मालदेव अकादमी - रिमोट टीएलएस कॉलबैक इंजेक्शन

त्वरित लिंक

मालदेव अकादमी होम

मालदेव अकादमी सिलेबस

संबंधित मालदेव अकादमी मॉड्यूल

नया मॉड्यूल 34: एंटी-डीबगिंग के लिए टीएलएस कॉलबैक

नया मॉड्यूल 35: थ्रेडलेस इंजेक्शन

अवलोकन

यह विधि किसी रिमोट प्रक्रिया में थ्रेड बनाए बिना पेलोड को निष्पादित करने के लिए TLS कॉलबैक का उपयोग करती है। यह विधि थ्रेडलेस इंजेक्शन से प्रेरित है क्योंकि RemoteTLSCallbackInjection इंजेक्टेड पेलोड को ट्रिगर करने के लिए कोई API कॉल का आह्वान नहीं करता है।

कार्यान्वयन चरण

PoC इन चरणों का अनुसरण करता है:

1. CreateProcessViaWinAPIsW फ़ंक्शन (अर्थात RuntimeBroker.exe) का उपयोग करके एक सस्पेंडेड प्रक्रिया बनाएँ।
2. रिमोट प्रक्रिया का इमेज बेस एड्रेस प्राप्त करें, उसके बाद प्रक्रिया के PE हेडर पढ़ें।
3. एक TLS कॉलबैक फ़ंक्शन का पता प्राप्त करें।
4. रनटाइम-प्राप्त मानों के साथ एक फिक्स्ड शेलकोड (अर्थात g_FixedShellcode) को पैच करें। यह शेलकोड TLS कॉलबैक फ़ंक्शन के पते के मूल बाइट्स और मेमोरी अनुमति दोनों को पुनर्स्थापित करने के लिए जिम्मेदार है।
5. दोनों शेलकोड इंजेक्ट करें: g_FixedShellcode और मुख्य पेलोड।
6. TLS कॉलबैक फ़ंक्शन के पते को पैच करें और इसे हमारे इंजेक्टेड पेलोड के पते से बदलें।
7. प्रक्रिया को फिर से शुरू करें।

g_FixedShellcode शेलकोड फिर सुनिश्चित करेगा कि मुख्य पेलोड केवल एक बार निष्पादित हो, मुख्य पेलोड को कॉल करने से पहले मूल TLS कॉलबैक के मूल पते को पुनर्स्थापित करके। एक TLS कॉलबैक किसी प्रक्रिया के जीवनकाल में कई बार निष्पादित हो सकता है, इसलिए मूल TLS कॉलबैक फ़ंक्शन के लिए मूल कोड पथ निष्पादन को पुनर्स्थापित करके पेलोड के ट्रिगर होने की संख्या को नियंत्रित करना महत्वपूर्ण है।

प्रदर्शन

निम्नलिखित छवि हमारे कार्यान्वयन, RemoteTLSCallbackInjection.exe, को दिखाती है, जो अपने मुख्य पेलोड के रूप में एक cmd.exe उत्पन्न करता है।