[!CAUTION] यह रिपॉजिटरी अनुरक्षित नहीं है, नवीनतम संस्करण के लिए https://github.com/sadreck/Spartacus पर जाएं।

Spartacus DLL/COM Hijacking टूलकिट

"Spartacus" क्यों?

यदि आपने 1960 की फिल्म स्पार्टाकस देखी है, तो आपको वह दृश्य याद होगा जहां रोमन लोग स्पार्टाकस से आत्मसमर्पण करने के लिए कह रहे हैं। जैसे ही असली स्पार्टाकस खड़ा हुआ, बहुत से अन्य लोग भी खड़े हो गए और "आई एम स्पार्टाकस" वाक्यांश का उपयोग करके स्वयं को उसके रूप में दावा किया।

जब एक प्रक्रिया जो DLL हाइजैकिंग के प्रति संवेदनशील है, किसी DLL को लोड करने के लिए पूछती है, तो वह किसी तरह पूछती है "वर्जन.डीएलएल कौन है?" और यादृच्छिक निर्देशिकाएं दावा करने लगती हैं "मैं वर्जन.डीएलएल हूं" और "नहीं, मैं वर्जन.डीएलएल हूं"। और इस प्रकार, स्पार्टाकस।

यह उपकरण अन्य सभी हाइजैकिंग उपकरणों से कैसे अलग है?

• Spartacus अधिकांश प्रक्रिया को स्वचालित करता है। यह कच्चे SysInternals Process Monitor लॉग को पार्स करता है, और आप ProcMon को घंटों तक चलने दे सकते हैं और दूसरे और तीसरे स्तर की DLL/COM हाइजैकिंग कमजोरियाँ खोज सकते हैं (जैसे एक ऐप जो एक DLL लोड करता है जो दूसरी DLL लोड करती है जब आप पैरेंट ऐप की किसी विशिष्ट सुविधा का उपयोग करते हैं)।
• कमजोर DLL के लिए स्वचालित रूप से विज़ुअल स्टूडियो सॉल्यूशन उत्पन्न करें।
• बड़ी PML फ़ाइलों को संसाधित करने और सभी रुचि की घटनाओं के आउटपुट को CSV फ़ाइल में संग्रहीत करने में सक्षम। स्थानीय बेंचमार्क ने 3GB फ़ाइल को 8 मिलियन घटनाओं के साथ 45 सेकंड में संसाधित किया।
• DLL और COM हाइजैकिंग दोनों कमजोरियों के लिए स्कैनिंग का समर्थन करता है।
• स्व-हस्ताक्षरित प्रमाणपत्र उत्पन्न करने और DLL फ़ाइलों पर हस्ताक्षर करने का समर्थन करता है।
• Ghidra कार्यक्षमता का उपयोग करके, निर्यात फ़ंक्शन हस्ताक्षर निकालें और DllMain से सब कुछ चलाने के बजाय व्यक्तिगत रूप से प्रॉक्सी किए गए फ़ंक्शन के माध्यम से अपना पेलोड निष्पादित करें। यह तकनीक https://www.redteam.cafe/red-team/dll-sideloading/dll-sideloading-not-by-dllmain पर वर्णित वॉकथ्रू से प्रेरित और कार्यान्वित की गई है, Shantanu Khandelwal द्वारा।
• [रक्षा] निगरानी मोड चल रहे अनुप्रयोगों की पहचान करने का प्रयास करता है जो कॉल को प्रॉक्सी कर रहे हैं, जैसे "DLL हाइजैकिंग प्रगति पर है"। यह केवल किसी भी आसानी से मिलने वाले लाभ को प्राप्त करने के लिए है और इस पर भरोसा नहीं किया जाना चाहिए।

विषय सूची

• स्थापना
• समर्थित कार्यक्षमता
  • DLL हाइजैकिंग
    • उपयोग
  • COM हाइजैकिंग
    • उपयोग
  • DLL प्रॉक्सी जनरेशन
    • उपयोग
  • DLL फ़ाइलों पर हस्ताक्षर करना
    • उपयोग
  • DLL हाइजैकिंग का पता लगाना
• कमांड लाइन तर्क
• योगदान
• श्रेय

स्थापना

Spartacus का नवीनतम संस्करण रिलीज़ के अंतर्गत खोजें और डाउनलोड करें। अन्यथा बस इस रिपॉजिटरी को क्लोन करें और स्रोत से बिल्ड करें।

समर्थित कार्यक्षमता

नीचे Spartacus द्वारा समर्थित प्रत्येक मोड का विवरण दिया गया है।

नोट: कमांड लाइन तर्क v1 से v2 में काफी बदल गए हैं।

DLL हाइजैकिंग

Spartacus की मूल कार्यक्षमता केवल DLL हाइजैकिंग कमजोरियों को खोजना था। यह इस प्रकार काम करता है:

1. पारित किए गए तर्कों के आधार पर तुरंत एक ProcMon (PMC) कॉन्फ़िग फ़ाइल उत्पन्न करें। जो फ़िल्टर सेट किए जाएंगे वे हैं:
   • ऑपरेशन CreateFile है।
   • पथ .dll के साथ समाप्त होता है।
   • प्रक्रिया का नाम procmon.exe या procmon64.exe नहीं है।
   • न्यूनतम PML आउटपुट आकार सुनिश्चित करने के लिए ड्रॉप फ़िल्टर्ड इवेंट्स सक्षम करें।
   • ऑटो स्क्रॉल अक्षम करें।
2. प्रोसेस मॉनिटर को निष्पादित करें और तब तक रुकें जब तक उपयोगकर्ता ENTER न दबाए।
3. उपयोगकर्ता प्रक्रियाओं को चलाता/समाप्त करता है, या इसे जब तक आवश्यक हो चलने देता है।
4. उपयोगकर्ता द्वारा ENTER दबाने पर प्रोसेस मॉनिटर समाप्त हो जाता है।
5. आउटपुट इवेंट लॉग (PML) फ़ाइल को पार्स करता है।
   1. सभी NAME_NOT_FOUND और PATH_NOT_FOUND DLL के साथ एक CSV फ़ाइल बनाता है।
   2. ऊपर से DLL की तुलना करता है और उन DLL की पहचान करने का प्रयास करता है जो वास्तव में लोड किए गए थे।
   3. प्रत्येक "मिले" DLL के लिए यह सभी पहचाने गए DLL के निर्यात कार्यों को प्रॉक्सी करने के लिए एक विज़ुअल स्टूडियो सॉल्यूशन उत्पन्न करता है।

DLL हाइजैकिंग उपयोग

सभी घटनाओं को एकत्र करें और उन्हें C:\Data\logs.pml में सहेजें। सभी कमजोर DLL को C:\Data\VulnerableDLLFiles.csv के रूप में और सभी प्रॉक्सी DLL समाधान C:\Data\Solutions में सहेजे जाएंगे।

--mode dll --procmon C:\SysInternals\Procmon.exe --pml C:\Data\logs.pml --csv C:\Data\VulnerableDLLFiles.csv --solution C:\Data\Solutions --verbose

मौजूदा PML इवेंट लॉग आउटपुट को पार्स करें, आउटपुट को CSV में सहेजें, और प्रॉक्सी विज़ुअल स्टूडियो समाधान उत्पन्न करें।

--mode dll --existing --pml C:\MyData\SomeBackup.pml --csv C:\Data\VulnerableDLLFiles.csv --solution C:\Data\Solutions --verbose

स्क्रीनशॉट

COM हाइजैकिंग

Spartacus की एक नई कार्यक्षमता स्थानीय COM हाइजैकिंग कमजोरियों की पहचान करना है। यह इस प्रकार काम करता है:

1. पारित किए गए तर्कों के आधार पर तुरंत एक ProcMon (PMC) कॉन्फ़िग फ़ाइल उत्पन्न करें। जो फ़िल्टर सेट किए जाएंगे वे हैं:
   • ऑपरेशन RegOpenKey है।
   • प्रक्रिया का नाम procmon.exe या procmon64.exe नहीं है।
   • न्यूनतम PML आउटपुट आकार सुनिश्चित करने के लिए ड्रॉप फ़िल्टर्ड इवेंट्स सक्षम करें।
   • ऑटो स्क्रॉल अक्षम करें।
2. प्रोसेस मॉनिटर को निष्पादित करें और तब तक रुकें जब तक उपयोगकर्ता ENTER न दबाए।
3. उपयोगकर्ता प्रक्रियाओं को चलाता/समाप्त करता है, या इसे जब तक आवश्यक हो चलने देता है।
4. उपयोगकर्ता द्वारा ENTER दबाने पर प्रोसेस मॉनिटर समाप्त हो जाता है।
5. आउटपुट इवेंट लॉग (PML) फ़ाइल को पार्स करता है।
   1. सभी लापता रजिस्ट्री कुंजियों की पहचान करता है जो InprocServer32 में समाप्त होती हैं और जिनका परिणाम NAME_NOT_FOUND है।
   2. यदि पहचानी गई कुंजी HKEY_CURRENT_USER के अंतर्गत है, तो HKEY_CLASSES_ROOT के अंतर्गत इसका GUID खोजें और इसका विवरण निर्यात CSV में शामिल करें (यदि मिला)।

COM हाइजैकिंग के लिए Spartacus गलत कॉन्फ़िगर किए गए COM प्रविष्टियों के लिए स्थानीय सिस्टम को स्कैन करने का भी समर्थन करता है:

1. HKEY_CLASSES_ROOT, HKEY_CURRENT_USER, और HKEY_LOCAL_MACHINE सभी को गणना करें।
2. उन रजिस्ट्री कुंजियों की तलाश करें जिन्हें InProcServer, InProcServer32, LocalServer, या LocalServer32 कहा जाता है।
3. किसी भी लापता EXE/DLL स्थानों की पहचान करें, साथ ही किसी भी ACL गलत कॉन्फ़िगरेशन जैसे वर्तमान उपयोगकर्ता द्वारा फ़ाइल को संशोधित या हटाने की क्षमता।

COM हाइजैकिंग उपयोग

सभी घटनाओं को एकत्र करें और उन्हें C:\Data\logs.pml में सहेजें। सभी कमजोर COM जानकारी C:\Data\VulnerableCOM.csv के रूप में सहेजी जाएगी।

--mode com --procmon C:\SysInternals\Procmon.exe --pml C:\Data\logs.pml --csv C:\Data\VulnerableCOM.csv --verbose

कमजोर COM प्रविष्टियों की पहचान करने के लिए मौजूदा PML फ़ाइल को संसाधित करें।

--mode com --existing --pml C:\Data\logs.pml --csv C:\Data\VulnerableCOM.csv --verbose

लापता/गलत कॉन्फ़िगर किए गए COM लाइब्रेरी और निष्पादन योग्य की पहचान करने के लिए स्थानीय सिस्टम रजिस्ट्री की गणना करें।

--mode com --acl --csv C:\Data\VulnerableCOM.csv --verbose

स्क्रीनशॉट

DLL प्रॉक्सी जनरेशन

Spartacus उस DLL के आधार पर विज़ुअल स्टूडियो समाधान उत्पन्न करने का समर्थन करता है जिसका आप शोषण करना चाहते हैं, जिससे आपके उपयोग के लिए कंकाल परियोजनाएं बनाई जा सकें।

• सभी कॉल को वैध DLL पर वापस निर्यात करके पुनर्निर्देशित करना।
  • इसका मतलब है कि आपको अपना पेलोड DllMain फ़ंक्शन से निष्पादित करना होगा।
• Ghidra का उपयोग करके, लक्ष्य DLL से जितना संभव हो उतने फ़ंक्शन हस्ताक्षर/परिभाषाएं निकालें, और इनके लिए प्रॉक्सी फ़ंक्शन बनाएं।
  • किसी भी फ़ंक्शन के लिए जिसका हस्ताक्षर निकालना संभव नहीं था, इसे सीधे वैध फ़ंक्शन/dll पर पुनर्निर्देशित किया जाएगा।
  • इसका मतलब है कि आप अपना पेलोड DllMain के बाहर किसी फ़ंक्शन से निष्पादित कर सकते हैं।
  • उदाहरण के लिए, यदि आप version.dll का शोषण करना चाहते हैं, तो आप अपना इम्प्लांट GetFileVersionInfoExW से चला सकते हैं यदि वह फ़ंक्शन कमजोर एप्लिकेशन द्वारा कॉल किया जाता है।

DLL प्रॉक्सी जनरेशन उपयोग

एक समाधान उत्पन्न करें जो सभी निर्यातों को पुनर्निर्देशित करता है (कोई फ़ंक्शन प्रॉक्सी नहीं)।

--mode proxy --dll C:\Windows\System32\version.dll --solution "C:\data\tmp\refactor-version" --overwrite --verbose --external-resources

एक साथ कई DLL इनपुट करना संभव है।

--mode proxy --dll C:\Windows\System32\version.dll --dll C:\Windows\System32\userenv.dll --solution "C:\data\tmp\dll-collection" --overwrite --verbose --external-resources

जितना संभव हो उतने कार्यों के लिए प्रॉक्सी बनाएं (Ghidra के आउटपुट के आधार पर)।

--mode proxy --ghidra C:\ghidra\support\analyzeHeadless.bat --dll C:\Windows\System32\userenv.dll --solution C:\Projects\spartacus-userenv --overwrite --verbose

ऊपर जैसा ही, लेकिन समाधान उत्पन्न करने के लिए बाहरी एसेट फ़ाइलों का उपयोग करें (यदि आपको उन्हें संशोधित करने की आवश्यकता है)।

--mode proxy --ghidra C:\ghidra\support\analyzeHeadless.bat --dll C:\Windows\System32\userenv.dll --solution C:\Projects\spartacus-userenv --overwrite --verbose --external-resources

उन कार्यों के लिए पूर्व-निर्मित फ़ंक्शन प्रोटोटाइप का उपयोग करें जिनके लिए Ghidra फ़ंक्शन परिभाषाएं निकालने में असमर्थ था।

--mode proxy --ghidra C:\ghidra\support\analyzeHeadless.bat --dll C:\Windows\System32\userenv.dll --solution C:\Projects\spartacus-userenv --overwrite --verbose --external-resources --prototypes C:\data\prototypes.csv

केवल फ़ंक्शन GetFileVersionInfoExW और GetFileVersionInfoExA के लिए प्रॉक्सी उत्पन्न करें।

--mode proxy --ghidra C:\ghidra\support\analyzeHeadless.bat --dll C:\Windows\System32\version.dll --solution C:\Projects\spartacus-version --verbose --overwrite --external-resources --only "GetFileVersionInfoExW, GetFileVersionInfoExA"

मौजूदा *.h फ़ाइलों से एक फ़ंक्शन प्रोटोटाइप डेटाबेस उत्पन्न करें, जो उन कार्यों के लिए प्रॉक्सी फ़ंक्शन बनाने में सहायता करता है जिनके लिए Ghidra अपनी फ़ंक्शन परिभाषा निकालने में सक्षम नहीं था।

--mode proxy --action prototypes --path "C:\Program Files (x86)\Windows Kits" --csv C:\data\prototypes.csv --verbose

DLL के निर्यातों की सूची बनाएं और जांचें कि क्या प्रत्येक फ़ंक्शन के लिए पूर्व-निर्मित प्रोटोटाइप है।

--mode proxy --action exports --dll C:\Windows\System32\version.dll --dll C:\Windows\System32\amsi.dll --prototypes ./Assets/prototypes.csv

DLL फ़ाइलों पर हस्ताक्षर करना

Spartacus अब स्व-हस्ताक्षरित प्रमाणपत्र उत्पन्न करने (मौजूदा फ़ाइलों से गुणों की प्रतिलिपि बनाते हुए) और DLL फ़ाइलों पर हस्ताक्षर करने का समर्थन करता है।

DLL फ़ाइलों पर हस्ताक्षर करने के लिए उपयोग

C:\Windows\System32\version.dll (हस्ताक्षरित DLL होना चाहिए) से गुणों का उपयोग करके एक हस्ताक्षर प्रमाणपत्र बनाएं।

--mode sign --action generate --pfx "C:\Output\certificate.pfx" --password "Welcome1" --not-before "2022-12-31 00:00:55" --not-after "2026-01-01 00:00:01" --copy-from C:\Windows\System32\version.dll --verbose

मौजूदा/उत्पन्न प्रमाणपत्र का उपयोग करके DLL पर हस्ताक्षर करें।

--mode sign --action sign --pfx "C:\Output\certificate.pfx" --password "Welcome1" --path "C:\Input\MyFakeVersion.dll" --algorithm SHA256 --verbose

DLL हाइजैकिंग का पता लगाना

Spartacus में एक --detect मोड भी है, जो सक्रिय DLL प्रॉक्सीिंग की पहचान करने का प्रयास करता है। इसके पीछे का तर्क है:

• सभी प्रक्रियाओं की गणना करें।
• प्रत्येक प्रक्रिया के लिए, उसके द्वारा मेमोरी में लोड किए गए DLL (मॉड्यूल) लोड करें (यह मानते हुए कि आपके पास ऐसा करने की सही अनुमतियाँ हैं)।
• यदि आपको समान नाम वाला DLL मिलता है:
  • यदि दोनों फ़ाइलें OS पथ में हैं (जैसे Windows, System32, Program Files), तो अनदेखा करें।
  • यदि फ़ाइलों में से केवल एक OS पथ में है और दूसरी उपयोगकर्ता-लेखनीय स्थान पर है, तो फ़ाइल को चिह्नित करें।

इस सुविधा का उपयोग करने के लिए, बस --detect के साथ Spartacus चलाएँ।

स्व-हस्ताक्षरित निष्पादन योग्य/DLL

Spartacus --sign मोड का समर्थन करता है जो आपको स्व-हस्ताक्षरित प्रमाणपत्र उत्पन्न करने के साथ-साथ संकलित DLL पर उनके साथ हस्ताक्षर करने की अनुमति देता है।

एक स्व-हस्ताक्षरित प्रमाणपत्र उत्पन्न करें, मौजूदा फ़ाइल से जारीकर्ता/विषय की प्रतिलिपि बनाएं:

--mode sign --action generate --pfx "C:\Output\myCertificate.pfx" --password "Welcome1" --not-before "2023-01-01 00:00:04" --not-after "2025-01-01 00:00:42" --copy-from C:\Windows\System32\version.dll --verbose

और उस प्रमाणपत्र का उपयोग अपनी संकलित फ़ाइल पर हस्ताक्षर करने के लिए करें:

--mode sign --action sign --pfx "C:\Output\myCertificate.pfx" --password "Welcome1" --path "C:\Projects\Spartacus-AMSI\amsi.dll" --algorithm SHA256 --verbose

कमांड लाइन तर्क

अपने जीवन को आसान बनाने के लिए, CommandLineGenerator.html फ़ाइल का उपयोग करें।

योगदान

चाहे वह टाइपो हो, बग हो, या कोई नई सुविधा, Spartacus योगदान के लिए बहुत खुला है जब तक हम निम्नलिखित पर सहमत हैं:

• आप इस परियोजना के MIT लाइसेंस से सहमत हैं।
• पुल रिक्वेस्ट बनाने से पहले, एक मुद्दा बनाएं ताकि कोई भी कार्य करने से पहले इस पर चर्चा की जा सके क्योंकि आंतरिक विकास सार्वजनिक GitHub रिपॉजिटरी के माध्यम से ट्रैक नहीं किया जाता है। अन्यथा आपके पुल रिक्वेस्ट को अस्वीकार किए जाने का जोखिम है यदि उदाहरण के लिए हम पहले से ही उसी/समान सुविधा पर काम कर रहे हैं, या किसी अन्य कारण से।

श्रेय

• https://github.com/eronnen/procmon-parser/
• https://www.redteam.cafe/red-team/dll-sideloading/dll-sideloading-not-by-dllmain
• https://stmxcsr.com/persistence/com-hijacking.html
• Spartacus के लिए आइकन डेरियस डैन द्वारा बनाए गए हेलमेट आइकन - Flaticon से है | https://dariusdan.com/
• https://github.com/Danielku15/SigningServer