gftrace

Инструмент командной строки для трассировки Windows API в Golang-бинарниках.

Примечание: Этот инструмент является PoC и прототипом в разработке, поэтому относитесь к нему соответственно. Обратная связь всегда приветствуется!

Как это работает?

Хотя программы на Golang содержат много нюансов, связанных с их сборкой и поведением во время выполнения, они всё равно должны взаимодействовать с уровнем ОС, а это означает, что в какой-то момент им необходимо вызывать функции Windows API.

Пакет runtime в Go содержит функцию asmstdcall, и эта функция является своего рода «шлюзом» для взаимодействия с Windows API. Поскольку ожидается, что эта функция будет вызывать функции Windows API, можно предположить, что она должна иметь доступ к такой информации, как адрес функции и её параметры, и здесь всё становится интереснее.

Asmstdcall получает единственный параметр — указатель на структуру, подобную следующей:

struct LIBCALL {
	DWORD_PTR Addr;
	DWORD Argc;
	DWORD_PTR Argv;
	DWORD_PTR ReturnValue;
	
	[...]
}

Некоторые из этих полей заполняются после вызова API-функции (например, возвращаемое значение), другие передаются в asmstdcall (например, адрес функции, количество аргументов и список аргументов). В любом случае, когда они установлены, становится ясно, что функция asmstdcall манипулирует большим количеством интересной информации, касающейся выполнения программ, скомпилированных на Golang.

gftrace использует asmstdcall и принцип её работы для мониторинга определённых полей упомянутой структуры и вывода информации пользователю. Инструмент способен логировать имя функции, её параметры, а также возвращаемое значение каждой Windows-функции, вызванной Golang-приложением. Всё это без необходимости хукать какую-либо отдельную API-функцию или иметь её сигнатуру.

- CreateProcessW("C:\WINDOWS\System32\WindowsPowerShell\v1.0\powershell.exe", "powershell /c "Add-PSSnapin Microsoft.Exchange.Management.PowerShell.SnapIn; Get-Recipient | Select Name -ExpandProperty EmailAddresses -first 1 | Select SmtpAddress | ft -hidetableheaders"", 0x0, 0x0, 0x1, 0x80400, "=C:=C:\Users\user\Desktop", 0x0, 0xc0000ace98, 0xc0000acd68) = 0x1 (1) - CreateProcessW("C:\WINDOWS\System32\WindowsPowerShell\v1.0\powershell.exe", "powershell /c "Add-PSSnapin Microsoft.Exchange.Management.PowerShell.SnapIn; Get-Recipient | Select Name -ExpandProperty EmailAddresses -first 1 | Select SmtpAddress | ft -hidetableheaders"", 0x0, 0x0, 0x1, 0x80400, "=C:=C:\Users\user\Desktop", 0x0, 0xc0000c4ec8, 0xc0000c4d98) = 0x1 (1) - CreateProcessW("C:\WINDOWS\System32\WindowsPowerShell\v1.0\powershell.exe", "powershell /c "Add-PSSnapin Microsoft.Exchange.Management.PowerShell.SnapIn; Get-Recipient | Select Name -ExpandProperty EmailAddresses -first 1 | Select SmtpAddress | ft -hidetableheaders"", 0x0, 0x0, 0x1, 0x80400, "=C:=C:\Users\user\Desktop", 0x0, 0xc00005eec8, 0xc00005ed98) = 0x1 (1) - CreateProcessW("C:\WINDOWS\System32\WindowsPowerShell\v1.0\powershell.exe", "powershell /c "Add-PSSnapin Microsoft.Exchange.Management.PowerShell.SnapIn; Get-Recipient | Select Name -ExpandProperty EmailAddresses -first 1 | Select SmtpAddress | ft -hidetableheaders"", 0x0, 0x0, 0x1, 0x80400, "=C:=C:\Users\user\Desktop", 0x0, 0xc0000bce98, 0xc0000bcd68) = 0x1 (1) - CreateProcessW("C:\WINDOWS\system32\cmd.exe", "cmd /c "wmic computersystem get domain"", 0x0, 0x0, 0x1, 0x80400, "=C:=C:\Users\user\Desktop", 0x0, 0xc0000c4ef0, 0xc0000c4dc0) = 0x1 (1) - CreateProcessW("C:\WINDOWS\system32\cmd.exe", "cmd /c "wmic computersystem get domain"", 0x0, 0x0, 0x1, 0x80400, "=C:=C:\Users\user\Desktop", 0x0, 0xc0000acec0, 0xc0000acd90) = 0x1 (1) - CreateProcessW("C:\WINDOWS\system32\cmd.exe", "cmd /c "wmic computersystem get domain"", 0x0, 0x0, 0x1, 0x80400, "=C:=C:\Users\user\Desktop", 0x0, 0xc0000bcec0, 0xc0000bcd90) = 0x1 (1) [...]

gftrace

Популярное

Установка

Использование

Конфигурация

Примеры

Будущие возможности:

⚠️ Предупреждение

Лицензия