Rust 编写一个简单的程序。

MessageBox 弹窗#

如果不加任何混淆，直接调用 MessageBox，沙箱会瞬间执行并捕获该行为。

1
// #![windows_subsystem = "windows"]
2

3
use windows::core::{w, PCWSTR};
4
use windows::Win32::System::SystemInformation::{GetSystemInfo, SYSTEM_INFO};
5
use windows::Win32::UI::WindowsAndMessaging::{MessageBoxW, MB_OK};
6

7
fn message_box(code: u16) {
8
    let text = format!("请求状态码: {}", code);
9
    let wide_text: Vec<u16> = text.encode_utf16().chain(std::iter::once(0)).collect();
10
    unsafe {
11
        MessageBoxW(
12
            None,
13
            PCWSTR::from_raw(wide_text.as_ptr()),
14
            w!("测试标题"),
15
            MB_OK,
16
        );
17
    };
18
}
19

20
fn request() -> u16 {
21
    let url = "https://x.threatbook.com/";
22
    let response = reqwest::blocking::get(url).unwrap();
23
    response.status().as_u16()
24
}
25

26
fn main() {
27
    let code = request();
28
    message_box(code);
29
}

加入 API Hammering#

我们在执行 Payload 之前，插入一个 api_hammering 函数。这里选择 GetSystemInfo 作为 Hammering 对象。

1
// #![windows_subsystem = "windows"]
2

3
use windows::core::{w, PCWSTR};
4
use windows::Win32::System::SystemInformation::{GetSystemInfo, SYSTEM_INFO};
5
use windows::Win32::UI::WindowsAndMessaging::{MessageBoxW, MB_OK};
6

7
fn message_box(code: u16) {
8
    let text = format!("请求状态码: {}", code);
9
    let wide_text: Vec<u16> = text.encode_utf16().chain(std::iter::once(0)).collect();
10
    unsafe {
11
        MessageBoxW(
12
            None,
13
            PCWSTR::from_raw(wide_text.as_ptr()),
14
            w!("测试标题"),
15
            MB_OK,
16
        );
17
    };
18
}
19

20
fn api_hammering() {
21
    let mut si = SYSTEM_INFO::default();
22
    for i in 0..99999 {
23
        unsafe { GetSystemInfo(&mut si) }
24
        println!("{}", i)
25
    }
26
}
27

28
fn request() -> u16 {
29
    let url = "https://x.threatbook.com/";
30
    let response = reqwest::blocking::get(url).unwrap();
31
    response.status().as_u16()
32
}
33

34
fn main() {
35
    api_hammering();
36
    let code = request();
37
    message_box(code);
38
}