gftrace

Uma ferramenta de rastreamento da API do Windows via linha de comando para binários Golang.

Nota: Esta ferramenta é uma PoC e um protótipo em andamento, portanto, trate-a como tal. Feedbacks são sempre bem-vindos!

Como funciona?

Embora os programas Golang contenham muitas nuances em relação à forma como são construídos e seu comportamento em tempo de execução, eles ainda precisam interagir com a camada do SO e isso significa que em algum momento eles precisam chamar funções da API do Windows.

O pacote runtime do Go contém uma função chamada asmstdcall e essa função é uma espécie de "gateway" usada para interagir com a API do Windows. Como é esperado que esta função chame as funções da API do Windows, podemos assumir que ela precisa ter acesso a informações como o endereço da função e seus parâmetros, e é aí que as coisas começam a ficar mais interessantes.

Asmstdcall recebe um único parâmetro que é um ponteiro para algo semelhante à seguinte estrutura:

struct LIBCALL {
	DWORD_PTR Addr;
	DWORD Argc;
	DWORD_PTR Argv;
	DWORD_PTR ReturnValue;
	
	[...]
}

Alguns desses campos são preenchidos após a chamada da função da API, como o valor de retorno, outros são recebidos pelo asmstdcall, como o endereço da função, o número de argumentos e a lista de argumentos. Independentemente de quando são definidos, fica claro que a função asmstdcall manipula muitas informações interessantes sobre a execução de programas compilados em Golang.

O gftrace aproveita o asmstdcall e seu funcionamento para monitorar campos específicos da estrutura mencionada e registrar para o usuário. A ferramenta é capaz de registrar o nome da função, seus parâmetros e também o valor de retorno de cada função do Windows chamada por uma aplicação Golang. Tudo isso sem a necessidade de fazer hook em nenhuma função da API ou ter uma assinatura para ela.

- CreateProcessW("C:\WINDOWS\System32\WindowsPowerShell\v1.0\powershell.exe", "powershell /c "Add-PSSnapin Microsoft.Exchange.Management.PowerShell.SnapIn; Get-Recipient | Select Name -ExpandProperty EmailAddresses -first 1 | Select SmtpAddress | ft -hidetableheaders"", 0x0, 0x0, 0x1, 0x80400, "=C:=C:\Users\user\Desktop", 0x0, 0xc0000ace98, 0xc0000acd68) = 0x1 (1) - CreateProcessW("C:\WINDOWS\System32\WindowsPowerShell\v1.0\powershell.exe", "powershell /c "Add-PSSnapin Microsoft.Exchange.Management.PowerShell.SnapIn; Get-Recipient | Select Name -ExpandProperty EmailAddresses -first 1 | Select SmtpAddress | ft -hidetableheaders"", 0x0, 0x0, 0x1, 0x80400, "=C:=C:\Users\user\Desktop", 0x0, 0xc0000c4ec8, 0xc0000c4d98) = 0x1 (1) - CreateProcessW("C:\WINDOWS\System32\WindowsPowerShell\v1.0\powershell.exe", "powershell /c "Add-PSSnapin Microsoft.Exchange.Management.PowerShell.SnapIn; Get-Recipient | Select Name -ExpandProperty EmailAddresses -first 1 | Select SmtpAddress | ft -hidetableheaders"", 0x0, 0x0, 0x1, 0x80400, "=C:=C:\Users\user\Desktop", 0x0, 0xc00005eec8, 0xc00005ed98) = 0x1 (1) - CreateProcessW("C:\WINDOWS\System32\WindowsPowerShell\v1.0\powershell.exe", "powershell /c "Add-PSSnapin Microsoft.Exchange.Management.PowerShell.SnapIn; Get-Recipient | Select Name -ExpandProperty EmailAddresses -first 1 | Select SmtpAddress | ft -hidetableheaders"", 0x0, 0x0, 0x1, 0x80400, "=C:=C:\Users\user\Desktop", 0x0, 0xc0000bce98, 0xc0000bcd68) = 0x1 (1) - CreateProcessW("C:\WINDOWS\system32\cmd.exe", "cmd /c "wmic computersystem get domain"", 0x0, 0x0, 0x1, 0x80400, "=C:=C:\Users\user\Desktop", 0x0, 0xc0000c4ef0, 0xc0000c4dc0) = 0x1 (1) - CreateProcessW("C:\WINDOWS\system32\cmd.exe", "cmd /c "wmic computersystem get domain"", 0x0, 0x0, 0x1, 0x80400, "=C:=C:\Users\user\Desktop", 0x0, 0xc0000acec0, 0xc0000acd90) = 0x1 (1) - CreateProcessW("C:\WINDOWS\system32\cmd.exe", "cmd /c "wmic computersystem get domain"", 0x0, 0x0, 0x1, 0x80400, "=C:=C:\Users\user\Desktop", 0x0, 0xc0000bcec0, 0xc0000bcd90) = 0x1 (1) [...]

gftrace

Mais Populares

Instalação

Uso

Configuração

Exemplos

Funcionalidades futuras:

⚠️ Aviso

Licença