withsecurelabs/callstackspooferसिस कॉल करते समय मनमानी कॉल स्टैक्स को स्पूफ करने के लिए एक PoC इम्प्लीमेंटेशन (उदा. NtOpenProcess के माध्यम से हैंडल प्राप्त करना)
यह रिपॉजिटरी सिस्टम कॉल करते समय मनमाने कॉल स्टैक्स को स्पूफ करने के लिए एक PoC इम्प्लीमेंटेशन प्रदर्शित करती है। पूर्ण तकनीकी वॉकथ्रू के लिए कृपया साथ में दी गई ब्लॉग पोस्ट देखें: https://labs.withsecure.com/blog/spoofing-call-stacks-to-confuse-edrs.
डिफ़ॉल्ट रूप से इसमें तीन नमूना कॉल स्टैक्स शामिल हैं जिन्हें नक़ल किया जा सकता है, जिन्हें नीचे दिखाए अनुसार --wmi, --rpc, या --svchost में से कोई एक प्रदान करके चुना जा सकता है:
ये कॉल स्टैक्स SysMon को प्रोसेस एक्सेस इवेंट सक्षम करके चलाने और उन इवेंट्स की खोज करके प्राप्त किए गए थे जहाँ हैंडल ऑपरेशन का लक्ष्य lsass था।
नोट: सावधानी के तौर पर, इस PoC का परीक्षण निम्नलिखित विंडोज़ बिल्ड पर किया गया था:
इसका परीक्षण किसी अन्य संस्करण पर नहीं किया गया है और विभिन्न विंडोज़ बिल्ड पर ऑफसेट स्पष्ट रूप से भिन्न हो सकते हैं (और इसलिए टूट सकते हैं)।
यदि आपको समस्या हो रही है, तो त्रुटियों को डीबग करने की एक तकनीक SysMon में OpenProcess इवेंट उत्पन्न करने वाली प्रक्रिया को ढूंढना और उसे
WinDbg में अटैच करना है। अटैच करने के बाद, bp ntdll!NtOpenProcess चलाएँ और जब bp हिट हो तो knf चलाएँ।
यह नीचे दिए गए समान आउटपुट प्रदर्शित करेगा, जिसमें पूर्ण सिंबल रिज़ॉल्यूशन और सही स्टैक उपयोग स्थान ('Memory' कॉलम द्वारा इंगित) शामिल होगा:
0:003> knf
# Memory Child-SP RetAddr Call Site
00 00000037`f01fe300 00007ffd`221d2ea6 ntdll!NtOpenProcess+0x12
01 8 00000037`f01fe308 00007ffd`1ffee959 KERNELBASE!ProcessIdToSessionId+0x96
02 80 00000037`f01fe388 00007ffd`23b99633 lsm!RpcOpenEnum+0x129
03 430 00000037`f01fe7b8 00007ffd`23b33711 RPCRT4!Invoke+0x73
04 40 00000037`f01fe7f8 00007ffd`23bfd77b RPCRT4!Ndr64UnmarshallHandle+0xe1
05 70 00000037`f01fe868 00007ffd`23b7d2ac RPCRT4!Ndr64StubWorker+0xb0b
06 6c0 00000037`f01fef28 00007ffd`23b7a408 RPCRT4!NdrServerCallAll+0x3c
07 50 00000037`f01fef78 00007ffd`23b5a266 RPCRT4!DispatchToStubInCNoAvrf+0x18
08 50 00000037`f01fefc8 00007ffd`23b59bb8 RPCRT4!RPC_INTERFACE::DispatchToStubWorker+0x1a6
09 e0 00000037`f01ff0a8 00007ffd`23b68a0f RPCRT4!RPC_INTERFACE::DispatchToStub+0xf8
0a 70 00000037`f01ff118 00007ffd`23b67e18 RPCRT4!LRPC_SCALL::DispatchRequest+0x31f
0b d0 00000037`f01ff1e8 00007ffd`23b67401 RPCRT4!LRPC_SCALL::HandleRequest+0x7f8
0c 110 00000037`f01ff2f8 00007ffd`23b66e6e RPCRT4!LRPC_ADDRESS::HandleRequest+0x341
0d a0 00000037`f01ff398 00007ffd`23b6b542 RPCRT4!LRPC_ADDRESS::ProcessIO+0x89e
0e 140 00000037`f01ff4d8 00007ffd`24ab0330 RPCRT4!LrpcIoComplete+0xc2
0f a0 00000037`f01ff578 00007ffd`24ae2f26 ntdll!TppAlpcpExecuteCallback+0x260
10 80 00000037`f01ff5f8 00007ffd`23387034 ntdll!TppWorkerThread+0x456
11 300 00000037`f01ff8f8 00007ffd`24ae2651 KERNEL32!BaseThreadInitThunk+0x14
12 30 00000037`f01ff928 00000000`00000000 ntdll!RtlUserThreadStart+0x21
एक नोट के रूप में, वर्तमान कॉल साइट द्वारा उपयोग किया गया कुल स्टैक स्थान नीचे दी गई पंक्ति में इंगित किया गया है (उदाहरण के लिए ntdll!NtOpenProcess केवल 8 बाइट्स लेता है)। जैसा कि पहले कहा गया है, इस README की शुरुआत में लिंक किए गए ब्लॉग में एक पूर्ण तकनीकी वॉकथ्रू शामिल है, जो इसे (और Child-SP जैसी अवधारणाओं) को अधिक विस्तार से समझाएगा। windbg द्वारा उत्पन्न मानों का उपयोग किसी भी समस्या की स्थिति में CalculateFunctionStackSize() द्वारा लौटाए जा रहे मान के साथ सहसंबंधित करने के लिए किया जा सकता है।
UNWIND_CODEs को पार्स करने में उदाहरण कोड के लिए unicorn_pe प्रोजेक्ट (https://github.com/hzqst/unicorn_pe) को धन्यवाद।