قائمة تجاوز WDAC الشاملة

مورد مركزي لتقنيات تجاوز WDAC/Device Guard/UMCI الموثقة سابقًا وكذلك لبناء/إدارة/اختبار سياسات WDAC

• ملاحظة: أعادت Microsoft تسمية WDAC (Windows Defender Application Control) إلى "Application Control" أو "Application Control for Business"

*العديد من ملفات LOLBIN مدرجة في التطبيقات التي يمكنها تجاوز قائمة WDAC والتي كانت تُسمى سابقًا "Microsoft Recommended Block Rules List"

• نصيحة احترافية: إذا كنت تطبّق سياسة Block Rules، فلا تنسَ إزالة أول قاعدتي ملف: ID_ALLOW_A_1 و ID_ALLOW_A_2

*استُلهم هذا المستودع من Ultimate AppLocker Bypass List الخاص بـ Oddvar Moe

*وكما هو الحال دائمًا، فإن هذا العمل قيد التطوير...

---

التطبيقات التي يمكنها تجاوز WDAC - كتابات "LOLBIN"

addinprocess.exe

• بقلم James Forshaw (@tiraniddo)
• DG على Windows 10 S: تنفيذ تعليمات برمجية عشوائية
  • https://www.tiraniddo.dev/2017/07/dg-on-windows-10-s-executing-arbitrary.html

addinprocess32.exe

• بقلم James Forshaw (@tiraniddo)
• DG على Windows 10 S: تنفيذ تعليمات برمجية عشوائية
  • https://www.tiraniddo.dev/2017/07/dg-on-windows-10-s-executing-arbitrary.html

addinutil.exe

• بقلم غير معروف (موثق بواسطة @McKinleyMike و @TheLatteri)
• إزالة تسلسل غير آمنة في AddinUtil.exe
  • https://www.blue-prints.blog/content/blog/posts/lolbin/addinutil-lolbas.html

aspnet_compiler.exe

• بقلم cpl (@cpl3h)
• الحالة الغريبة لـ Aspnet_Compiler.exe
  • https://ijustwannared.team/2020/08/01/the-curious-case-of-aspnet_compiler-exe/

bginfo.exe

• بقلم Oddvar Moe (@Oddvarmoe)
• تجاوز القائمة البيضاء للتطبيقات باستخدام BGInfo
  • https://msitpros.com/?p=3831

cdb.exe

• بقلم Matt Graeber (@mattifestation)
• تجاوز القائمة البيضاء للتطبيقات باستخدام WinDbg/CDB كمنفّذ Shellcode
  • http://www.exploit-monday.com/2016/08/windbg-cdb-shellcode-runner.html

csi.exe

• بقلم Casey Smith (@subTee)
• تجاوز القائمة البيضاء للتطبيقات - CSI.EXE C# Scripting
  • https://web.archive.org/web/20161008143428/http://subt0x10.blogspot.com/2016/09/application-whitelisting-bypass-csiexe.html

dbghost.exe

• بقلم Casey Smith (@subTee)
• dbghost.exe - Ghost And The Darkness
  • https://web.archive.org/web/20170926164017/http://subt0x10.blogspot.com/2017/09/dbghostexe-ghost-in-darkness.html

dbgsrv.exe

• بقلم Casey Smith (@subTee)، Ross Wolf (@rw_access)
• كيفية تجاوز WDAC باستخدام dbgsrv.exe
  • https://fortynorthsecurity.com/blog/how-to-bypass-wdac-with-dbgsrv-exe/
• هجمات الفريق الأحمر الرائعة وكيفية العثور عليها
  • https://i.blackhat.com/USA-19/Thursday/us-19-Smith-Fantastic-Red-Team-Attacks-And-How-To-Find-Them.pdf

dnx.exe

• بقلم Matt Nelson (@enigma0x3)
• تجاوز القائمة البيضاء للتطبيقات باستخدام DNX.EXE
  • https://enigma0x3.net/2016/11/17/bypassing-application-whitelisting-by-using-dnx-exe/

dotnet.exe

• بقلم Jimmy Bayne (@bohops)
• DotNet Core: ناقل لتجاوز AWL والتهرب من الدفاعات
  • https://bohops.com/2019/08/19/dotnet-core-a-vector-for-awl-bypass-defense-evasion/

fsi.exe

• بقلم Nick Tyrer (@NickTyrer) [الكاتب: Jimmy Bayne (@bohops)]
• GitHub Gist: تنفيذ fsi.exe المضمّن
  • https://gist.github.com/NickTyrer/51eb8c774a909634fa69b4d06fc79ae1
  • https://twitter.com/NickTyrer/status/904273264385589248
• استكشاف قواعد الحظر الموصى بها من Microsoft لـ WDAC (الجزء الثاني): Wfc.exe و Fsi.exe و FsiAnyCpu.exe
  • https://bohops.com/2020/11/02/exploring-the-wdac-microsoft-recommended-block-rules-part-ii-wfc-fsi/

fsiAnyCpu.exe

• بواسطة Nick Tyrer (@NickTyrer) عبر التنفيذ المضمّن لـ fsi.exe [مقالة: Jimmy Bayne (@bohops)]
• GitHub Gist: التنفيذ المضمّن لـ fsi.exe
  • https://gist.github.com/NickTyrer/51eb8c774a909634fa69b4d06fc79ae1
  • https://twitter.com/bohops/status/1319096336441090050
• استكشاف قواعد الحظر الموصى بها من Microsoft لـ WDAC (الجزء الثاني): Wfc.exe وFsi.exe وFsiAnyCpu.exe
  • https://bohops.com/2020/11/02/exploring-the-wdac-microsoft-recommended-block-rules-part-ii-wfc-fsi/

infdefaultinstall.exe

• بواسطة Kyle Hanslovan (@KyleHanslovan)، Chris Bisnett (@chrisbisnett)
• التهرب من Autoruns - DerbyCon 7.0
  • https://github.com/huntresslabs/evading-autoruns
• ردًا على: إثباتات مفهوم التهرب من Autoruns على Windows 10
  • https://medium.com/@KyleHanslovan/re-evading-autoruns-pocs-on-windows-10-dd810d7e8a3f

InstallUtil.exe

• بواسطة James Forshaw (@tiraniddo)
• DG على Windows 10 S: إساءة استخدام InstallUtil
  • https://www.tiraniddo.dev/2017/08/dg-on-windows-10-s-abusing-installutil.html

IntuneWindowsAgent.exe (Microsoft.Management.Services.IntuneWindowsAgent.exe)

• بواسطة Kim Oppalfens (@TheWMIGuy)
• شرح تجاوز Intune Windows Agent
  • https://github.com/bohops/UltimateWDACBypassList/issues/1

kill.exe

• بواسطة @hyp3rlinx
• أداة إنهاء العمليات من Microsoft "kill.exe" - تجاوز سعة المخزن المؤقت SEH
  • http://hyp3rlinx.altervista.org/advisories/MS-KILL-UTILITY-BUFFER-OVERFLOW.txt
  • https://twitter.com/bohops/status/1324563760967753730

microsoft.Workflow.Compiler.exe

• بواسطة Matt Graeber (@mattifestation)
• ناقل تنفيذ تعسفي لتعليمات برمجية غير موقّعة في Microsoft.Workflow.Compiler.exe
  • https://posts.specterops.io/arbitrary-unsigned-code-execution-vector-in-microsoft-workflow-compiler-exe-3d9294bc5efb

msbuild.exe

• بواسطة Casey Smith (@subTee)
• تجاوز القائمة البيضاء للتطبيقات باستخدام MSBuild.exe - مثال Device Guard والتخفيفات
  • https://web.archive.org/web/20160920161634/http://subt0x10.blogspot.com/2016/09/bypassing-application-whitelisting.html

mshta.exe

• بواسطة غير معروف (موثّق من @conscioushacker)
• تجاوز القائمة البيضاء للتطبيقات: mshta.exe
  • https://web.archive.org/web/20171118145940/http://blog.conscioushacker.io/index.php/2017/11/17/application-whitelisting-bypass-mshta-exe/

powershellcustomhost.exe

• بواسطة Lasse Trolle Borup (@TrolleBorup)
• تجاوز بسيط لـ Device Guard
  • https://danishcyberdefence.dk/blog/device-guard-powershellcustomhost

rcsi.exe

• بقلم Matt Nelson (@enigma0x3)
• تجاوز القائمة البيضاء للتطبيقات باستخدام RCSI.EXE
  • https://enigma0x3.net/2016/11/21/bypassing-application-whitelisting-by-using-rcsi-exe/

runscripthelper.exe

• بواسطة Matt Graeber (@mattifestation)
• تجاوز القائمة البيضاء للتطبيقات باستخدام runscripthelper.exe
  • https://posts.specterops.io/bypassing-application-whitelisting-with-runscripthelper-exe-1906923658fc

texttransform.exe

• بواسطة غير معروف
• TextTransformer - حالة استخدام الأداة [موثّق من Casey Smith (@_subTee)]
  • https://github.com/secdev02/TextTransformer
• قالب حقن الشيفرة الصدفية TextTransform [موثّق من Chris Sphen (@ConsciousHacker)]
  • https://gist.github.com/ConsciousHacker/40dfd14b9ecefec49803c509712346a9
• مرجع مؤقت (قريبًا)

visualuiaverifynative.exe

• بواسطة Lee Christensen (@tifkin_) [مقالة: Jimmy Bayne (@bohops)]
• استكشاف قواعد الحظر الموصى بها من Microsoft لـ WDAC: VisualUiaVerifyNative
  • https://bohops.com/2020/10/15/exploring-the-wdac-microsoft-recommended-block-rules-visualuiaverifynative/

wfc.exe

• تنبيه من MSRC وMatt Graeber (@mattifestation) [مقالة: Jimmy Bayne (@bohops)]
• استكشاف قواعد الحظر الموصى بها من Microsoft لـ WDAC (الجزء الثاني): Wfc.exe وFsi.exe وFsiAnyCpu.exe
• https://bohops.com/2020/11/02/exploring-the-wdac-microsoft-recommended-block-rules-part-ii-wfc-fsi/

windbg.exe

• بواسطة Matt Graeber (@mattifestation)
• تجاوز القائمة البيضاء للتطبيقات باستخدام WinDbg/CDB كمشغّل للشيفرة الصدفية
  • http://www.exploit-monday.com/2016/08/windbg-cdb-shellcode-runner.html