تنفيذ الكود المخفي

Hunt & Hackett تقدم مجموعة من الأدوات والمقالات التقنية التي تصف تقنيات الهجوم التي تعتمد على إخفاء تنفيذ الكود في نظام ويندوز. ستجد هنا شروحات لكيفية عمل هذه التقنيات، ونصائح حول كيفية اكتشافها، ونماذج من الكود المصدري لاختبار تغطية اكتشافك.

المحتوى

يغطي هذا المستودع فئتين من تقنيات الهجوم التي تستخدم بشكل مكثف الآليات الداخلية لنظام ويندوز، بالإضافة إلى تقديم اقتراحات وأدوات للكشف عنها:

• التلاعب بالعمليات - مجموعة من التقنيات التي تخفي الكود على نطاق العملية بأكملها.
• حقن الكود - مجموعة من الحيل التي تسمح بتنفيذ الكود كجزء من عمليات أخرى دون التداخل مع وظائفها.
• الكشف - مجموعة من التوصيات للدفاع ضد التقنيات المختلفة لإخفاء تنفيذ الكود.

القيم الأساسية للمشروع:

• المنهج المنهجي. يتضمن هذا المستودع أكثر من مجرد مجموعة من الأدوات أو روابط لمصادر خارجية. يحصل كل موضوع على شرح مفصل للمفاهيم الأساسية؛ يتم تصنيف كل حالة محددة إلى فئات عامة.
• أدوات إثبات المفهوم. ترافق المقالات مشاريع نموذجية بلغة C توضح استخدام الوسائل الموصوفة عمليًا.
• من المبتدئ إلى المحترف. لا تحتاج إلى أن تكون خبيرًا في الأمن السيبراني لفهم المفاهيم التي نصفها. ومع ذلك، حتى المحترفون في المجال المقابل يجب أن يجدوا المحتوى قيمًا وتعليميًا بسبب الاهتمام بالتفاصيل والمزالق.

التنفيذ

ميزة مميزة أخرى لهذا المشروع هي الاستخدام المكثف لواجهة Native API في جميع النماذج. إليك الدافع لهذا الاختيار:

1. الوظائف. بعض العمليات المطلوبة للتقنيات الأكثر تقدمًا (مثل التلاعب بالعمليات) لا تتم كشفها عبر واجهات برمجة تطبيقات أخرى.
2. التحكم. كونها أدنى مستوى من التفاعل مع نظام التشغيل، فإنها توفر أكبر قدر من التحكم في سلوكه. تم بناء Win32 API على قمة Native API، لذا كل ما يمكن تحقيقه باستخدام الأولى يمكن تحقيقه أيضًا باستخدام الثانية.
3. التوفر. نظرًا لتعرضها عبر ntdll.dll، فإن Native API متوفرة في جميع العمليات، بما في ذلك عمليات النظام.
4. الاتساق. الواجهات التي تعرضها واجهة API هذه متسقة بشكل ملحوظ. بعد تعلم خيارات التصميم الأساسية، يصبح من الممكن توقع أغلبية نماذج الدوال بشكل صحيح فقط من اسم API.
5. المقاومة للربط. من الأسهل بشكل كبير إزالة أو تجاوز ربطات وضع المستخدم عند استخدام Native API، مما يعمي برامج الأمان جزئيًا. لا توجد مكتبات منخفضة المستوى يمكن تعديلها، لذا يصبح إلغاء الربط بسيطًا مثل تحميل نسخة ثانية من ntdll.dll وإعادة توجيه الاستدعاءات هناك.

ملاحظات التجميع

يستخدم الكود النموذجي رؤوس Native API المقدمة من مشروع PHNT. تأكد من استنساخ المستودع باستخدام الأمر git clone --recurse-submodules لجلب هذا الاعتماد. بدلاً من ذلك، يمكنك استخدام git submodule update --init بعد استنساخ المستودع.

لبناء المشاريع المضمنة مع المستودع، ستحتاج إلى إصدار حديث من Windows SDK. إذا كنت تستخدم Visual Studio، فيرجى الرجوع إلى تثبيت SDK المدمج. بدلاً من ذلك، يمكنك أيضًا استخدام بيئة البناء المستقلة لـ EWDK. لتجميع جميع الأدوات مرة واحدة، استخدم MSBuild AllTools.sln /t:build /p:configuration=Release /p:platform=x64.