gftrace

Un outil de traçage de l'API Windows en ligne de commande pour les binaires Golang.

Note : Cet outil est une POC (preuve de concept) et un prototype en cours de développement, veuillez le traiter comme tel. Les retours sont toujours les bienvenus !

Comment ça fonctionne ?

Bien que les programmes Golang comportent de nombreuses nuances quant à leur construction et leur comportement à l'exécution, ils doivent toujours interagir avec la couche OS, ce qui signifie qu'à un moment donné, ils doivent appeler des fonctions de l'API Windows.

Le package runtime de Go contient une fonction appelée asmstdcall et cette fonction est une sorte de « passerelle » utilisée pour interagir avec l'API Windows. Puisque cette fonction est censée appeler les fonctions de l'API Windows, nous pouvons supposer qu'elle a besoin d'accéder à des informations telles que l'adresse de la fonction et ses paramètres, et c'est là que les choses deviennent intéressantes.

Asmstdcall reçoit un seul paramètre qui est un pointeur vers une structure similaire à la suivante :

struct LIBCALL {
	DWORD_PTR Addr;
	DWORD Argc;
	DWORD_PTR Argv;
	DWORD_PTR ReturnValue;
	
	[...]
}

Certains de ces champs sont remplis après l'appel de la fonction API, comme la valeur de retour, d'autres sont reçus par asmstdcall, comme l'adresse de la fonction, le nombre d'arguments et la liste des arguments. Quoi qu'il en soit, il est clair que la fonction asmstdcall manipule beaucoup d'informations intéressantes concernant l'exécution de programmes compilés en Golang.

gftrace exploite asmstdcall et son fonctionnement pour surveiller des champs spécifiques de la structure mentionnée et les enregistrer pour l'utilisateur. L'outil est capable d'enregistrer le nom de la fonction, ses paramètres ainsi que la valeur de retour de chaque fonction Windows appelée par une application Golang. Le tout sans avoir besoin de hooker une seule fonction API ou d'en avoir une signature.

- CreateProcessW("C:\WINDOWS\System32\WindowsPowerShell\v1.0\powershell.exe", "powershell /c "Add-PSSnapin Microsoft.Exchange.Management.PowerShell.SnapIn; Get-Recipient | Select Name -ExpandProperty EmailAddresses -first 1 | Select SmtpAddress | ft -hidetableheaders"", 0x0, 0x0, 0x1, 0x80400, "=C:=C:\Users\user\Desktop", 0x0, 0xc0000ace98, 0xc0000acd68) = 0x1 (1) - CreateProcessW("C:\WINDOWS\System32\WindowsPowerShell\v1.0\powershell.exe", "powershell /c "Add-PSSnapin Microsoft.Exchange.Management.PowerShell.SnapIn; Get-Recipient | Select Name -ExpandProperty EmailAddresses -first 1 | Select SmtpAddress | ft -hidetableheaders"", 0x0, 0x0, 0x1, 0x80400, "=C:=C:\Users\user\Desktop", 0x0, 0xc0000c4ec8, 0xc0000c4d98) = 0x1 (1) - CreateProcessW("C:\WINDOWS\System32\WindowsPowerShell\v1.0\powershell.exe", "powershell /c "Add-PSSnapin Microsoft.Exchange.Management.PowerShell.SnapIn; Get-Recipient | Select Name -ExpandProperty EmailAddresses -first 1 | Select SmtpAddress | ft -hidetableheaders"", 0x0, 0x0, 0x1, 0x80400, "=C:=C:\Users\user\Desktop", 0x0, 0xc00005eec8, 0xc00005ed98) = 0x1 (1) - CreateProcessW("C:\WINDOWS\System32\WindowsPowerShell\v1.0\powershell.exe", "powershell /c "Add-PSSnapin Microsoft.Exchange.Management.PowerShell.SnapIn; Get-Recipient | Select Name -ExpandProperty EmailAddresses -first 1 | Select SmtpAddress | ft -hidetableheaders"", 0x0, 0x0, 0x1, 0x80400, "=C:=C:\Users\user\Desktop", 0x0, 0xc0000bce98, 0xc0000bcd68) = 0x1 (1) - CreateProcessW("C:\WINDOWS\system32\cmd.exe", "cmd /c "wmic computersystem get domain"", 0x0, 0x0, 0x1, 0x80400, "=C:=C:\Users\user\Desktop", 0x0, 0xc0000c4ef0, 0xc0000c4dc0) = 0x1 (1) - CreateProcessW("C:\WINDOWS\system32\cmd.exe", "cmd /c "wmic computersystem get domain"", 0x0, 0x0, 0x1, 0x80400, "=C:=C:\Users\user\Desktop", 0x0, 0xc0000acec0, 0xc0000acd90) = 0x1 (1) - CreateProcessW("C:\WINDOWS\system32\cmd.exe", "cmd /c "wmic computersystem get domain"", 0x0, 0x0, 0x1, 0x80400, "=C:=C:\Users\user\Desktop", 0x0, 0xc0000bcec0, 0xc0000bcd90) = 0x1 (1) [...]

gftrace

Populaires

Installation

Utilisation

Configuration

Exemples

Fonctionnalités futures :

⚠️ Avertissement

Licence