synacktiv/amsi-bypassقوائم مشغلات AMSI (VBA، JScript / VBScript)
قوائم مشغلات AMSI (VBA، JScript / VBScript)
مرجع: MISC 104 - AMSI: Fonctionnement et Contournements
في VBA وJScript وVBScript، يستخدم AMSI مخزنًا مؤقتًا دائريًا (circular buffer) لتسجيل التعليمات وقائمة بالدوال التي يُعتقد أنها مشبوهة. يؤدي استخدام أي من تلك الدوال المدرجة في القائمة السوداء إلى تشغيل فحص للمخزن المؤقت الدائري بواسطة موفري AMSI المسجلين.
يحتوي هذا المستودع على قوائم المشغلات كمجاميع اختبارية CRC32، والمعرفة في VBE7.DLL وjscript.dll وvbscript.dll. القوائم بصيغة CSV، مع المجاميع الاختبارية وأسماء الدوال المسترجعة.
ملاحظة: قد يختلف تنسيق التسجيل (حالة الأحرف والترميز) بين VBA وJScript وVBScript، وكذلك باختلاف نوع المشغل (Win32 API، طريقة COM، طريقة أصلية)، مما يؤثر على المجاميع الاختبارية CRC32.
| النوع | التفاصيل | الملف |
|---|---|---|
| Win32 API | UTF-8 مع الحفاظ على حالة الأحرف | vba_win32.csv |
| طرق COM | UTF-16LE وبأحرف صغيرة | vba_com.csv |
كلاهما يستخدم نفس القائمة السوداء.
تُحسب المجاميع الاختبارية إما على DispID أو على أسماء دوال COM العادية.
| النوع | التفاصيل |
|---|---|
| DispID | UTF-16LE مع بادئة _ |
| الأسماء | UTF-16LE مع الحفاظ على حالة الأحرف |
القائمة في jscript.csv
