VMInjector

V M I n j e c t o r

         (c) 2012 von Marco Batista
     <marco.batista [at] secforce.com>

   Lizenziert unter GPLv3 (siehe LICENSE-Datei)

Überblick:

VMInjector ist ein Tool, das dazu entwickelt wurde, OS-Login-Authentifizierungsbildschirme gängiger Betriebssysteme zu umgehen, die auf VMware Workstation/Player laufen, indem es direkte Speichermanipulation verwendet.

Beschreibung:

VMInjector ist ein Tool, das den Speicher von VMware-Gästen manipuliert, um den Authentifizierungsbildschirm des Betriebssystems zu umgehen. VMware verwaltet die Ressourcen, die Gastbetriebssystemen zugewiesen sind, einschließlich des Arbeitsspeichers (RAM). VMInjector injiziert eine DLL-Bibliothek in den VMware-Prozess, um Zugriff auf die zugeordneten Ressourcen zu erhalten. Die DLL-Bibliothek funktioniert, indem sie den vom VMware-Prozess gehaltenen Speicherbereich analysiert und die speicherzugeordnete RAM-Datei lokalisiert, die dem RAM-Abbild des Gasts entspricht. Durch Manipulation der zugewiesenen RAM-Datei und Patchen der für die Authentifizierung zuständigen Funktion erlangt ein Angreifer unbefugten Zugriff auf den zugrunde liegenden virtuellen Host. VMInjector kann derzeit gesperrte Windows-, Ubuntu- und Mac-OS-X-Betriebssysteme umgehen. Das Patchen im Speicher ist nicht persistent; ein Neustart der Gast-VM stellt die normale Passwortfunktionalität wieder her.

Angriffsszenarien:

VMInjector kann verwendet werden, wenn das Passwort eines virtuellen Hosts vergessen wurde und zurückgesetzt werden muss. Meistens wird dieses Tool bei Penetrationstests eingesetzt, wenn Zugriff auf einen VMware-Host erlangt wurde und der Angreifer zusätzlichen Zugriff auf die auf diesem Host laufenden Gäste erlangen möchte.

Anforderungen:

Windows-Rechner (mit Administratorzugriff); VMware Workstation oder Player Edition; Eine gesperrte Gast-VM;

Verwendung:

VMInjector besteht aus 2 Teilen: Die DLL-Injektionsanwendung (Python-Skript oder mitgelieferte konvertierte ausführbare Datei) DLL-Bibliothek (x86 und x64)

Das Tool unterstützt sowohl x86- als auch x64-Bit-Architekturen, indem beide DLLs bereitgestellt werden. Man kann auch einen eigenen DLL-Injektor verwenden, um die auf dem Host laufende Gast-VM auszuwählen.

Um das Tool auszuführen, führen Sie die mitgelieferte ausführbare Datei VMInjector (32 oder 64) über die Befehlszeile aus. VMware führt jeden Gast in einem eigenen Prozess aus. VMInjector muss auf den Prozess des Gasts gezeigt werden, das umgangen werden muss. Sobald der Benutzer einen Prozess auswählt, wird die DLL in das ausgewählte Ziel injiziert. Sobald die DLL injiziert ist, muss der Benutzer das Betriebssystem angeben, damit das Speicher-Patching durchgeführt werden kann.

Haftungsausschluss:

Dieses Tool ist ausschließlich für legale Zwecke bestimmt. Der Code wird unter der GPLv3-Lizenz veröffentlicht.

Danksagungen und Referenzen:

Ich möchte Michael Ligh für seine wertvolle Forschung zum Injizieren von Shellcode in Gast-VMs aus dem Jahr 2006 danken.

Ich möchte außerdem Carsten Maartmann-Moe für seine Arbeit an Inception danken, einem Tool, das gesperrte Windows-, Ubuntu- und OS-X-Maschinen mithilfe des IEEE-1394-FireWire-Tricks entsperren kann. Dies wurde erstmals vom (inzwischen veralteten) winlockpwn-Tool demonstriert.