🔴 سرشماری اطلاعات با تابع CreateToolhelp32Snapshot
برای پیاده سازی بسیاری از حملات تزریق کد در توسعه بدافزار ها ، نیاز داریم تا Process ها , Thread ها یا ماژول های یک پروسه در سیستم عامل ویندوز را سرشماری کنیم . تابع CreateToolhelp32Snapshot به ما اجازه میدهد تا اینگونه موارد و حافظه های Heap موجود در سیستم ویندوزی را سرشماری کنیم .در این پست چگونگی استفاده از این تابع برای این منظور را یاد خواهیم گرفت و در حملات آینده از آن استفاده خواهیم کرد .
https://mrpythonblog.ir/enumerating-using-createtoolhelp32snapshot/
#MalwareDevelopment
🆔 : @MrPythonBlog | BOOST
برای پیاده سازی بسیاری از حملات تزریق کد در توسعه بدافزار ها ، نیاز داریم تا Process ها , Thread ها یا ماژول های یک پروسه در سیستم عامل ویندوز را سرشماری کنیم . تابع CreateToolhelp32Snapshot به ما اجازه میدهد تا اینگونه موارد و حافظه های Heap موجود در سیستم ویندوزی را سرشماری کنیم .در این پست چگونگی استفاده از این تابع برای این منظور را یاد خواهیم گرفت و در حملات آینده از آن استفاده خواهیم کرد .
https://mrpythonblog.ir/enumerating-using-createtoolhelp32snapshot/
#MalwareDevelopment
🆔 : @MrPythonBlog | BOOST
👍6👏2
🔴 تزریق کد با تکنیک Thread Hijacking
نخ ها واحد های اجرایی در پروسه ها و در هر پروسه در حال اجرا ، حداقل یک نخ (Thread) اجرایی وجود دارد . یکی از روش های مرسوم تزریق کد به نام Thread Hijacking به این روش عمل میکند که بدافزار یکی از نخ های در حال اجرا در پروسه هدف را وادار به اجرای کد دلخواه میکند . این روش با تغییر مقدار ثبات EIP یا RIP در نخ مربوطه انجام میشود . همانطور که میدانید ثبات EIP (در معماری x86) یا RIP (در معماری x86-64) یک ثبات ۳۲ یا ۶۴ بیتی است که حاوی آدرس دستورالعمل بعدی در حافظه است که پردازنده اجرا خواهد کرد حال اگر ما مقدار این ثبات را طوری تغییر دهیم که به کد دلخواه ما اشاره کند در نتیجه دستورالعمل های بعدی که پردازنده اجرا خواهد کرد ، کد ما خواهد بود .
Link : https://mrpythonblog.ir/thread-hijacking/
#MalwareDevelopment
🆔 : @MrPythonBlog | BOOST
نخ ها واحد های اجرایی در پروسه ها و در هر پروسه در حال اجرا ، حداقل یک نخ (Thread) اجرایی وجود دارد . یکی از روش های مرسوم تزریق کد به نام Thread Hijacking به این روش عمل میکند که بدافزار یکی از نخ های در حال اجرا در پروسه هدف را وادار به اجرای کد دلخواه میکند . این روش با تغییر مقدار ثبات EIP یا RIP در نخ مربوطه انجام میشود . همانطور که میدانید ثبات EIP (در معماری x86) یا RIP (در معماری x86-64) یک ثبات ۳۲ یا ۶۴ بیتی است که حاوی آدرس دستورالعمل بعدی در حافظه است که پردازنده اجرا خواهد کرد حال اگر ما مقدار این ثبات را طوری تغییر دهیم که به کد دلخواه ما اشاره کند در نتیجه دستورالعمل های بعدی که پردازنده اجرا خواهد کرد ، کد ما خواهد بود .
Link : https://mrpythonblog.ir/thread-hijacking/
#MalwareDevelopment
🆔 : @MrPythonBlog | BOOST
❤7👍1🥰1
🟣 تزریق DLL با استفاده از کلید رجیستری Appinit_DLLs
در این ویدیو یکی دیگر از روش های تزریق DLL را یاد میگیریم که با استفاده از تغییر رجیستری انجام میشه . مزیت این روش نسبت به روش های دیگر تزریق DLL در این هست که به محض پیاده سازی آن ، DLL دلخواه ما به تمام پروسه های ویندوز که پس از آن ساخته میشوند به طور خودکار تزریق میشود و درنتیجه با استفاده از آن برای مثال میتوانیم تکنیک هایی مثل API Hooking را برای تمامی پروسه های تازه سیستم انجام دهیم ....
در این ویدیو با استفاده از تزریق DLL با این روش ، یک payload از نوع reverse_shell در سیستم قربانی اجرا میکنیم و به خط فرمان آن دسترسی پیدا میکنیم .
Aparat : https://www.aparat.com/v/jemq967
#MalwareDevelopment #CodeInjection
🆔 : @MrPythonBlog | BOOST
در این ویدیو یکی دیگر از روش های تزریق DLL را یاد میگیریم که با استفاده از تغییر رجیستری انجام میشه . مزیت این روش نسبت به روش های دیگر تزریق DLL در این هست که به محض پیاده سازی آن ، DLL دلخواه ما به تمام پروسه های ویندوز که پس از آن ساخته میشوند به طور خودکار تزریق میشود و درنتیجه با استفاده از آن برای مثال میتوانیم تکنیک هایی مثل API Hooking را برای تمامی پروسه های تازه سیستم انجام دهیم ....
در این ویدیو با استفاده از تزریق DLL با این روش ، یک payload از نوع reverse_shell در سیستم قربانی اجرا میکنیم و به خط فرمان آن دسترسی پیدا میکنیم .
Aparat : https://www.aparat.com/v/jemq967
#MalwareDevelopment #CodeInjection
🆔 : @MrPythonBlog | BOOST
👍11🔥3
🟣 بهره گیری از بخش Resource فایل های PE در بدافزارها
همانطور که میدانید ساختار اصلی فایل های اجرایی در سیستم عامل ویندوز ، ساختار PE میباشد . این ساختار شامل بخش های مختلف برای نگهداری انواع مختلف اطلاعات میباشد . مثلا بخشی به نام text. برای نگهداری کد های ماشین فایل اجرایی ، بخشی به نام idata. برای نگهداری اطلاعات مربوط به واردات (Imports) فایل و .... یکی از بخش های بسیار مهم فایل های PE که در توسعه بدافزار ها به شدت استفاده میشود بخش Resource ها میباشد . برنامه نویس یا بدافزار نویس میتواند هرنوع اطلاعات دلخواهی را در این بخش ذخیره کند و حین اجرا آن اطلاعات را به دلخواه استخراج کرده و از آن ها استفاده کند .
در این ویدیو نحوه کار با توابع Windows API جهت استفاده از Resource ها را یاد گرفته و برای مثال بدافزاری مینویسیم که یک پیلود reverse shell را در زمان اجرا از بخش resource های خود استخراج کرده و آن را اجرا میکند .
Aparat : https://www.aparat.com/v/jdj8t55
#MalwareDevelopment
🆔 : @MrPythonBlog | BOOST
همانطور که میدانید ساختار اصلی فایل های اجرایی در سیستم عامل ویندوز ، ساختار PE میباشد . این ساختار شامل بخش های مختلف برای نگهداری انواع مختلف اطلاعات میباشد . مثلا بخشی به نام text. برای نگهداری کد های ماشین فایل اجرایی ، بخشی به نام idata. برای نگهداری اطلاعات مربوط به واردات (Imports) فایل و .... یکی از بخش های بسیار مهم فایل های PE که در توسعه بدافزار ها به شدت استفاده میشود بخش Resource ها میباشد . برنامه نویس یا بدافزار نویس میتواند هرنوع اطلاعات دلخواهی را در این بخش ذخیره کند و حین اجرا آن اطلاعات را به دلخواه استخراج کرده و از آن ها استفاده کند .
در این ویدیو نحوه کار با توابع Windows API جهت استفاده از Resource ها را یاد گرفته و برای مثال بدافزاری مینویسیم که یک پیلود reverse shell را در زمان اجرا از بخش resource های خود استخراج کرده و آن را اجرا میکند .
Aparat : https://www.aparat.com/v/jdj8t55
#MalwareDevelopment
🆔 : @MrPythonBlog | BOOST
❤6