Security Analysis

با توجه به تاریخ انتشار کتاب Windows PE权威指南 که به زبان چینی و در سال 2011 به چاپ رسیده است، در بازنویسی این کتاب سعی کرده‌ام مطالب و ابزارهای قدیمی را حذف کنم و از نرم‌افزارهای به‌ روز و مطالب جدید استفاده کنم. به همین دلیل ممکن است بعضی از موضوعات به‌طور کامل تغییر یا جایگزین شوند و یا حتی بر حسب نیاز مطالب جدیدی اضافه گردند.

سطح مطالب این کتاب پیشرفته است و موضوعاتی که مطرح می‌شوند ممکن است نیاز به داشتن پیش‌نیاز باشند. به طور مثال، کدنویسی پروژه‌ها به زبان اسمبلی و در محیط برنامه‌نویسی انجام می‌شود، بنابراین شما باید زبان اسمبلی را بدانید و با محیط برنامه‌نویسی به زبان اسمبلی آشنایی داشته باشید. تمرکز این کتاب بر تشریح ساختار فایل‌های PE خواهد بود و به آموزش پیش‌نیازها یا سایر موارد اشاره نخواهیم کرد. با این حال، در هر فصل بخشی تحت عنوان منابع وجود دارد که برای درک و آشنایی بیشتر شما با بعضی مطالب، منابع مناسبی معرفی خواهند شد.

Local and Remote Query Support: Seamlessly query Windows Defender settings on both local and remote machines.
User-Context: Operates efficiently from a low-user context, eliminating the need for administrative permissions.
Windows Defender Exclusions: Retrieve and list all exclusion paths configured in Windows Defender.
Attack Surface Reduction (ASR) Rules: Enumerate ASR rules, displaying both the IDs and their corresponding names for easy identification.
Triggered ASR Events: Extract and list all triggered ASR events to monitor system security activities.
Detailed Output: Presents information in a clear, tabulated format for easy reading and analysis.
Getting ASR rules from MSFT_MpPreference class, it is under the following namespace root\Microsoft\Windows\Defender. and you don't need admin privileges.
Works from low user context .
Supports local & remote queries
Extracts paths from Event ID 5007 and ASR from Event ID 1121 using regex
Enumerates ASR rules from MSFT_MpPreference WMI class(works perfectly from low user context as well).
Displays results in a clean, tabulated format
works smoothly with inline-assembly

Find the OneDrive.exe in running processes.
Get the handle of OneDrive.exe.
Query remote process memory information.
look for RWX memory regions.
Write shellcode into found region of OneDrive.exe
Fork OneDrive.exe into a new process.
Set the forked process's start address to the cloned shellcode.
Terminate the cloned process after execution.

فرآیند تزریق شامل چند مرحله است:
اولین قدم این است که یک فانکشن را برای هایجک انتخاب کنید. همانطور که در پروژه اصلی اجرا شد، malloc یکی از رایج ترین اهداف است. آدرس malloc با خواندن /proc/maps، یافتن آدرس پایه libc و محاسبه آدرس مجازی فعلی malloc با افزودن افست آن به آدرس پایه پیدا می‌شود.

پس از یافتن آدرس، تابع هدف با شل کد مرحله اول بازنویسی می شود. شل کد وظیفه ایجاد یک Memory Region جدید، همگام سازی Thread ها و در نهایت اجرای شل کد مرحله دوم را بر عهده دارد.

شل کد مرحله دوم می تواند یکی از سه نوع باشد: shellcode loader، shellcode raw-dlopen که از dlopen برای بارگذاری یک کتابخانه مشترک از filesystem استفاده می کند، یا شل کد memfd-dlopen که dlopen را روی فایل memfd با محتویات ارائه شده توسط کاربر فراخوانی می کند.