AMSI/Defender डिटेक्शन-सीमा विश्लेषण और स्थैतिक मैलवेयर ट्राइएज के लिए PowerShell टूलकिट जो बाइट ऑफसेट को डिटेक्शन ट्रिगर्स से मैप करता है, साथ ही YARA, एन्ट्रॉपी, स्ट्रिंग और PE/imphash विश्लेषण। OffsetScan का साथी उपकरण।
<p align="center">
<img src="https://assets.kitploit.com/production/public/readmes/9991/ec3b617ff761b38a1eb9296df3d62b7435bcf1684421cce77108da0b7ac12e92.png" alt="Dread Host Research" width="800">
</p>
<p align="center">
<a href="https://github.com/warpedatom/OffsetInspect/releases"><img src="https://img.shields.io/github/v/release/warpedatom/OffsetInspect" alt="Release"></a>
<a href="https://github.com/warpedatom/offsetinspect/blob/main/LICENSE"><img src="https://img.shields.io/github/license/warpedatom/OffsetInspect" alt="License"></a>
<img src="https://img.shields.io/badge/PowerShell-5.1%20%7C%207.x-5391FE" alt="PowerShell 5.1 and 7.x">
<img src="https://img.shields.io/badge/Core-Windows%20%7C%20Linux%20%7C%20macOS-lightgrey" alt="Cross-platform core">
<img src="https://img.shields.io/badge/Threat%20Providers-Windows-0078D4" alt="Windows threat providers">
<img src="https://img.shields.io/github/actions/workflow/status/warpedatom/OffsetInspect/ci.yml?branch=main&label=CI" alt="CI">
<a href="https://github.com/warpedatom/offsetinspect/blob/main/SECURITY.md"><img src="https://img.shields.io/badge/Security-Policy-green" alt="Security policy"></a>
<a href="https://x.com/warped_atom"><img src="https://img.shields.io/badge/X-@warped__atom-000000?logo=x&logoColor=white" alt="X (Twitter): @warped_atom"></a>
</p>
# OffsetInspect
**बाउंडेड-मेमोरी PowerShell टूलकिट जो बाइट-ऑफसेट निरीक्षण, स्रोत सहसंबंध, बाइनरी तुलना, और डिफेंसिव डिटेक्शन-बाउंड्री विश्लेषण के लिए है।**
OffsetInspect एक व्यावहारिक विश्लेषक प्रश्न का उत्तर देता है:
> इस बाइट ऑफसेट पर क्या सामग्री मौजूद है, और इसके चारों ओर कौन-सा स्रोत या बाइनरी संदर्भ है?
यह ThreatCheck द्वारा संबोधित उसी विश्लेषक समस्या से प्रेरित एक OffsetInspect-नेटिव डिटेक्शन-बाउंड्री वर्कफ़्लो भी प्रदान करता है, बिना इसके स्रोत या बाइनरी को बंडल किए: यह उस सबसे प्रारंभिक सामग्री उपसर्ग (prefix) का पता लगाता है जिसे AMSI या Microsoft Defender अभी भी पहचानता है, बाउंड्री को बार-बार मान्य करता है, और परिणामी ऑफसेट को सीधे संदर्भ निरीक्षक में भेजता है। इस मुख्य भाग के ऊपर, यह एक रेड-टीम विश्लेषण और स्थैतिक ट्राइएज सुइट जोड़ता है - मल्टी-रिजन डिस्कवरी, कॉर्पस स्कैनिंग, डिटेक्शन डिफिंग, डिटेक्शन-ट्रिगर सहसंबंध, ड्रिफ्ट जर्नलिंग, एंगेजमेंट रिपोर्ट, एंट्रॉपी विश्लेषण, स्ट्रिंग निष्कर्षण, और PE/imphash पार्सिंग - सभी केवल-पठनीय (read-only), साथ ही एक अधिकृत-उपयोग सिग्नेचर-रोबस्टनेस परीक्षक जो नमूनों को केवल मेमोरी में परिवर्तित करता है, और एंडपॉइंट सुरक्षा को कभी अक्षम या पुन:कॉन्फ़िगर किए बिना।
## सहयोगी उपकरण
PowerShell ओवरहेड के बिना कॉर्पस-स्तरीय स्थैतिक ट्राइएज (PE पार्सिंग, एंट्रॉपी, स्ट्रिंग्स, IOC) के लिए, **[OffsetScan](https://github.com/warpedatom/OffsetScan)** देखें - एक नेटिव Rust बाइनरी जिसका JSON आउटपुट स्कीमा समान है। OffsetInspect 3.1.0+ `-IocJsonPath` के माध्यम से OffsetScan IOC JSON को सीधे इनजेस्ट करता है।
---
## मुख्य विशेषताएँ
- प्रत्येक अद्वितीय निरीक्षण फ़ाइल को एक स्थिर रीड हैंडल के माध्यम से खोलता है और सभी अनुरोधित ऑफसेट को एक साथ संसाधित करता है।
- हर ऑफसेट के लिए पूरी फ़ाइल को दोबारा पढ़ने के बजाय लाइन मैपिंग के लिए बाउंडेड-मेमोरी स्ट्रीमिंग पास का उपयोग करता है।
- हेक्स आउटपुट और तुलना के लिए केवल अनुरोधित बाइट विंडो पढ़ता है।
- UTF-8 और UTF-16 बाइट ऑफसेट को स्रोत पंक्तियों और वर्ण स्थितियों में मैप करता है।
- `-ContextLines` के माध्यम से पिछला और अगला स्रोत संदर्भ लागू करता है।
- मानव, ऑब्जेक्ट, JSON, CSV, और CSV-फ़ाइल आउटपुट कॉन्ट्रैक्ट्स का समर्थन करता है।
- एक-से-अनेक, अनेक-से-एक, और युग्मित फ़ाइल/ऑफसेट योजनाओं का समर्थन करता है।
- लक्ष्य बाइट की तुलना दूसरी फ़ाइल से करता है, बिना उस फ़ाइल को बार-बार लोड किए।
- स्पष्ट error, timeout, blocked और indeterminate अवस्थाओं के साथ स्वतंत्र रूप से कार्यान्वित AMSI और Microsoft Defender प्रोवाइडर परत जोड़ता है।
- हर अलग प्रोवाइडर इनवोकेशन का प्रति-प्रोब ऑडिट ट्रेल (`ProbeLog`/`ProbeCount`) रिकॉर्ड करता है, जो `-Verbose` पर लाइव स्ट्रीम होता है, ताकि स्कैन की वास्तविक प्रोवाइडर लागत की रिपोर्ट-तैयार प्रतिलिपि मिल सके।
- इन-मेमोरी AMSI स्कैनिंग के माध्यम से एक फ़ाइल में कई स्वतंत्र रूप से पहचाने जाने योग्य क्षेत्रों की खोज करता है (पता चली कोई भी चीज़ डिस्क पर नहीं लिखी जाती) और प्रत्येक बाउंड्री को एक निरपेक्ष ऑफसेट पर मैप करता है।
- किसी कॉर्पस को समेकित डिटेक्शन मैट्रिक्स में स्कैन करता है, दो स्कैन के बीच डिटेक्शन का अंतर (diff) निकालता है, और Markdown/HTML एंगेजमेंट रिपोर्ट निर्यात करता है (वैकल्पिक रूप से कॉर्पस-स्तरीय IOC पैनलों के लिए नेटिव OffsetScan इंजन के JSON द्वारा फीड किया जाता है)।
- किसी डिटेक्शन बाउंड्री को उस सामग्री से सहसंबंधित करता है जिसने इसे उत्पन्न किया - PE सेक्शन, बाउंड्री तक के रन की एंट्रॉपी, और उस पर समाप्त होने/फैली हुई स्ट्रिंग्स, जो उम्मीदवार सिग्नेचर सामग्री के रूप में होती हैं।
- समय के साथ डिटेक्शन को जर्नल करता है (फ़ाइल हैश **और** स्थानीय Defender सिग्नेचर संस्करण), ताकि पहचान-क्षमता में परिवर्तन का श्रेय फ़ाइल को, सिग्नेचर-डेटाबेस अपडेट को, या गैर-निर्धारणीय (non-deterministic) प्रोवाइडर परिणाम को दिया जा सके।
- अधिकृत एंगेजमेंट्स के लिए सिग्नेचर रोबस्टनेस का परीक्षण करता है, पहचाने गए नमूने को **मेमोरी में** परिवर्तित करके (केस, संयोजन, टिप्पणी, व्हाइटस्पेस) और रिपोर्ट करता है कि कौन-से ट्रांसफ़ॉर्म वर्ग बच निकलते हैं - कोई भी वैरिएंट कभी डिस्क पर नहीं लिखा जाता।
- किसी स्कैन को उसके द्वारा उत्पन्न Windows टेलीमेट्री से सहसंबंधित करता है (`-CaptureTelemetry`): क्या Microsoft Defender अलर्ट उठाया गया, किस संदर्भ में, और कौन-से टेलीमेट्री स्रोत अंधे थे - 'पहले दृश्यता मान लें, फिर उसे मान्य करें' सिद्धांत को एन्कोड करता है। केवल-पठनीय, गैर-एडमिन, केवल Windows।
- स्थैतिक मैलवेयर-ट्राइएज सहायक जोड़ता है: प्रति-विंडो एंट्रॉपी (पैक/एन्क्रिप्टेड क्षेत्र), ऑफसेट के साथ ASCII/UTF-16LE स्ट्रिंग निष्कर्षण, और imphash तथा ओवरले डिटेक्शन सहित PE हेडर/सेक्शन/इम्पोर्ट पार्सिंग।
- Authenticode उत्पत्ति को सत्यापित करता है (`Get-OffsetSignature`): प्लेटफ़ॉर्म की वास्तविक ट्रस्ट मान्यता का उपयोग करके रिपोर्ट करता है कि फ़ाइल वैध रूप से हस्ताक्षरित और विश्वसनीय है या नहीं, किसने हस्ताक्षर किया, और यह एम्बेडेड- या कैटलॉग-हस्ताक्षरित है - एक हस्ताक्षरकर्ता संकेत जो imphash और बिल्ड-टूलचेन फ़िंगरप्रिंट (इम्पोर्ट्स बनाम टूलचेन बनाम हस्ताक्षरकर्ता) का पूरक है। केवल Windows।
- Defender बहिष्करणों, रीयल-टाइम सुरक्षा, या सिस्टम सुरक्षा कॉन्फ़िगरेशन को कभी नहीं बदलता।
- बाहरी रनटाइम निर्भरताओं के बिना एक स्व-निहित PowerShell Gallery पैकेज के रूप में आता है; YARA और ClamAV स्कैनिंग ही एकमात्र वैकल्पिक अपवाद हैं, जिनमें से प्रत्येक को अपने स्वयं के बाहरी इंजन की आवश्यकता होती है।
## कमांड्स
| Command | Purpose | Platform |
|---|---|---|
| `Invoke-OffsetInspect` | बाइट ऑफसेट को स्रोत/बाइनरी संदर्भ, हेक्स और तुलना में मैप करें | क्रॉस-प्लेटफ़ॉर्म |
| `Invoke-OffsetThreatScan` | एक फ़ाइल के लिए AMSI/Defender डिटेक्शन-बाउंड्री खोज | Windows |
| `Invoke-OffsetThreatScanBatch` | फ़ाइलों के कॉर्पस को स्कैन करें; `-Summary` एक डिटेक्शन मैट्रिक्स लौटाता है | Windows |
| `Invoke-OffsetThreatScanRegion` | इन-मेमोरी AMSI के माध्यम से मल्टी-रिजन डिस्कवरी (कोई डिस्क लेखन नहीं) | Windows |
| `Invoke-OffsetMutationTest` | सिग्नेचर-रोबस्टनेस परीक्षण: पहचाने गए नमूने को मेमोरी में परिवर्तित करें, रिपोर्ट करें कि कौन-से ट्रांसफ़ॉर्म बच जाते हैं (केवल अधिकृत उपयोग) | Windows |
| `Compare-OffsetThreatResult` | दो स्कैन परिणामों का अंतर निकालें (जैसे सिग्नेचर-डेफिनिशन अपडेट के दौरान) | क्रॉस-प्लेटफ़ॉर्म |
| `Get-OffsetDetectionTrigger` | किसी डिटेक्शन बाउंड्री को उस सामग्री से सहसंबंधित करें जिसने सबसे अधिक संभावना से इसे ट्रिगर किया | क्रॉस-प्लेटफ़ॉर्म |
| `Add-OffsetDriftEntry` | एक डिटेक्शन स्नैपशॉट (फ़ाइल हैश + Defender सिग्नेचर संस्करण) को जर्नल में रिकॉर्ड करें | क्रॉस-प्लेटफ़ॉर्म² |
| `Get-OffsetDrift` | समझाएँ कि फ़ाइल की पहचान-क्षमता कैसे बदली: फ़ाइल परिवर्तन बनाम सिग्नेचर अपडेट बनाम गैर-निर्धारणीय | क्रॉस-प्लेटफ़ॉर्म |
| `Export-OffsetThreatReport` | स्कैन परिणामों को Markdown/HTML एंगेजमेंट रिपोर्ट में प्रस्तुत करें | क्रॉस-प्लेटफ़ॉर्म |
| `Invoke-OffsetYaraScan` | किसी फ़ाइल को YARA नियमों से मिलाएँ; बाइट ऑफसेट के साथ हिट लौटाएँ | क्रॉस-प्लेटफ़ॉर्म¹ |
| `Invoke-OffsetClamScan` | ClamAV इंजन से फ़ाइल स्कैन करें; सामान्यीकृत डिटेक्शन परिणाम | क्रॉस-प्लेटफ़ॉर्म¹ |
| `Get-OffsetEntropy` | पैक/एन्क्रिप्टेड क्षेत्रों का पता लगाने के लिए प्रति-विंडो Shannon एंट्रॉपी | क्रॉस-प्लेटफ़ॉर्म |
| `Get-OffsetString` | बाइट ऑफसेट के साथ ASCII/UTF-16LE स्ट्रिंग्स निकालें | क्रॉस-प्लेटफ़ॉर्म |
| `Get-OffsetPEInfo` | PE हेडर, सेक्शन, इम्पोर्ट्स/imphash, ओवरले, ऑफसेट→सेक्शन | क्रॉस-प्लेटफ़ॉर्म |
| `Get-OffsetIOC` | समेकित संकेतक पैनल: हैश, एंट्रॉपी, PE/imphash, स्ट्रिंग्स | क्रॉस-प्लेटफ़ॉर्म |
| `Get-OffsetSignature` | Authenticode हस्ताक्षर: क्या यह वैध रूप से हस्ताक्षरित और विश्वसनीय है, किसके द्वारा, एम्बेडेड बनाम कैटलॉग | Windows |
¹ इन दो कमांड्स की वैकल्पिक बाहरी निर्भरताएँ हैं: `Invoke-OffsetYaraScan` को YARA इंजन चाहिए (`winget install VirusTotal.YARA`), और `Invoke-OffsetClamScan` को सिग्नेचर डेटाबेस के साथ ClamAV चाहिए (`winget install Cisco.ClamAV`, फिर `freshclam`)। बाकी हर कमांड स्व-निहित है। यहाँ ClamAV एकल-फ़ाइल डिटेक्टर है, कोई बाउंड्री-खोज इंजन नहीं - `clamscan` प्रति इनवोकेशन अपना पूरा डेटाबेस लोड करता है, इसलिए bisection के लिए `clamd` डेमन की आवश्यकता होगी।
² `Add-OffsetDriftEntry` क्रॉस-प्लेटफ़ॉर्म जर्नल करता है, लेकिन Defender सिग्नेचर/इंजन संस्करण फ़ील्ड केवल Windows पर भरते हैं (`Get-MpComputerStatus` के माध्यम से); अन्यत्र वे null रिकॉर्ड होते हैं और बाकी स्नैपशॉट फिर भी लिखा जाता है।
ऑफसेट-निरीक्षण कोर और सभी स्थैतिक-ट्राइएज सहायक क्रॉस-प्लेटफ़ॉर्म (Windows, Linux, macOS) हैं; AMSI/Defender थ्रेट प्रोवाइडर केवल Windows के लिए हैं।
## इंस्टॉलेशन
### PowerShell Gallery```powershell
Install-Module OffsetInspect -Scope CurrentUser
Import-Module OffsetInspect
```
### रिपॉजिटरी चेकआउट```powershell
git clone https://github.com/warpedatom/OffsetInspect.git
cd OffsetInspect
Import-Module ./module/OffsetInspect/OffsetInspect.psd1 -Force
```
रिपॉजिटरी में पतले CLI रैपर भी शामिल हैं:```powershell
./OffsetInspect.ps1 <file> <offset>
./OffsetThreatScan.ps1 <file> -Engine AMSI
```
## ऑफसेट निरीक्षण
### मानव-पठनीय आउटपुट```powershell
Invoke-OffsetInspect ./sample.bin 0x200
```
No source content was provided to translate.```powershell
$inspectParameters = @{
FilePaths = './script.ps1'
OffsetInputs = 128, 256, 512
ByteWindow = 64
ContextLines = 4
}
Invoke-OffsetInspect @inspectParameters
```
### संरचित वस्तुएँ```powershell
$inspectParameters = @{
FilePaths = './script.ps1'
OffsetInputs = 0x80, 0x100
PassThru = $true
}
$results = Invoke-OffsetInspect @inspectParameters
$results | Where-Object BytesDiffer
```
### JSON और CSV```powershell
Invoke-OffsetInspect ./sample.bin 0x200 -Json
Invoke-OffsetInspect ./sample.bin 0x200 -Csv
Invoke-OffsetInspect ./sample.bin 0x200 -CsvPath ./artifacts/offsets.csv
```
JSON मोड हमेशा एक ऐरे उत्पन्न करता है, जिसमें एक एकल परिणाम भी शामिल है।
### बाइनरी तुलना```powershell
$compareParameters = @{
FilePaths = './before.bin'
OffsetInputs = 0x200
CompareFile = './after.bin'
PassThru = $true
}
Invoke-OffsetInspect @compareParameters
```
### ऑफ़सेट प्रारूप
| इनपुट | व्याख्या |
|---|---:|
| `512` | दशमलव 512 |
| `0x200` or `0X200` | हेक्साडेसिमल 0x200 |
| `200h` | हेक्साडेसिमल 0x200 |
| `E1AB1` | बिना उपसर्ग वाला हेक्साडेसिमल क्योंकि इसमें A-F है |
केवल संख्यात्मक मान बिना किसी उपसर्ग या प्रत्यय के जानबूझकर दशमलव माने जाते हैं।
### एन्कोडिंग मोड
| मोड | व्यवहार |
|---|---|
| `Auto` | UTF-8/UTF-16 BOM का पता लगाता है; अन्यथा UTF-8 का उपयोग करता है |
| `Default` | होस्ट ऑपरेटिंग सिस्टम की डिफ़ॉल्ट एन्कोडिंग का उपयोग करता है |
| `UTF8` | UTF-8 स्रोत मैपिंग |
| `UTF16LE` | लिटिल-एंडियन UTF-16 स्रोत मैपिंग |
| `UTF16BE` | बिग-एंडियन UTF-16 स्रोत मैपिंग |
| `ASCII` | ASCII स्रोत मैपिंग |
आउटपुट `BytePositionInLine` और `CharacterPosition` दोनों की रिपोर्ट करता है। यह अंतर तब महत्वपूर्ण होता है जब किसी स्रोत फ़ाइल में मल्टीबाइट वर्ण होते हैं।
## खतरा सीमा विश्लेषण
थ्रेट-प्रोवाइडर विश्लेषण केवल विंडोज़ पर उपलब्ध है। सामान्य ऑफ़सेट निरीक्षण कमांड क्रॉस-प्लेटफ़ॉर्म बना रहता है।
### AMSI टेक्स्ट स्कैन```powershell
$scanParameters = @{
FilePath = './script.ps1'
Engine = 'AMSI'
ScanMode = 'Text'
RepeatCount = 3
PassThru = $true
}
$result = Invoke-OffsetThreatScan @scanParameters
```
टेक्स्ट मोड `AmsiScanString` का उपयोग करता है, सरोगेट जोड़ों को विभाजित किए बिना यूनिकोड-स्केलर उपसर्गों की खोज करता है, पता लगाए गए उपसर्ग को मान्य स्रोत एन्कोडिंग के माध्यम से मैप करता है, और यूनिकोड-स्केलर, UTF-16 कोड-यूनिट और स्रोत-फ़ाइल बाइट इंडेक्स लौटाता है। टेक्स्ट मोड में एम्बेडेड NUL वर्ण अस्वीकार किए जाते हैं; उन फ़ाइलों के लिए रॉ-बाइट मोड का उपयोग करें।
### AMSI रॉ-बाइट स्कैन```powershell
Invoke-OffsetThreatScan ./content.bin -Engine AMSI -ScanMode RawBytes
```
### Microsoft Defender स्कैन```powershell
$scanParameters = @{
FilePath = './sample.bin'
Engine = 'Defender'
RepeatCount = 3
TimeoutSeconds = 45
}
Invoke-OffsetThreatScan @scanParameters
```
Defender प्रदाता:
- नवीनतम स्थापित `MpCmdRun.exe` प्लेटफ़ॉर्म पथ का पता लगाता है।
- प्रीफ़िक्स को एक अद्वितीय उपयोगकर्ता अस्थायी निर्देशिका में लिखता है।
- `-DisableRemediation` के साथ एक कस्टम स्कैन का उपयोग करता है।
- टाइमआउट, प्रदाता त्रुटियों, स्थानीयकृत/अज्ञात आउटपुट और अस्पष्ट मार्करों को अनिर्णायक मानता है।
- स्कैनिंग पूरी होने पर अस्थायी कार्यक्षेत्र को हटा देता है।
### सीमा शब्दार्थ
`DetectionPrefixLength = 841` जैसा परिणाम दर्शाता है:
- प्रीफ़िक्स लंबाई 840 को स्वच्छ/पता न चला के रूप में वर्गीकृत किया गया था।
- प्रीफ़िक्स लंबाई 841 को पता चला/अवरुद्ध के रूप में वर्गीकृत किया गया था।
- बार-बार की जाँचें यह निर्धारित करती हैं कि वह परिवर्तन स्थिर है या नहीं।
यह **नहीं** साबित करता कि बाइट 840 पूरा सिग्नेचर है, एकमात्र योगदान देने वाला बाइट है, या संपूर्ण दुर्भावनापूर्ण सीमा है। एंटीवायरस निर्णय टोकनाइज़ेशन, आस-पास का संदर्भ, फ़ाइल प्रकार, प्रदाता स्थिति और सिग्नेचर अपडेट पर निर्भर कर सकते हैं।
### व्यावहारिक उदाहरण: दो इंजन, एक फ़ाइल
दोनों प्रदाताओं के साथ एक ही नमूने (PowerUp.ps1, एक सार्वजनिक रेड-टीम स्क्रिप्ट, 445,954 बाइट्स) को स्कैन करने से पता चलता है कि सीमा क्या होती है और दो इंजनों पर किस हद तक भरोसा किया जा सकता है कि वे सहमत होंगे। टेक्स्ट मोड में AMSI:```text
Threat boundary scan: C:\Ops\Samples\PowerUp.ps1
SHA-256: 7abc87d9620aef493617a4fc1f823850f32fb26ca9ae0f3befeadb04971e0246
Engine: AMSI
Scan mode: Text
Initial status: Detected
Scans performed: 25
Provider probes: 25 (see -Verbose or the ProbeLog property for the full audit trail)
Duration: 22771.419 ms
Known clean prefix: 445953
Detected prefix: 445954
Boundary offset: 445953 (0x6CE01)
Unicode scalar index: 445953
UTF-16 code-unit idx: 445953
Stable: True
Confidence: High
Line number: 4586
Byte in line: 46
Target byte: 0A (10)
--- Source Context ---
4585 | Set-Alias Get-CurrentUserTokenGroupSid Get-ProcessTokenGroup
4586 | Set-Alias Invoke-AllChecks Invoke-PrivescAudit
^
```
Microsoft Defender को raw-byte मोड में, वही फ़ाइल:```text
Engine: Defender
Scan mode: RawBytes
Initial status: Detected
Scans performed: 25
Duration: 15370.562 ms
Known clean prefix: 445951
Detected prefix: 445952
Boundary offset: 445951 (0x6CDFF)
Stable: True
Confidence: High
Signature: Trojan:Win32/Kepavll!rfn
Line number: 4586
Byte in line: 44
Target byte: 69 (105)
--- Hex Dump ---
0006CDBF 74 2D 50 72 6F 63 65 73 73 54 6F 6B 65 6E 47 72 t-ProcessTokenGr
0006CDCF 6F 75 70 0A 53 65 74 2D 41 6C 69 61 73 20 49 6E oup.Set-Alias In
0006CDDF 76 6F 6B 65 2D 41 6C 6C 43 68 65 63 6B 73 20 49 voke-AllChecks I
0006CDEF 6E 76 6F 6B 65 2D 50 72 69 76 65 73 63 41 75 64 nvoke-PrivescAud
0006CDFF 69 74 0A it.
```
दोनों इंजन **पंक्ति 4586** पर अभिसरित होते हैं - Defender की सीमा `Invoke-PrivescAudit` के अंतिम `it` के अंदर पड़ती है, AMSI की उसी पंक्ति को समाप्त करने वाले न्यूलाइन पर, दो बाइट बाद। कोई भी ऑफ़सेट "सिग्नेचर" नहीं है: वे सबसे प्रारंभिक प्रीफ़िक्स हैं जिन्हें प्रत्येक प्रदाता अभी भी फ़्लैग करता है, और दो-बाइट का अंतर ठीक वही टोकनाइज़ेशन/संदर्भ प्रभाव है जिसका ऊपर वर्णन किया गया है। Defender अतिरिक्त रूप से बताता है कि उसने किससे मेल खाया (`Trojan:Win32/Kepavll!rfn`); AMSI कोई सिग्नेचर नाम रिपोर्ट नहीं करता, यही कारण है कि AMSI हिट की विशेषता बताने के लिए `Invoke-OffsetThreatScanRegion` और `Get-OffsetDetectionTrigger` मौजूद हैं।
दोनों स्कैन की लागत ~436 KiB फ़ाइल के लिए 25 प्रदाता प्रोब है - द्विविभाजन फ़ाइल आकार के सापेक्ष लघुगणकीय है, और हर प्रोब `ProbeLog` में दर्ज किया जाता है।
प्रदाता अनुबंध और व्याख्या मार्गदर्शन के लिए [थ्रेट स्कैनिंग डिज़ाइन](https://github.com/warpedatom/offsetinspect/blob/main/docs/THREAT-SCANNING.md), स्कैनर अनुबंध और सर्च कोर को छुए बिना प्रदाता जोड़ने के तरीके के लिए [प्रदाता इंटरफ़ेस](https://github.com/warpedatom/offsetinspect/blob/main/docs/PROVIDER-INTERFACE.md), कार्यान्वयन सीमाओं और श्रेय के लिए [थ्रेट-स्कैनिंग प्रोवेनेंस](https://github.com/warpedatom/offsetinspect/blob/main/docs/PROVENANCE.md), और संस्करणित ऑब्जेक्ट अनुबंध के लिए [आउटपुट स्कीमा](https://github.com/warpedatom/offsetinspect/blob/main/docs/OUTPUT-SCHEMA.md) देखें।
### डिटेक्शन-सीमा रिपोर्टें
```
---
[Read more](https://github.com/warpedatom/offsetinspect)