Enumprotections BOF

يمكن استخدام هذا الـ BOF لتعداد عمليات النظام وتحديد مستوى الحماية لكل عملية. كما يتم إرجاع معلومات إضافية، مثل علاقة الخدمة، والمستخدم، والجلسة، والمسار. ويمكن استخدام هذه المعلومات مجتمعة لتحديد مرشحين جيدين لاستكشاف اختطافات DLL على مستوى SYSTEM. ستكون العمليات المثالية:

1. غير محمية
2. مرتبطة بخدمة، وبالتالي يمكن تشغيلها/إيقافها
3. برامج الطرف الثالث. مايكروسوفت جيدة في تحديد اختطافات مكونات مايكروسوفت.

الاستخدام

التجميع

تمت كتابة هذه الأداة دون استخدام تعريفات واجهة برمجة التطبيقات (API) المعتادة لـ BOF (مثل ملف bofdefs.h). كما هو موضح في هذا المنشور بقلم Matt Ehrnschwender، من الممكن استخدام objcopy لترقيع الرموز الصحيحة ذات الصيغة DLL$API في BOF بعد التجميع. ويستدعي Makefile الخاص بهذه الأداة objcopy، مررًا ملف imports_enumprotectionsXX.txt الذي يحتوي على استبدالات الرموز الصحيحة إلى الأداة، مما يجعل BOF قابلاً للاستخدام.

لقد كتبت أداة باسم BOFPatcher تقوم بأتمتة هذه العملية. وهذا يسمح للمستخدمين بكتابة BOFs بلغة C عادية دون القلق بشأن تعريفات واجهات برمجة التطبيقات المرهقة:

هذه الأداة متاحة لمن يشتري دورتي BOF Development and Tradecraft.

الشكر

شكرًا لـ hasherezade على هذا المقتطف وكذلك لـ Gabriel Landau على NoFault.

كما أحيي العديد من الأفراد الموهوبين الذين جمع ChatGPT أعمالهم وقمت باستخدامها.