shadow-rs 🦀

shadow-rs एक Windows कर्नेल रूटकिट है जो Rust में लिखा गया है, जो कर्नेल हेरफेर के लिए उन्नत तकनीकों का प्रदर्शन करता है, साथ ही Rust की सुरक्षा और प्रदर्शन सुविधाओं का लाभ उठाता है। यह परियोजना शैक्षिक और अनुसंधान उद्देश्यों के लिए है।

विषय सूची

• सूचना
• विशेषताएँ
• स्थापना
• समर्थित प्लेटफ़ॉर्म
• निर्माण निर्देश
  • ड्राइवर
  • क्लाइंट
• सेटअप निर्देश
  • टेस्ट मोड सक्षम करें
  • Windbg के माध्यम से डीबग करें
  • सेवा बनाएँ/प्रारंभ करें
• अस्वीकरण
• shadow-rs में योगदान
• संदर्भ
• लाइसेंस
• योगदानकर्ता

सूचना

[!IMPORTANT]
यह परियोजना विकासाधीन है।

विशेषताएँ

प्रक्रिया

• ✅ प्रक्रियाओं को छिपाएँ और दिखाएँ।
• ✅ Protected Processes (PP) और Protected Process Light (PPL) को संभालने के लिए प्रक्रिया हस्ताक्षर स्तरों को संशोधित करें।
• ✅ प्रक्रियाओं को समाप्ति और मेमोरी डंपिंग से सुरक्षित करें।
• ✅ प्रक्रिया विशेषाधिकारों को SYSTEM तक बढ़ाएँ, जिससे पूर्ण प्रशासनिक पहुँच प्राप्त हो।
• ✅ लक्ष्य प्रक्रियाओं को समाप्त करें।
• ✅ सभी संरक्षित और छिपी प्रक्रियाओं की सूची बनाएँ।

थ्रेड

• ✅ थ्रेड्स को छिपाएँ और दिखाएँ।
• ✅ थ्रेड्स को समाप्ति या निलंबन से सुरक्षित करें।
• ✅ सभी संरक्षित और छिपे थ्रेड्स की सूची बनाएँ।

ड्राइवर

• ✅ कर्नेल-मोड ड्राइवरों को छिपाएँ और दिखाएँ।
• ✅ सभी लोडेड ड्राइवरों की गणना करें।
• ✅ अहस्ताक्षरित ड्राइवरों को लोड करने की अनुमति देने के लिए Driver Signature Enforcement (DSE) को सक्षम या अक्षम करें।
• ✅ ड्राइवर लोडिंग को अवरुद्ध करना।

कॉलबैक

• ✅ प्रक्रिया निर्माण, थ्रेड निर्माण, इमेज लोडिंग और रजिस्ट्री संचालन के लिए पंजीकृत कॉलबैक की सूची बनाएँ।
• ✅ विशिष्ट कॉलबैक को हटाएँ या पुनर्स्थापित करें।
• ✅ सभी हटाए गए कॉलबैक की सूची बनाएँ।

विविध

• ✅ कर्नेल-स्तरीय अवरोधन के साथ उपयोगकर्ता इनपुट से कीस्ट्रोक्स को वास्तविक समय में कैप्चर करें।
• ✅ Microsoft-Windows-Threat-Intelligence (EtwTi) को अक्षम करें।
• ✅ BSOD की स्थिति में मेमोरी डंप से ड्राइवर आर्टिफैक्ट्स को साफ करना।
• ✅ एन्क्रिप्शन स्ट्रिंग संकलित करें।
• ✅ रिफ्लेक्टिव ड्राइवर लोडिंग के लिए समर्थन।

उपयोगकर्ता मोड कोड निष्पादन

• ✅ ZwCreateThreadEx का उपयोग करके प्रक्रियाओं में शेलकोड या DLL इंजेक्ट करें।
• ✅ एलर्टेबल थ्रेड्स में शेलकोड या DLL निष्पादित करने के लिए Asynchronous Procedure Call (APC) इंजेक्शन।
• ✅ Thread Hijacking का उपयोग करके प्रक्रियाओं में शेलकोड निष्पादित करें।

मॉड्यूल

• ✅ प्रक्रिया मेमोरी लिस्टिंग से मॉड्यूल छिपाएँ।
• ✅ सभी लोडेड मॉड्यूलों की गणना करें।

रजिस्ट्री

• ✅ पता लगाने और हेरफेर को रोकने के लिए रजिस्ट्री कुंजियों और मानों को छिपाएँ और दिखाएँ।
• ✅ कुंजी या मान को हटाने या अधिलेखित होने से रोकने के लिए रजिस्ट्री सुरक्षा लागू करें।

नेटवर्क

• ✅ netstat और समान निगरानी उपकरणों से नेटवर्क पोर्ट छिपाएँ और दिखाएँ।

स्थापना

• Rust को यहाँ से इंस्टॉल करें।
• कर्नेल विकास के लिए Rust सेट अप करने हेतु Microsoft की गाइड का पालन करें।

समर्थित प्लेटफ़ॉर्म

• ✅ Windows 10 / 11 (केवल x64)

निर्माण निर्देश

ड्राइवर

ड्राइवर निर्देशिका पर जाएँ और कर्नेल ड्राइवर बनाएँ:

cargo make default --release

[!IMPORTANT]
नोट: पहला बिल्ड व्यवस्थापक के रूप में निष्पादित किया जाना चाहिए। बाद के बिल्ड को उन्नत विशेषाधिकारों की आवश्यकता नहीं है।

kdmapper जैसे उपकरणों के लिए मैपिंग समर्थन सक्षम करने के लिए, इसके साथ संकलन करें:

cargo make default --release --features mapper

क्लाइंट

क्लाइंट निर्देशिका पर जाएँ और उपयोगकर्ता-मोड क्लाइंट बनाएँ:

cargo build --release

मैप किए गए ड्राइवरों के साथ संगतता के लिए:

cargo build --release --features mapper

सेटअप निर्देश

टेस्ट मोड या टेस्ट साइनिंग मोड सक्षम करें

bcdedit /set testsigning on

सेवा बनाएँ / प्रारंभ करें

आप अपने ड्राइवर को लोड करने के लिए Service Control Manager या OSR Driver Loader का उपयोग कर सकते हैं।

डीबगिंग

कर्नेल से अटैच करने और ड्राइवर गतिविधि की निगरानी के लिए Windbg का उपयोग करें।

bcdedit /debug on
bcdedit /dbgsettings net hostip:<IP> port:<PORT>

shadow-rs में योगदान

shadow-rs में योगदान करने के लिए, इन चरणों का पालन करें:

1. इस रिपॉजिटरी को फोर्क करें।
2. एक ब्रांच बनाएँ: git checkout -b <branch_name>।
3. अपने परिवर्तन करें और उनकी पुष्टि करें: git commit -m '<commit_message>'।
4. मूल ब्रांच पर भेजें: git push origin <project_name> / <local>।
5. पुल रिक्वेस्ट बनाएँ।

वैकल्पिक रूप से, पुल रिक्वेस्ट बनाने के तरीके पर GitHub दस्तावेज़ीकरण देखें।

अस्वीकरण

यह परियोजना शैक्षिक और अनुसंधान उद्देश्यों के लिए है। सॉफ़्टवेयर का दुर्भावनापूर्ण उपयोग सख्त वर्जित और हतोत्साहित है। मैं सॉफ़्टवेयर के अनुचित उपयोग से होने वाली किसी भी क्षति के लिए जिम्मेदार नहीं हूँ।

संदर्भ

मैं उन परियोजनाओं के प्रति अपनी कृतज्ञता व्यक्त करना चाहता हूँ जिन्होंने मुझे shadow-rs बनाने और कुछ सुविधाओं के साथ योगदान करने के लिए प्रेरित किया:

• Hidden
• Nidhogg
• eagle-rs
• Banshee
• ReadWriteDriverSample

अन्य आवश्यक संसाधन:

ये सामग्री और शोध विंडोज कर्नेल विकास में मेरी समझ को गहरा करने में अमूल्य रहे हैं:

• UnKnoWnCheaTs
• Reactos
• Blinding EDR On Windows
• Windows Kernel Programming - Pavel
• Rootkit Arsenal Escape Evasion Corners
• Rootkits Subverting Windows Greg Hoglund
• Rootkits Bootkits Reversing Malware Generation
• Memory Forensics
• Leveraging Rootkits for Post-Exploitation - Black Hat

लाइसेंस

यह परियोजना MIT लाइसेंस के तहत लाइसेंस प्राप्त है। विवरण के लिए LICENSE फ़ाइल देखें।

योगदानकर्ता