Crassus Windows विशेषाधिकार वृद्धि खोज उपकरण

त्वरित शुरुआत

1. Process Monitor में, Enable Boot Logging विकल्प चुनें।
2. रिबूट करें।
3. एक बार जब आप लॉग इन कर लें और Windows स्थिर हो जाए, तो Process Monitor को फिर से चलाएँ।
4. जब संकेत दिया जाए, तो बूट लॉग को सहेजें, उदा., raw.PML में।
5. Ctrl-R का उपयोग करके डिफ़ॉल्ट Process Monitor फ़िल्टर रीसेट करें।
6. इस लॉग फ़ाइल को सहेजें, उदा., boot.PML में।
7. Crassus.exe boot.PML चलाएँ।
8. किसी भी हरे रंग के परिणाम और results.csv में संबंधित प्रविष्टियों की जाँच करें।

विषयसूची

• "Crassus" क्यों?
  • क्या आपने वास्तव में एक और विशेषाधिकार वृद्धि खोज उपकरण बनाया?
  • विशेषताएँ
  • फ़्लोचार्ट
• स्क्रीनशॉट
  • Crassus निष्पादन
  • CSV आउटपुट
  • निर्यात
  • Export DLL फ़ंक्शन
  • Export DLL Ordinals
• Crassus.exe प्राप्त करना
  • Visual Studio के साथ बनाना
  • पूर्व-संकलित Crassus.exe का उपयोग करना
• उपयोग
  • निष्पादन प्रवाह
  • कमांड लाइन तर्क
  • उदाहरण
  • प्रॉक्सी DLL टेम्पलेट
  • openssl.cnf टेम्पलेट
• प्रॉक्सी DLL संकलन
  • Visual Studio
  • MinGW
• वास्तविक दुनिया के उदाहरण
  • Acronis True Image
  • Atlassian Bitbucket
  • McAfee
  • Microsoft SQL Server 2022
• समस्या निवारण
  • गुम फ़ाइल लोड नहीं हुई
  • अप्रत्याशित विशेषाधिकारों के साथ कोड निष्पादित
  • रिबूट पर निष्कर्ष गायब हो जाते हैं
• योगदान
• क्रेडिट

"Crassus" क्यों?

Accenture ने Spartacus नामक एक उपकरण बनाया, जो Windows पर DLL हाइजैकिंग के अवसरों का पता लगाता है। Spartacus को शुरुआती बिंदु के रूप में उपयोग करते हुए, हमने Crassus बनाया ताकि Windows विशेषाधिकार वृद्धि खोज क्षमताओं को केवल गुम फ़ाइलों की खोज से परे बढ़ाया जा सके। विशेषाधिकार प्राप्त प्रक्रियाओं की फ़ाइलों और निर्देशिकाओं द्वारा उपयोग किए जाने वाले ACL, लक्ष्य प्राप्त करने के लिए गुम फ़ाइलों की खोज से अधिक पा सकते हैं।

क्या आपने वास्तव में एक और विशेषाधिकार वृद्धि खोज उपकरण बनाया?

...लेकिन एक मोड़ के साथ, क्योंकि Crassus SysInternals Process Monitor का उपयोग करता है और कच्चे PML लॉग फ़ाइलों को पार्स करता है। सामान्य उपयोग Process Monitor का उपयोग करके बूट लॉग उत्पन्न करना और फिर Crassus के साथ पार्स करना है। यह स्वचालित रूप से कमजोर DLL के लिए सभी प्रासंगिक निर्यातों के साथ प्रॉक्सी DLL के लिए स्रोत कोड भी उत्पन्न करेगा।

विशेषताएँ

• ProcMon PML फ़ाइलों को मूल रूप से पार्स करना। लॉग (PML) पार्सर को C# में https://github.com/eronnen/procmon-parser/ से आंशिक कार्यक्षमता पोर्ट करके लागू किया गया है। आप प्रारूप विनिर्देश यहाँ पा सकते हैं।
• Crassus सभी पहचाने गए गुम DLL के लिए प्रॉक्सी DLL के लिए स्रोत कोड बनाएगा। उदाहरण के लिए, यदि कोई एप्लिकेशन version.dll के माध्यम से DLL हाइजैकिंग के लिए कमजोर है, तो Crassus आपके लिए version.cpp और version.def फ़ाइलें बनाएगा जिसमें सभी निर्यात शामिल होंगे। डिफ़ॉल्ट रूप से प्रॉक्सी DLL calc.exe लॉन्च करेगा। DLL को Visual Studio या MinGW पर बनाने के लिए बिल्ड स्क्रिप्ट शामिल हैं।
• अन्य रुचि की घटनाओं के लिए, जैसे कि प्रक्रिया बनाना या लाइब्रेरी लोड करना, अविशेषाधिकार प्राप्त उपयोगकर्ताओं की फ़ाइल या फ़ाइल के पथ के किसी भी भाग को संशोधित करने की क्षमता की जाँच की जाती है।
• बड़ी PML फ़ाइलों को संसाधित करने और सभी रुचि की घटनाओं को एक आउटपुट CSV फ़ाइल में संग्रहीत करने में सक्षम।

फ़्लोचार्ट

Crassus कैसे काम करता है इसका सामान्य सारांश इस फ़्लोचार्ट में संक्षेपित किया जा सकता है:

स्क्रीनशॉट

Crassus निष्पादन

CSV आउटपुट

आउटपुट निर्यात

Export DLL फ़ंक्शन

Export DLL Ordinals

Crassus.exe प्राप्त करना

Visual Studio के साथ बनाना

Crassus को Visual Studio 2019 प्रोजेक्ट के रूप में विकसित किया गया था। Crassus.exe बनाने के लिए:

1. Crassus.sln खोलें
2. अपने कीबोर्ड पर Ctrl+Shift+B दबाएँ

पूर्व-संकलित Crassus.exe का उपयोग करना

यदि आप बिना जाने दूसरों के कोड को चलाने पर भरोसा करते हैं, तो Crassus.exe इस रिपॉजिटरी में प्रदान किया गया है।

उपयोग

निष्पादन प्रवाह

1. Process Monitor में, Enable Boot Logging विकल्प चुनें।
2. रिबूट करें।
3. एक बार जब आप लॉग इन कर लें और Windows स्थिर हो जाए, तो वैकल्पिक रूप से निर्धारित कार्यों को भी चलाएँ जो विशेषाधिकारों के साथ चलने के लिए कॉन्फ़िगर किए जा सकते हैं।
4. Process Monitor को फिर से चलाएँ।
5. जब संकेत दिया जाए, तो बूट लॉग को सहेजें।
6. Ctrl-R का उपयोग करके डिफ़ॉल्ट Process Monitor फ़िल्टर रीसेट करें।
7. इस लॉग फ़ाइल को सहेजें, उदा., boot.PML में। लॉग फ़ाइल को पुनः सहेजने का कारण दोहरा है:
   1. Process Monitor के पुराने संस्करण बूट लॉग को एकल फ़ाइल के रूप में सहेज नहीं पाते।
   2. बूट लॉग डिफ़ॉल्ट रूप से अनफ़िल्टर्ड होंगे, जिसमें अतिरिक्त शोर हो सकता है, जैसे कि Process Monitor के स्वयं लॉन्च होने में स्थानीय-उपयोगकर्ता DLL हाइजैकिंग।

कमांड लाइन तर्क

तर्क	विवरण
<PMLFILE>	मौजूदा ProcMon घटना लॉग फ़ाइल का स्थान (फ़ाइल)।
--verbose	वर्बोज़ आउटपुट सक्षम करें।
--debug	डीबग आउटपुट सक्षम करें।

उदाहरण

boot.PML में सहेजे गए Process Monitor बूट लॉग को पार्स करें। सभी कमजोर पथ results.csv के रूप में सहेजे जाएंगे और सभी प्रॉक्सी DLL स्रोत फ़ाइलें stubs उपनिर्देशिका में सहेजी जाएंगी।

C:\tmp> Crassus.exe boot.PML

प्रॉक्सी DLL टेम्पलेट