frida-wshook

frida-wshook هي أداة تحليل ومراقبة تستخدم frida.re لربط (Hook) الدوال الشائعة التي غالباً ما تُستخدم بواسطة ملفات البرامج النصية الضارة التي يتم تشغيلها باستخدام WScript/CScript.

تتقاطع الأداة مع دوال Windows API ولا تطبق دوال بديلة أو وسطاء داخل لغة البرمجة النصية المستهدفة. ويتيح ذلك دعم تحليل عدد من أنواع البرامج النصية المختلفة مثل:

• .js (JScript)
• .vbs (VBScript)
• .wsf (WSFile) (دعم/اختبار أولي - لا يدعم وظائف محددة)

افتراضياً، يتم تشغيل ملفات البرامج النصية باستخدام cscript.exe وتقوم بإخراج:

• COM ProjIds
• طلبات DNS
• أوامر Shell
• طلبات الشبكة

تحذير!!! تأكد من تشغيل أي برامج نصية ضارة على نظام تحليل مخصص. من الأفضل استخدام جهاز افتراضي مزود بلقطات حتى تتمكن من التراجع إذا تمكن البرنامج النصي من الفرار منك واحتجت إلى إعادة تعيين النظام.

على الرغم من ربط الدوال الشائعة، إلا أن Windows يوفر العديد من واجهات برمجة التطبيقات التي تسمح للمطورين بالتفاعل مع الشبكة ونظام الملفات وتنفيذ الأوامر. لذا فمن الممكن تماماً مواجهة برامج نصية تستخدم واجهات برمجة تطبيقات غير شائعة لهذه الوظائف.

التثبيت والإعداد

• تثبيت Python 2.7
• تثبيت روابط Frida الخاصة بـ Python باستخدام pip

pip install frida

• استنساخ (أو تنزيل) مستودع frida-wshook.

نظام التشغيل المدعوم

تم اختبار frida-wshook على Windows 10 وWindows 7 ومن المفترض أن تعمل على أي إصدار Windows 7 أو أحدث. على الأنظمة 64 بت، يتم تحميل CScript من الدليل C:\Windows\SysWow64.

قد تعمل على WindowsXP، لكني أشك في أن CScript قد تستخدم استدعاءات API القديمة وبالتالي تتجاوز المراقبة.

الاستخدام

يدعم البرنامج النصي عدداً من وسائط سطر الأوامر الاختيارية التي تسمح لك بالتحكم في واجهات برمجة التطبيقات التي يمكن لمضيف البرنامج النصي استدعاءها.

usage: frida-wshook.py [-h] [--debug] [--disable_dns] [--disable_com_init]
                       [--enable_shell] [--disable_net]
                       script

frida-wshook.py your friendly WSH Hooker

positional arguments:
  script              Path to target .js/.vbs file

optional arguments:
  -h, --help          show this help message and exit
  --debug             Output debug info
  --disable_dns       Disable DNS Requests
  --disable_com_init  Disable COM Object Id Lookup
  --enable_shell      Enable Shell Commands
  --disable_net       Disable Network Requests

تحليل برنامج نصي بالمعلمات الافتراضية:

python wshook.py bad.js

تفعيل تصحيح الأخطاء المطول:

python wshook.py --debug bad.js

تفعيل أوامر shell (التنفيذ):

python frida-wshook.py --enable_shell bad.vbs

تعطيل WSASend:

python frida-wshook.py --disable_net bad.vbs

التحقق من ProgIds التي يستخدمها البرنامج النصي:

python frida-wshook.py --disable_com_init bad.vbs

الدوال التي تم ربطها

• ole32.dll
  • CLSIDFromProgIDEx
• Shell32.dll
  • ShellExecuteEx
• Ws2_32.dll
  • WSASocketW
  • GetAddrInfoExW
  • WSASend
  • WSAStartup

المشكلات المعروفة

• لا يتم التقاط ردود الشبكة
• قد يؤدي تعطيل البحث عن الكائنات إلى قيام البرنامج النصي بإخراج أول ProgId فقط... قد يكون ضمان الجودة للبرامج الضارة غير كافٍ.
• ملفات WSF ذات وظيفة محددة للاستهداف غير مدعومة حالياً

المهام المستقبلية

• تغيير GetAddrInfoExW لاستخدام .replace بدلاً من .attach
• إضافة تتبع وخطافات إضافية لتغطية المزيد من واجهات برمجة التطبيقات
• النظر في تجاوز تقنيات التحليل المضاد الشائعة الموجودة في البرامج النصية (السكون إلخ)
• تحديث وتحسين ربط طلبات الشبكة (أي: يلتقط حالياً الطلبات، وليس الردود)

الملاحظات / المساعدة

أي أسئلة أو تعليقات أو طلبات، يمكنك العثور علينا على تويتر: @seanmw أو @herrcore