Maldev Academy

Главная страница Maldev Academy

Учебная программа Maldev Academy

Christmas

Реализация метода инъекции, упомянутого @Hexacorn.

Эта PoC создаёт несколько процессов, где каждый процесс выполняет определённую задачу в рамках операции инъекции. Каждый дочерний процесс порождает следующий процесс и передаёт необходимую информацию через командную строку. Программа выполняет следующие шаги:

1. Первый дочерний процесс создаёт целевой процесс, в который будет внедрена полезная нагрузка. Дескриптор наследуется всеми последующими дочерними процессами.
2. Второй дочерний процесс выделяет память в целевом процессе.
3. Третий дочерний процесс изменяет права доступа к ранее выделенной памяти на RWX.
4. После этого для каждых 1024 байт полезной нагрузки будет создан процесс для записи этих байт.
5. И наконец, ещё один процесс будет отвечать за выполнение полезной нагрузки.

В PoC используется алгоритм шифрования RC4 для шифрования полезной нагрузки Havoc Demon. Программа ChristmasPayloadEnc.exe отвечает за шифрование полезной нагрузки и её дополнение до размера, кратного 1024 (как требует логика инъекции).

Демо: Обход MDE с помощью полезной нагрузки Havoc Demon