░█░█▄░█░█▒█░▄▀▄░█▄▀▒██▀░▒░ ▄▀▄▒█▀▄░▄▀▒▒█▀░█▒█░▄▀▀░▄▀▀▒▄▀▄░▀█▀░▄▀▄▒█▀▄░ ░█░█▒▀█░▀▄▀░▀▄▀░█▒█░█▄▄░▀▀░█▀█░█▀▄░▀▄█░█▀░▀▄█▒▄██░▀▄▄░█▀█░▒█▒░▀▄▀░█▀▄░

Invoke-ArgFuscator

Invoke-ArgFuscator هي وحدة PowerShell مفتوحة المصدر ومتعددة المنصات تساعد في توليد أسطر أوامر مُعمّاة للملفات التنفيذية الشائعة المضمّنة في النظام عبر ويندوز ولينكس وماك.

👉 استخدم النسخة التفاعلية من ArgFuscator على ArgFuscator.net 🚀

ملخص

تعمية سطر الأوامر (T1027.010) هي إخفاء النيّة الحقيقية لأمر ما من خلال التلاعب بسطر أوامر العملية. في كل من ويندوز ولينكس وماك، تقوم العديد من التطبيقات بتحليل وسيطات سطر الأوامر الممرّرة إليها بطرق غير متوقعة، مما يؤدي إلى حالات لا يؤدي فيها إدراج أو حذف و/أو استبدال أحرف معيّنة إلى تغيير تدفّق تنفيذ البرنامج. من المرجّح أن تُحبِط تعمية سطر الأوامر الناجحة الإجراءات الدفاعية مثل برامج مكافحة الفيروسات (AV) وأدوات كشف النقاط الطرفية والاستجابة (EDR)، وفي بعض الحالات تتجاوز الكشف تماماً.

على الرغم من أن الأبحاث السابقة سلّطت الضوء على مخاطر تعمية سطر الأوامر، وفي معظمها بأمثلة قصصية لتطبيقات (مضمّنة في النظام) معرّضة للخطر، إلا أن هناك فراغاً معرفياً يحيط بهذه التقنية. يهدف هذا المشروع إلى سدّ هذه الفجوة من خلال توفير مورد مركزي يوثّق ويعرض تقنيات تعمية سطر الأوامر المختلفة، ويسجّل مدى تأثّر التطبيقات الشائعة بكلٍّ منها.

الاستخدام

المتطلبات الأساسية

تعمل هذه الوحدة على أي نظام تشغيل يدعم PowerShell/pwsh؛ ويشمل ذلك ويندوز وماك ولينكس.

• ويندوز: إذا كنت تستخدم إصداراً من ويندوز مدعوماً من مايكروسوفت، مثل ويندوز 10 أو ويندوز 11، فسيكون PowerShell مثبّتاً مسبقاً على جهازك.
• ماك: إذا كان لديك brew مثبّتاً مسبقاً، شغّل brew install powershell/tap/powershell لتثبيت أحدث إصدار من PowerShell. للحصول على خيارات تثبيت بديلة، راجع وثائق مايكروسوفت.
• لينكس: راجع وثائق مايكروسوفت لمعرفة كيفية تثبيت PowerShell على توزيعتك.

التثبيت والاستخدام

1. إنّ أبسط طريقة لتثبيت هذه الوحدة هي عبر أمر PowerShell التالي:

   root@kitploit:~

   Install-Module -Name Invoke-ArgFuscator
   

2. لاستخدام الوحدة، استدعِ الدالة Invoke-ArgFuscator من داخل PowerShell، على سبيل المثال:

   a. لمرور سطر أوامر تريد تعميته كوسيطة سطر أوامر (بافتراض أنه مدعوم من ArgFuscator.net):

   root@kitploit:~

   # Windows
   powershell /c "Invoke-ArgFuscator -Command 'certutil /f /urlcache https://www.example.org/ homepage.txt'"
   
   # macOS and Linux
   pwsh -c "Invoke-ArgFuscator -Command 'certutil /f /urlcache https://www.example.org/ homepage.txt'"
   

   b. لاستخدام ملفات النماذج الخاصة بك¹:

   root@kitploit:~

   # Windows
   powershell /c "Invoke-ArgFuscator -InputFile path\to\file.json"
   
   # macOS and Linux
   pwsh -c "Invoke-ArgFuscator -InputFile path/to/file.json"
   

التطوير المحلي

1. استنسِخ هذا المستودع إلى جهازك.

2. استدعِ Invoke-ArgFuscator.ps1 عبر PowerShell، على سبيل المثال:

   a. للتشغيل التفاعلي، مرّر مسار ملف نموذج¹ عبر الإدخال القياسي (stdin):

   root@kitploit:~

   # Windows
   powershell .\Invoke-ArgFuscator.ps1
   
   # macOS and Linux
   pwsh ./Invoke-ArgFuscator.ps1
   

   b. لمرور مسار ملف النموذج¹ كوسيطة سطر أوامر:

   root@kitploit:~

   # Windows
   powershell .\Invoke-ArgFuscator.ps1 -InputFile "path\to\file.json"
   
   # macOS and Linux
   pwsh ./Invoke-ArgFuscator.ps1 -InputFile "path/to/file.json"
   

   c. لمرور سطر أوامر تريد تعميته كوسيطة سطر أوامر:

   لاحظ أن هذا يتطلب وجود مجلد models/ في نفس المجلد الذي يوجد فيه Invoke-ArgFuscator.ps1.

   root@kitploit:~

   # Windows
   powershell .\Invoke-ArgFuscator.ps1 -Command "certutil /f /urlcache https://www.example.org/ homepage.txt"
   
   # macOS and Linux
   pwsh ./Invoke-ArgFuscator.ps1 -Command "certutil /f /urlcache https://www.example.org/ homepage.txt"
   

التكامل

نظراً لأن Invoke-ArgFuscator وحدة PowerShell، يمكنك إضافة وظائف هذا المشروع إلى مشروع PowerShell الخاص بك.

للاستفادة من Invoke-ArgFuscator، أضِف

Import-Module Invoke-ArgFuscator

إلى ملف PowerShell الخاص بك، واستدعه بإحدى الطريقتين التاليتين:

Invoke-ArgFuscator -InputFile $InputFile -n $n
Invoke-ArgFuscator -Command $Command -Platform $Platform -n $n

مع

• $InputFile قيمة string تحتوي على مسار ملف (نسبي/مطلق) لملف النموذج، و$Profile عدداً صحيحاً أكبر من أو يساوي 0 يمثّل فهرس الملف التعريفي ضمن مسار الملف المُقدَّم الذي يجب استهدافه (اختياري)، و$n عدداً صحيحاً أكبر من 0 لعدد بدائل سطر الأوامر المُعمّاة المكافئة التي يجب توليدها (اختياري)؛ أو،
• $Command قيمة string تحتوي على سطر الأوامر الذي ترغب في تعميته، و$Platform قيمة string تحتوي على المنصة ذات الصلة (مثل windows، اختياري)، و$n عدداً صحيحاً أكبر من 0 لعدد بدائل سطر الأوامر المُعمّاة المكافئة التي يجب توليدها (اختياري).