ShimMe

أدوات من محاضرة DEFCON 32 بعنوان "SHIM me what you got - Manipulating Shim and Office for Code Injection"

Office Injector - يستدعي أسلوب RPC في خدمة OfficeClickToRun التي تحقن DLL في عملية معلّقة تعمل بصلاحيات NT AUTHORITY\SYSTEM وأطلقتها خدمة جدولة المهام، وبالتالي يحقق تصعيدًا للامتيازات من مسؤول إلى SYSTEM.

Shim Injector - يكتب بنية بيانات shim غير موثّقة في ذاكرة عملية أخرى، مما يجعل apphelp.dll يطبّق إصلاح “Inject Dll” على العملية دون تسجيل ملف SDB جديد على النظام، أو حتى كتابة هذا الملف على القرص.

الاعتمادات

• David Shandalov
• Ron Ben Yizhak

المراجع

• محاضرة DEF CON
• https://www.deepinstinct.com/blog/SHIM-Me-What-You-Got:-Manipulating-Shim-and-Office-for-Code-Injection
• https://learn.microsoft.com/en-us/windows/win32/fileio/opportunistic-locks
• https://learn.microsoft.com/en-us/windows/win32/devnotes/application-compatibility-database
• https://www.blackhat.com/docs/eu-15/materials/eu-15-Pierce-Defending-Against-Malicious-Application-Compatibility-Shims-wp.pdf
• https://www.blackhat.com/docs/asia-14/materials/Erickson/WP-Asia-14-Erickson-Persist-It-Using-And-Abusing-Microsofts-Fix-It-Patches.pdf