gftrace

Ein Kommandozeilen-Tool zur Verfolgung von Windows-API-Aufrufen in Golang-Binärdateien.

Hinweis: Dieses Tool ist ein PoC und ein work-in-progress-Prototyp, daher behandeln Sie es bitte als solches. Rückmeldungen sind jederzeit willkommen!

Wie funktioniert es?

Obwohl Golang-Programme viele Nuancen in Bezug auf ihre Erstellung und ihr Laufzeitverhalten enthalten, müssen sie dennoch mit der Betriebssystemebene interagieren, was bedeutet, dass sie irgendwann Funktionen der Windows-API aufrufen müssen.

Das Go-Runtime-Paket enthält eine Funktion namens asmstdcall, und diese Funktion ist eine Art „Gateway“, das zur Interaktion mit der Windows-API verwendet wird. Da erwartet wird, dass diese Funktion die Windows-API-Funktionen aufruft, können wir annehmen, dass sie Zugriff auf Informationen wie die Adresse der Funktion und ihre Parameter benötigt – und hier wird es interessant.

Asmstdcall empfängt einen einzelnen Parameter, der ein Zeiger auf etwas Ähnliches wie die folgende Struktur ist:

struct LIBCALL {
	DWORD_PTR Addr;
	DWORD Argc;
	DWORD_PTR Argv;
	DWORD_PTR ReturnValue;
	
	[...]
}

Einige dieser Felder werden nach dem Aufruf der API-Funktion ausgefüllt, wie der Rückgabewert, andere werden von asmstdcall empfangen, wie die Funktionsadresse, die Anzahl der Argumente und die Liste der Argumente. Unabhängig davon, wann diese gesetzt werden, ist klar, dass die asmstdcall-Funktion viele interessante Informationen über die Ausführung von in Golang kompilierten Programmen manipuliert.

Das gftrace nutzt asmstdcall und dessen Funktionsweise, um bestimmte Felder der genannten Struktur zu überwachen und dem Benutzer zu protokollieren. Das Tool kann den Funktionsnamen, seine Parameter und auch den Rückgabewert jeder von einer Golang-Anwendung aufgerufenen Windows-Funktion protokollieren. All dies ohne die Notwendigkeit, eine einzige API-Funktion zu hooken oder eine Signatur dafür zu haben.

- CreateProcessW("C:\WINDOWS\System32\WindowsPowerShell\v1.0\powershell.exe", "powershell /c "Add-PSSnapin Microsoft.Exchange.Management.PowerShell.SnapIn; Get-Recipient | Select Name -ExpandProperty EmailAddresses -first 1 | Select SmtpAddress | ft -hidetableheaders"", 0x0, 0x0, 0x1, 0x80400, "=C:=C:\Users\user\Desktop", 0x0, 0xc0000ace98, 0xc0000acd68) = 0x1 (1) - CreateProcessW("C:\WINDOWS\System32\WindowsPowerShell\v1.0\powershell.exe", "powershell /c "Add-PSSnapin Microsoft.Exchange.Management.PowerShell.SnapIn; Get-Recipient | Select Name -ExpandProperty EmailAddresses -first 1 | Select SmtpAddress | ft -hidetableheaders"", 0x0, 0x0, 0x1, 0x80400, "=C:=C:\Users\user\Desktop", 0x0, 0xc0000c4ec8, 0xc0000c4d98) = 0x1 (1) - CreateProcessW("C:\WINDOWS\System32\WindowsPowerShell\v1.0\powershell.exe", "powershell /c "Add-PSSnapin Microsoft.Exchange.Management.PowerShell.SnapIn; Get-Recipient | Select Name -ExpandProperty EmailAddresses -first 1 | Select SmtpAddress | ft -hidetableheaders"", 0x0, 0x0, 0x1, 0x80400, "=C:=C:\Users\user\Desktop", 0x0, 0xc00005eec8, 0xc00005ed98) = 0x1 (1) - CreateProcessW("C:\WINDOWS\System32\WindowsPowerShell\v1.0\powershell.exe", "powershell /c "Add-PSSnapin Microsoft.Exchange.Management.PowerShell.SnapIn; Get-Recipient | Select Name -ExpandProperty EmailAddresses -first 1 | Select SmtpAddress | ft -hidetableheaders"", 0x0, 0x0, 0x1, 0x80400, "=C:=C:\Users\user\Desktop", 0x0, 0xc0000bce98, 0xc0000bcd68) = 0x1 (1) - CreateProcessW("C:\WINDOWS\system32\cmd.exe", "cmd /c "wmic computersystem get domain"", 0x0, 0x0, 0x1, 0x80400, "=C:=C:\Users\user\Desktop", 0x0, 0xc0000c4ef0, 0xc0000c4dc0) = 0x1 (1) - CreateProcessW("C:\WINDOWS\system32\cmd.exe", "cmd /c "wmic computersystem get domain"", 0x0, 0x0, 0x1, 0x80400, "=C:=C:\Users\user\Desktop", 0x0, 0xc0000acec0, 0xc0000acd90) = 0x1 (1) - CreateProcessW("C:\WINDOWS\system32\cmd.exe", "cmd /c "wmic computersystem get domain"", 0x0, 0x0, 0x1, 0x80400, "=C:=C:\Users\user\Desktop", 0x0, 0xc0000bcec0, 0xc0000bcd90) = 0x1 (1) [...]

gftrace

Beliebteste

Installation

Verwendung

Konfiguration

Beispiele

Zukünftige Funktionen:

⚠️ Warnung

Lizenz