ShimMe

DEFCON 32 वार्ता "SHIM me what you got - Manipulating Shim and Office for Code Injection" से उपकरण

ऑफिस इंजेक्टर - OfficeClickToRun सेवा में एक RPC विधि का आह्वान करता है जो टास्क शेड्यूलर सेवा द्वारा लॉन्च की गई NT AUTHORITY\SYSTEM के रूप में चल रही एक सस्पेंडेड प्रक्रिया में DLL इंजेक्ट करेगा, जिससे व्यवस्थापक से SYSTEM तक विशेषाधिकार वृद्धि प्राप्त होती है।

शिम इंजेक्टर - किसी अन्य प्रक्रिया की मेमोरी में एक अप्रलेखित शिम डेटा संरचना लिखता है जो सिस्टम पर नई SDB फ़ाइल पंजीकृत किए बिना, या ऐसी फ़ाइल को डिस्क पर लिखे बिना, apphelp.dll को प्रक्रिया पर "Inject Dll" फिक्स लागू करने का कारण बनती है।

श्रेय

• David Shandalov
• Ron Ben Yizhak

संदर्भ

• DEF CON वार्ता
• https://www.deepinstinct.com/blog/SHIM-Me-What-You-Got:-Manipulating-Shim-and-Office-for-Code-Injection
• https://learn.microsoft.com/en-us/windows/win32/fileio/opportunistic-locks
• https://learn.microsoft.com/en-us/windows/win32/devnotes/application-compatibility-database
• https://www.blackhat.com/docs/eu-15/materials/eu-15-Pierce-Defending-Against-Malicious-Application-Compatibility-Shims-wp.pdf
• https://www.blackhat.com/docs/asia-14/materials/Erickson/WP-Asia-14-Erickson-Persist-It-Using-And-Abusing-Microsofts-Fix-It-Patches.pdf