(In)direct 시스템 콜: 높은 수준에서 낮은 수준으로의 여정

RedOps | Red Team Village | DEF CON 31

시작하기

모든 이론과 실습을 위한 플레이북은 wiki에서 찾을 수 있으며, 준비된 POC와 함께 이 프로젝트의 핵심입니다. 실습을 위한 POC는 메인 페이지에서 찾을 수 있습니다.

즐거운 학습 되세요!

Daniel Feichter

고지 사항

우선, 지난 10년 넘게 제가 하는 모든 일을 지지해 준 여자친구에게 큰 감사를 전합니다! 그녀의 지지와 후원이 없었다면 지난 10년 동안의 어떤 프로젝트도 가능하지 않았을 것입니다.

또한 처음 만난 이후로 저를 지지해 준 AV-Comparatives의 좋은 친구 Andreas Clementi에게도 감사드립니다. 그리고 훌륭한 Red Teamer인 친구 Jonas Kemmner가 저를 지지하고 제 모든 블로그 게시물을 미리 읽어 준 것에 감사드립니다. 이 모든 훌륭한 사람들과 인연을 맺게 되어 매우 감사하게 생각합니다.

이 저장소의 콘텐츠와 모든 코드 예제는 교육 및 연구 목적으로만 제공되며 윤리적인 맥락에서만 사용해야 합니다! 코드 예제는 새로운 것이 아니며, 그렇다고 주장하지도 않습니다. 대부분의 코드 또는 그 기반은 자주 그렇듯이 ired.team에서 비롯되었습니다. 훌륭한 작업과 공유에 대해 @spotheplanet에게 감사드립니다. 또한 훌륭한 도구 x64dbg를 만들어 주신 @mrexodia에게도 많은 감사를 드립니다.

더욱이, 아주 중요하게, 이 워크숍은 EDR 우회의 맥락에서 만능 해결책은 아닙니다. 그러나 Win32 APIs, Native APIs, direct syscalls, indirect syscalls의 기초와 셸코드 실행 및 EDR 우회 맥락에서의 call stacks에 대해 조금 이해하는 데 도움이 되어야 합니다. 그 이상도 이하도 아닙니다. 이 워크숍의 목표는 가장 은밀한 옵션이나 가장 복잡한 direct/indirect syscalls POC를 보여 주는 것이 아니라, 기초를 가르치는 데 집중하는 것입니다. 즉, 가능한 한 적은 도구를 사용하고 가능한 한 많은 작업을 수동으로 수행한다는 뜻입니다.

syscalls, direct system calls, indirect syscalls 등의 주제를 연구하고 형성해 왔으며 계속 연구하고 있는 정보보안 커뮤니티의 모든 구성원들에게 감사를 전하고 싶습니다.

크레딧 및 참고 자료

추가 자료

Windows Internals, Part 1: 시스템 아키텍처, 프로세스, 스레드, 메모리 관리 등 (7판) - Pavel Yosifovich, David A. Solomon, Alex Ionescu 지음
Windows Internals, Part 2 (7판) - Pavel Yosifovich, David A. Solomon, Alex Ionescu 지음
https://offensivecraft.wordpress.com/2022/12/08/the-stack-series-return-address-spoofing-on-x64/
https://offensivecraft.wordpress.com/2023/02/11/the-stack-series-the-x64-stack/
https://winternl.com/detecting-manual-syscalls-from-user-mode/

@Cneelis	https://outflank.nl/blog/2019/06/19/red-team-tactics-combining-direct-system-calls-and-srdi-to-bypass-av-edr/ https://github.com/outflanknl/Dumpert
@spotheplanet	그의 놀라운 블로그와 연구 전체 https://www.ired.team/
@NinjaParanoid	그의 블로그, 연구, 강의, 그리고 항상 제 질문에 답변해 준 것에 대해. https://0xdarkvortex.dev/hiding-in-plainsight/ https://0xdarkvortex.dev/proxying-dll-loads-for-hiding-etwti-stack-tracing/
@ShitSecure	그의 연구, 그의 블로그 https://s3cur3th1ssh1t.github.io/, 그리고 EDR, syscalls 등에 대한 훌륭한 논의에 대해.
@AliceCliment	그녀의 블로그, 연구, 그리고 EDR, syscalls 등에 대한 논의에 대해. https://alice.climent-pommeret.red/posts/how-and-why-to-unhook-the-import-address-table/ https://alice.climent-pommeret.red/posts/a-syscall-journey-in-the-windows-kernel/ https://alice.climent-pommeret.red/posts/direct-syscalls-hells-halos-syswhispers2/
@0xBoku	그의 전반적인 연구, 정보보안에 대한 기여, 새로운 커뮤니티 구성원을 돕는 일, 그리고 정보보안의 지속적인 발전에 대해. https://0xboku.com/ https://github.com/boku7/AsmHalosGate https://github.com/boku7/HellsGatePPID https://github.com/boku7/halosgate-ps
@Jackson_T	그의 연구와 도구 SysWhispers 및 SysWhispers2에 대해. https://github.com/jthuraisamy/SysWhispers) https://github.com/jthuraisamy/SysWhispers2
@KlezVirus	그의 블로그, 연구, EDR, syscalls 등에 대한 훌륭한 논의와 SysWhispers3에 대해. https://github.com/klezVirus/SysWhispers3 https://klezvirus.github.io/RedTeaming/AV_Evasion/NoSysWhisper/ https://github.com/klezVirus/SilentMoonwalk
@j00ru	https://j00ru.vexillium.org/syscalls/nt/64/
@modexpblog	https://www.mdsec.co.uk/2020/12/bypassing-user-mode-hooks-and-direct-invocation-of-system-calls-for-red-teams/
@netero_1010	https://www.netero1010-securitylab.com/evasion/indirect-syscall-in-csharp)
@CaptMeelo	https://captmeelo.com/redteam/maldev/2021/11/18/av-evasion-syswhisper.html
Paul Laîné @am0nsec and smelly__vx @RtlMateusz	https://github.com/am0nsec/HellsGate/tree/master
@mrd0x	https://github.com/Maldev-Academy/HellHall
@SEKTOR7net	https://blog.sektor7.net/#!res/2021/halosgate.md
@D1rkMtr	https://github.com/TheD1rkMtr/D1rkLdr
@trickster012	https://github.com/trickster0/TartarusGate
@thefLinkk	https://github.com/thefLink/RecycledGate
@ElephantSe4l and MarioBartolome	https://github.com/crummie5/FreshyCalls

DEFCON-31-Syscalls-Workshop

인기