SharpWhispers

SysWhispers2 の C# 移植版です。

システムコールスタブを実行するためのコードケイブを見つけるために SharpASM を使用します。

技術詳細はブログ記事をお読みください: https://www.secforce.com/blog/sharpasm-sharpwhispers/

要件

• Visual Studio
• .NET Framework >= 3.5
• Python3

使用法

   ______               _      ____   _                    
  / __/ /  ___ ________| | /| / / /  (_)__ ___  ___ _______
 _\ \/ _ \/ _ `/ __/ _ \ |/ |/ / _ \/ (_-</ _ \/ -_) __(_-<
/___/_//_/\_,_/_/ / .__/__/|__/_//_/_/___/ .__/\__/_/ /___/
                 /_/                    /_/                

@d_glenx
@SECFORCE_LTD

=============================================================


usage: SharpWhispers.py [-h] [-p PRESET] [-f FUNCTIONS] -o OUT_FILE

optional arguments:
  -h, --help            show this help message and exit
  -p PRESET, --preset PRESET
                        Preset ("all", "common", "dinvoke")
  -f FUNCTIONS, --functions FUNCTIONS
                        Comma-separated functions
  -o OUT_FILE, --out-file OUT_FILE
                        Output basename (w/o extension)

Visual Studio プロジェクトを作成する手順はここにあります。

基本的なプロセスインジェクションの例はここにあります。

プリセット

現時点では、json ファイルには 33 個のシステムコールを生成するためのデータが含まれています。

注: All プリセットは、全システムコールのサブセットを含みます。

All

==== System Calls Imported ====

==[DInvoke]==
[i] Number of Delegates: 13

NtCreateThreadEx
NtCreateSection
NtUnmapViewOfSection
NtMapViewOfSection
NtQueryInformationProcess
NtOpenProcess
NtAllocateVirtualMemory
NtFreeVirtualMemory
NtQueryVirtualMemory
NtProtectVirtualMemory
NtWriteVirtualMemory
NtReadVirtualMemory
NtOpenFile

==[Additional]==
[i] Number of Delegates: 20

NtOpenThread
NtQueueApcThread
NtOpenSection
NtSuspendThread
NtQueryInformationFile
NtSetContextThread
NtResumeProcess
NtOpenProcessToken
NtWaitForMultipleObjects
NtQueryDirectoryFile
NtAdjustPrivilegesToken
NtQuerySystemInformation
NtDeviceIoControlFile
NtResumeThread
NtCreateProcess
NtSuspendProcess
NtGetContextThread
NtClose
NtQueryInformationThread
NtTestAlert

Common

NtCreateThreadEx
NtCreateSection
NtUnmapViewOfSection
NtMapViewOfSection
NtQueryInformationProcess
NtAllocateVirtualMemory
NtFreeVirtualMemory
NtProtectVirtualMemory
NtWriteVirtualMemory
NtOpenFile
NtReadVirtualMemory
NtQueryVirtualMemory
NtOpenProcess

DInvoke

NtCreateThreadEx
NtCreateSection
NtUnmapViewOfSection
NtMapViewOfSection
NtQueryInformationProcess
NtOpenProcess
NtAllocateVirtualMemory
NtFreeVirtualMemory
NtQueryVirtualMemory
NtProtectVirtualMemory
NtWriteVirtualMemory
NtReadVirtualMemory
NtOpenFile

テンプレート

Delegates.cs

動的生成

生成するシステムコールのデリゲートが含まれています。

PEB.cs

SharpASM に依存

ASM を使用して PEB のアドレスを取得するためのヘルパーです。

SharpASM.cs

C# で ASM を動的に呼び出すコードが含まれています。 関数 public static IntPtr callASM(byte[] stub) は、バイト配列を渡してシェルコードを呼び出すために使用できます。

SharpWhispers.cs

動的生成 - スクリプトはシステムコール名をハッシュするためのランダムシードを生成します

ElephantSe4l のテクニックを使用してシステムコール番号を取得するコードが含まれています（SysWhispers2 から移植されたコード）。

Syscalls.cs

SharpASM に依存

ASM を使用してシステムコールを動的に実行するコードが含まれています。

システムコールのラッパーも含まれています（例: Syscall.NtAllocateVirtualMemory）（動的生成）

DInvoke データ型

動的生成

SharpWhispers の出力ファイルは C# プロジェクトで直接使用できます。必要なデータ型は、DInvoke プロジェクト で定義されているデータ型のサブセットです（一部のデータ型は、実際には Rastamouse の最小化プロジェクト から借用されています）。これは検出面を減らすためです。データ型は、DInvoke の定義と重複しないように、SharpWhisper.Data 名前空間で定義されています。

注: データ型は、検出面を最小化するために、必要な場合にのみ生成されます（つまり、システムコールがデータ型を必要とする場合）。

必要なデータ型を生成するために、次のテンプレートが使用されます:

• TypedefsNative.cs
• TypedefsPE.cs
• TypedefsWin32.cs