Windows 샌드박스에서 노출된 공격 표면을 분석하기 위한 도구 세트.
sandbox-attacksurface-analysis-tools 버전 2.
(c) Google LLC. 2015 - 2024 James Forshaw이 개발했습니다.
이것은 Windows에서 샌드박스의 다양한 속성을 테스트하기 위한 작은 PowerShell 도구 모음입니다. 많은 도구가 -ProcessId 플래그를 사용하며, 이 플래그는 샌드박스 프로세스의 PID를 지정하는 데 사용됩니다. 도구는 해당 프로세스의 토큰을 가장하고 해당 위치에서 허용되는 액세스를 결정합니다. 또한 시스템을 적절히 열거할 수 있도록 이러한 도구를 관리자 또는 로컬 시스템 권한으로 실행하는 것이 좋습니다.
EditSection: 메모리 섹션을 보고 조작합니다. TokenViewer: 다양한 프로세스 토큰 값을 보고 조작합니다. NtCoreLib: NT 시스템 호출 및 개체에 액세스하는 기본 관리 라이브러리입니다. NtCoreLib.Forms: 보안 설명자 및 토큰을 보기 위한 몇 가지 간단한 폼입니다. NtObjectManager: NtApiDotNet을 사용하여 NT 개체 관리자를 노출하는 PowerShell 모듈입니다. ViewSecurityDescriptor: SDDL 문자열 또는 상속된 개체에서 보안 설명자를 봅니다.
Import-Module Cmdlet을 사용하여 로드할 수 있습니다. 그러나 서명 요구 사항을 비활성화해야 합니다.
예를 들어 모듈을 %USERPROFILE%\Documents\WindowsPowerShell\Modules에 복사한 다음 다음 명령으로 모듈을 로드합니다:
Import-Module NtObjectManager
이제 다음과 같이 NT object manager 네임스페이스를 나열할 수 있습니다:
Get-ChildItem NtObject:\
또한 Get-NtProcess, Get-NtType 또는 New-File과 같은 다양한 명령에 대한 도움말을 참조하세요.
도구는 Visual Studio 2022로 빌드할 수 있습니다.
