WinDbg के साथ मैलवेयर (नहीं) कैसे खोजें

परिचय

इस लेख में मैं दिखाऊंगा कि कैसे, उदाहरण के लिए, WinDbg का उपयोग करके यह पता लगाने के लिए कि कौन सा मैलवेयर (या नहीं) ने कुछ एप्लिकेशन द्वारा लोड किए गए DLL में सिस्टम फ़ंक्शन कॉल का पता बदल दिया। इसलिए, उदाहरण के लिए, मैं देख रहा था कि सुरक्षा मॉड्यूल 1C कॉन्फ़िगरेशन में लोड क्यों नहीं होता है ।
प्रदर्शित करने के लिए, हमें एक ऐसे अनुप्रयोग की आवश्यकता है जो DLL के एक जोड़े को लोड करता है: उनमें से एक को पीड़ित ( पीड़ित ) कहा जाता है , दूसरा -~~दरिंदा~~ इंजेक्टर । बाद को पीड़ित को सिस्टम फ़ंक्शन (सरलता के लिए, नींद ले ) के लिए कॉल की जगह, पीड़ित में पेश किया जाता है , और एवी को कुछ शर्तों के तहत कॉल करेगा (जिसकी आवश्यकता अगले लेख में होगी)।

चूंकि चूंकि डेल्फी में लिखे गए एप्लिकेशन अनियंत्रित अपवादों के कारण कोर-डंप में क्रैश नहीं होते हैं, हमारा मुख्य एप्लिकेशन (DLLInjectionDemo) C में लिखा गया है, जो पीड़ित DLL के शुरुआती बंधन से जुड़ा हुआ है, और स्थिति को पुन: पेश करने में आसानी के लिए, यह DLL-इंजेक्टर को लोड करेगा स्टार्टअप पर विकल्पों में पारित, और इसमें एक विधि लागू करें जो पीड़ित को नुकसान पहुंचाएगा। विशेष रूप से इस लेख के लिए, किसी भी प्रोग्रामिंग भाषा में लिखा गया एप्लिकेशन हमारे लिए उपयुक्त होगा, लेकिन हम एक पत्थर से दो पक्षियों को मार देंगे।

एप्लीकेशन सोर्स कोड C और डेल्फी 10.3 रियो कम्युनिटी एडिशन में लिखा गया है, और MinGW और डेल्फी को संकलित किया गया है,~~, और Win64 के लिए (साथ ही साथ लाजर में FPC)~~।

इसलिए हम DLL और मुख्य एप्लिकेशन दोनों को संकलित करते हैं

> msbuild /t:build victim.dproj /p:Platform=Win32;Config=Debug;DCC_Exeoutput=.
> msbuild /t:build injector.dproj /p:Platform=Win32;Config=Debug;DCC_Exeoutput=.
> mingw32-make

MinGW मेक के साथ निर्माण करने के लिए, आपको इसे PATH में पंजीकृत करना होगा

C:\Users\demo>DLLInjectionDemo.exe
Sleeping 100 milliseconds
Done!

-L injector (, , , - )

c:\Users\demo>DLLInjectionDemo.exe -L injector
Loading injector
Searching...
oleaut32.dll
advapi32.dll
user32.dll
kernel32.dll
kernel32.dll
user32.dll
version.dll
kernel32.dll
kernel32.dll
netapi32.dll
oleaut32.dll
Injected
Sleeping 100 milliseconds
New sleep instead of 100
Done!

, , Sleep - . ( , ). ( , GUI-, , , , -i(interactive)).

c:\Users\demo>DLLInjectionDemo.exe -i -L injector
Loading injector
Searching...
oleaut32.dll
advapi32.dll
user32.dll
kernel32.dll
kernel32.dll
user32.dll
version.dll
kernel32.dll
kernel32.dll
netapi32.dll
oleaut32.dll
Injected
Sleeping 100 milliseconds
New sleep instead of 100
Done!
Press ENTER...

( ). : , , , , " ...", .

WinDbg, :

File — Open Crash Dump (Ctrl+D)

%PROGRAM FILES%\Windows Kits\10\Debuggers\x64\windbg.exe" -z C:\Users\demo\App Data\Local\Temp\DLLInjectionDemo.DMP

Loading Dump File [C:\Users\alex\AppData\Local\Temp\DLLInjectionDemo.DMP]
User Mini Dump File with Full Memory: Only application data is available

Symbol search path is: srv*
Executable search path is: 
Windows 7 Version 7601 (Service Pack 1) MP (4 procs) Free x64
Product: WinNt, suite: SingleUserTS
Machine Name:
Debug session time: Thu Jul  4 08:46:18.000 2019 (UTC + 3:00)
System Uptime: 17 days 12:25:45.404
Process Uptime: 0 days 0:00:10.000
........................
For analysis of this file, run !analyze -v
ntdll!NtRequestWaitReplyPort+0xa:
00000000`77bcddfa c3              ret

For analysis of this file, run !analyze -v ( , ).

IAT — (Import Address Table) — DLL, (? , IAT ;) ). , PE- ( DLL ) WinDbg Windows 10 SDK ( Windows 7) , " ", WinDbg 6, .

. :

lm

0:000> lm
start             end                 module name
00000000`003b0000 00000000`003db000   injector   (deferred)             
00000000`00400000 00000000`00412000   DLLInjectionDemo   (deferred)             
00000000`00520000 00000000`00616000   victim     (deferred)             
00000000`6e580000 00000000`6e5b4000   libmingwex_2   (deferred)             
00000000`72870000 00000000`72886000   netapi32   (deferred)             
...

Nota bene: 32- , 64-...

, DLL , IAT , !dh -a:

!dh 009c0000 -a

!dh victim -a

0:000> !dh victim -a

File Type: DLL
FILE HEADER VALUES
     14C machine (i386)
       A number of sections
5E5F4251 time date stamp Wed Mar  4 09:53:21 2020

       0 file pointer to symbol table
       0 number of symbols
      E0 size of optional header
    A18E characteristics
            Executable
            Line numbers stripped
            Symbols stripped
            Bytes reversed
            32 bit word machine
            DLL

OPTIONAL HEADER VALUES
     10B magic #
    2.25 linker version
   CE400 size of code
   1BA00 size of initialized data
       0 size of uninitialized data
   CF79C address of entry point
    1000 base of code
         ----- new -----
0000000000400000 image base
    1000 section alignment
     200 file alignment
       2 subsystem (Windows GUI)
    5.00 operating system version
    0.00 image version
    5.00 subsystem version
   F6000 size of image
     400 size of headers
       0 checksum
0000000000000000 size of stack reserve
0000000000000000 size of stack commit
0000000000100000 size of heap reserve
0000000000001000 size of heap commit
       0  DLL characteristics
   DD000 [      A4] address [size] of Export Directory
   DA000 [    105C] address [size] of Import Directory
   F3000 [    2A00] address [size] of Resource Directory
       0 [       0] address [size] of Exception Directory
       0 [       0] address [size] of Security Directory
...

kernel32.dll ( Sleep)

Nota bene: 32- _IMAGE_IMPORT_DESCRIPTOR 64-. , , Delphi .

...
  _IMAGE_IMPORT_DESCRIPTOR 00000000005fa03c
    kernel32.dll
              005FA398 Import Address Table
              005FA11C Import Name Table
                     0 time date stamp
                     0 Index of first forwarder reference

       003C7C7C    0 Sleep
       76EE184A    0 VirtualFree
       76EE1832    0 VirtualAlloc
       76EE16DC    0 lstrlenW
       76EE4422    0 VirtualQuery
       76EE110C    0 GetTickCount
...

`kernel32.dll`

0:000> !dh kernel32

File Type: DLL
FILE HEADER VALUES
     14C machine (i386)
       4 number of sections
5708A7E3 time date stamp Sat Apr  9 10:57:39 2016

...
         ----- new -----
0000000076ed0000 image base
...

.. 0000000076ed0000

, — ?

WinDbg lm :

0:000> lma 003C7C7C    
Browse full module list
start             end                 module name
00000000`003b0000 00000000`003db000   injector   (deferred)

, ! . ( v lm)

0:000> lma 003C7C7C v
Browse full module list
start             end                 module name
00000000`003b0000 00000000`003db000   injector   (deferred)             
    Image path: z:\habr\DLLInjectionDemo\injector.dll
    Image name: injector.dll
    Browse all global symbols  functions  data
    Timestamp:        Wed Mar  4 09:53:12 2020 (5E5F4248)
    CheckSum:         00000000
    ImageSize:        0002B000
    Translations:     0000.04b0 0000.04e4 0409.04b0 0409.04e4
    Information from resource tables:

Image path: C:\Users\demo\injector.dll

, .

इसलिए वास्तविक स्थितियों में, मैं फंक्शन कॉल को इंटरसेप्ट करने वाले निर्माता से पूर्वस्थापित ओएस पर कुछ अजीब डीएलएल खोजने में कामयाब रहा WriteFile।

मैं इस लेख से अगले एक में एप्लिकेशन का उपयोग करता हूं, जिसमें मैं पाठक को दिखाना चाहता हूं कि WinDbg का उपयोग कैसे करें (या कम से कम कहीं पर) एक्सेस वायलेशन के साथ दुर्घटनाग्रस्त हो गया, जो डेल्ही में लिखे DLL में तब हुआ जब रिमोट डीबगिंग किसी कारण से उपलब्ध नहीं है। या तो कारण। इस तथ्य के बावजूद कि डेल्फी में एप्लिकेशन डंप का विश्लेषण करने के लिए उपकरण नहीं हैं, यह नहीं जानता कि पीडीबी फ़ाइलों को कैसे उत्पन्न किया जाए।

WinDbg के साथ मैलवेयर (नहीं) कैसे खोजें

WinDbg के साथ मैलवेयर (नहीं) कैसे खोजें

परिचय

More articles: