sbousseaden/gluegateहस्ताक्षरित mozglue.dll के माध्यम से मेमोरी API प्रॉक्सी
डिटेक्शन रिसर्च PoC: Mozilla के हस्ताक्षरित mozglue.dll के माध्यम से प्रॉक्सी मेमोरी ऑपरेशन (मेमोरी मैपिंग, स्थानीय मेमोरी आवंटन) इस प्रकार कि कर्नेल कॉलबैक अंतिम उपयोगकर्ता मॉड्यूल को एक विश्वसनीय विक्रेता DLL (Mozilla हस्ताक्षरित) के रूप में चिन्हित करें, न कि अविश्वसनीय या अहस्ताक्षरित मॉड्यूल के रूप में।
दोनों mozglue.dll से MFBT_API निर्यात हैं (Firefox स्थापना आवश्यक):
| मोड | निर्यात | Mozilla स्रोत |
|---|---|---|
inject | mozilla::MapRemoteViewOfFile | WindowsMapRemoteView.cpp · header |
alloc | MozVirtualAlloc | mozjemalloc.cpp · mozmemory_wrap.h |
x64 MSVC मैंगल्ड नाम:
?MapRemoteViewOfFile@mozilla@@YAPEAXPEAX0_K01KK@Z
MozVirtualAlloc
MSYS2 mingw-w64:
./build.sh
./build.sh shellcode # optional: rebuild shellcode/msgbox.bin
त्वरित डिटेक्शन-इंजीनियरिंग परीक्षणों के लिए रिपॉजिटरी में एक पूर्व-निर्मित mozglue_gate.exe शामिल है (64-बिट, Firefox स्थापित होना आवश्यक)।
# Cross-process map + APC (MapRemoteViewOfFile)
.\mozglue_gate.exe inject <pid> shellcode\msgbox.bin
# Local RWX alloc (MozVirtualAlloc)
.\mozglue_gate.exe alloc --size 10240
shellcode/msgbox.bin "Hello from Mozglue" / शीर्षक gluegate प्रदर्शित करता है (कोई चाइल्ड प्रोसेस नहीं)।
क्लासिक Firefox आवश्यक: C:\Program Files\Mozilla Firefox\mozglue.dll (या --mozglue / MOZGLUE_DLL)।
अंतिम उपयोगकर्ता मॉड्यूल Mozilla Corporation हस्ताक्षरित/विश्वसनीय है
MapViewOfFile
VirtualAlloc
mozglue.dll!MozVirtualAlloc या mozglue.dll!?MapRemoteViewOfFile।mozilla.dll लोड कर रही है (विशेषकर प्रोग्रामफाइल्स में पहले से स्थापित)।केवल अधिकृत सुरक्षा अनुसंधान और डिटेक्शन परीक्षण के लिए।