मुझे पता चला कि डेनिश सरकार ने डिजिटल परीक्षा मॉनिटर कार्यक्रम को न केवल निलंबित कर दिया था, जिसे हमने पिछले लेख में विश्लेषण और पूरी तरह से दरकिनार किया था, लेकिन शायद हमने हैकिंग विधि की जानकारी देने के एक सप्ताह बाद इस प्रणाली को पूरी तरह से बंद कर दिया । मैं यह नहीं सोचना चाहता कि यह विशुद्ध रूप से हमारी वजह से था कि डेनमार्क सरकार ने निगरानी परीक्षा के विचार को अस्वीकार कर दिया, लेकिन हमारा काम स्पष्ट रूप से देखा गया था।

इस लेख में, हम एक और स्कूली बच्चों के ट्रैकिंग टूल के काम करने के तकनीकी विवरणों की रूपरेखा तैयार करेंगे: ExamCookie। यदि आप केवल सिस्टम को दरकिनार करने में रुचि रखते हैं, तो उपयुक्त अनुभाग तक स्क्रॉल करें।

ExamCookie

हाल ही में, इस टूल ने जीडीपीआर के उल्लंघन की जांच के कारण समाचार को मारा । हमने परीक्षा के दौरान उपरोक्त स्कूल ट्रैकिंग प्रणाली के दूसरे सबसे बड़े प्रतियोगी: एग्ज़ीक्यूसी : पर नज़र रखने का फैसला किया । यह एक वाणिज्यिक ट्रैकिंग प्रणाली है जिसका उपयोग 20 से अधिक डेनिश स्कूलों द्वारा किया जाता है। निम्नलिखित विवरण के अलावा साइट पर कोई दस्तावेज नहीं है:

ExamCookie एक सरल सॉफ़्टवेयर है जो परीक्षा के दौरान छात्र की कंप्यूटर गतिविधि पर नज़र रखता है ताकि यह सुनिश्चित हो सके कि नियमों का पालन किया जाता है। कार्यक्रम छात्रों को सहायता के किसी भी अवैध रूप का उपयोग करने से रोकता है।

एग्जामकॉकी कंप्यूटर पर सभी गतिविधि को बचाता है: विंडो का आकार बदलते समय सक्रिय URL, नेटवर्क कनेक्शन, प्रक्रिया, क्लिपबोर्ड और स्क्रीनशॉट।

कार्यक्रम बस काम करता है: परीक्षा में प्रवेश करके, आप इसे अपने कंप्यूटर पर चलाते हैं, और यह आपकी गतिविधि पर नज़र रखता है। जब परीक्षा पूरी हो जाती है, तो प्रोग्राम बंद हो जाता है, और आप इसे कंप्यूटर से हटा सकते हैं।

ट्रैकिंग शुरू करने के लिए, आपको अपने यूएनआई लॉगिन का उपयोग करने की आवश्यकता है, जो विभिन्न शैक्षणिक साइटों पर काम करता है, या मैन्युअल रूप से क्रेडेंशियल दर्ज करता है। हमने उपकरण का उपयोग नहीं किया है, इसलिए हम यह नहीं कह सकते हैं कि किन मामलों में मैनुअल प्रविष्टि का उपयोग किया जाता है। शायद यह उन छात्रों के लिए किया जाता है जिनके पास UNI लॉगिन नहीं है, जिन्हें हम संभव नहीं मानते हैं।

बाइनरी जानकारी

कार्यक्रम को एग्ज़िक्यूसी होम पेज से डाउनलोड किया जा सकता है। यह एक x86 .NET अनुप्रयोग है। संदर्भ के लिए, विश्लेषण बाइनरी MD5 हैश 63AFD8A8EC26C1DC368D8FF8710E337D 24 अप्रैल, 2019 को EXAMCOOKIE APS 63AFD8A8EC26C1DC368D8FF8710E337D हस्ताक्षर हैं। जैसा कि अंतिम लेख में दिखाया गया है, .NET बाइनरी के विश्लेषण को शायद ही रिवर्स इंजीनियरिंग कहा जा सकता है, क्योंकि आसानी से पढ़ा जाने वाला आईएल कोड और मेटाडेटा का संयोजन सही स्रोत कोड प्रदान करता है।

पिछले निगरानी कार्यक्रम के विपरीत, इस उपकरण के डेवलपर्स ने न केवल इसे डीबग लॉग से हटा दिया, बल्कि इसे भी बाधित कर दिया। कम से कम उन्होंने कोशिश की :-)

आक्षेप (आंसुओं के लिए हँसी)

जब हमने dnSpy में एप्लिकेशन खोला, तो हमने जल्दी से एक लापता प्रविष्टि बिंदु देखा:

 // Token: 0x0600003D RID: 61 RVA: 0x00047BB0 File Offset: 0x00045FB0 [STAThread] [DebuggerHidden] [EditorBrowsable(EditorBrowsableState.Advanced)] [MethodImpl(MethodImplOptions.NoInlining | MethodImplOptions.NoOptimization)] internal static void Main(string[] Args) { }

अजीब बात है, किसी प्रकार का आवरण आमतौर पर माना जाता है, यह मॉड्यूल के निर्माता से तरीकों के शरीर को बदलता है, जो वास्तविक प्रवेश बिंदु तक चलता है, आइए देखें:

 // Token: 0x06000001 RID: 1 RVA: 0x00058048 File Offset: 0x00055048 static <Module>() { <Module>.\u206B\u202B\u200B\u206F\u206C\u202D\u200D\u200E\u202D\u206B\u206F\u206F\u202C\u202A\u206B\u202E\u202A\u206C\u202A\u206C\u200B\u206A\u202D\u206C\u202C\u206C\u200F\u202C\u206C\u202C\u200C\u206A\u200C\u206C\u200B\u206B\u202B\u206E\u202C\u202B\u202E(); <Module>.\u206C\u200D\u200F\u200E\u200C\u200C\u200F\u200F\u206E\u206A\u206A\u200B\u202C\u206A\u206B\u200D\u206E\u200E\u202D\u206B\u202C\u206C\u202D\u206D\u200C\u200F\u206E\u200F\u206E\u206A\u202B\u206B\u200E\u206B\u202E\u206F\u206A\u202E\u202C\u202A\u202E(); <Module>.\u200B\u202D\u200F\u200F\u202A\u206D\u202C\u206B\u206E\u202A\u206F\u206C\u200D\u200C\u202D\u200F\u202B\u202C\u202B\u206D\u206D\u202D\u206E\u200D\u206D\u206A\u202A\u202C\u200C\u206F\u206B\u206E\u200D\u202E\u206F\u200C\u206B\u200E\u206D\u206A\u202E(); }

कूल। यह 2019 है, और लोग अभी भी कन्फ्यूसर (पूर्व) का उपयोग करते हैं।

हमने तुरंत इस अपघटन कोड को पहचान लिया और कोडांतरक हेडर की जाँच की:

  [मॉड्यूल: कन्फ्यूज्डबी ("कन्फ्यूज़र.कोर 1.1.0 +3636377a")]

फिलहाल, हमने सोचा था कि कोड वास्तव में obfuscated होगा, क्योंकि उपर्युक्त कंस्ट्रक्टर विधि के निकायों और संसाधनों को डिक्रिप्ट करता है। लेकिन, हमारी हैरानी की बात है, मोटापे के कारण डेवलपर ने फैसला किया ... मेटाडेटा का नाम नहीं बदलने के लिए:

यह रिवर्स इंजीनियरिंग के सभी चर्चा को मारता है। जैसा कि हमने पिछले लेख में कहा था, मैं एक उचित रूप से संरक्षित, उच्च-गुणवत्ता वाले निगरानी उपकरण की वास्तविक समस्या का सामना करना चाहूंगा, जिसके विश्लेषण में पांच मिनट से अधिक समय लगेगा।

किसी भी मामले में, किसी भी बाइनरी को कन्फ्यूज़र (पूर्व) द्वारा संरक्षित करना बहुत सरल है: .NET बिनरीज़ डम्पर या ब्रेक स्टेटमेंट ब्रेकपॉइंट का उपयोग <MODULE> .ctor में करें और अपने आप को डंप करें। प्रक्रिया में 30 सेकंड लगते हैं, और यह पैकर हमेशा मेरा पसंदीदा रहेगा, क्योंकि डिबग के खिलाफ सुरक्षा कभी भी काम नहीं करती है ।

हमने MegaDumper का उपयोग करने का निर्णय लिया: यह मैन्युअल रूप से डंपिंग की तुलना में थोड़ा तेज है:

ExamCookie बाइनरी को डंप करने के बाद, निम्न संदेश दिखाई देना चाहिए:

अब आपके पास सभी कोडांतरक अंशों के साथ एक निर्देशिका है जो इसी प्रक्रिया में डिक्रिप्टेड विधि निकायों के साथ लोड होती है।

जिसने भी इस आपत्ति को लागू किया है, भगवान का शुक्र है, कम से कम उसने लाइनों को एन्क्रिप्ट किया:

 else if (System.Windows.Forms.Clipboard.ContainsData(DataFormats.SymbolicLink)) { Module1.DebugPrint(<Module>.smethod_5<string>(1582642794u), new object[0]); } else if (System.Windows.Forms.Clipboard.ContainsData(DataFormats.Tiff)) { Module1.DebugPrint(<Module>.smethod_2<string>(4207351461u), new object[0]); } else if (System.Windows.Forms.Clipboard.ContainsData(DataFormats.UnicodeText)) { Module1.DebugPrint(<Module>.smethod_5<string>(3536903244u), new object[0]); } else if (System.Windows.Forms.Clipboard.ContainsData(DataFormats.WaveAudio)) { Module1.DebugPrint(<Module>.smethod_2<string>(2091555364u), new object[0]); }

हाँ, अच्छा पुराना स्ट्रिंग एन्क्रिप्शन कन्फ़्यूज़र (Ex), .NET की दुनिया में सबसे अच्छा छद्म सुरक्षा है। यह अच्छा है कि कन्फ़्यूज़र (Ex) को इतनी बार हैक किया गया था कि प्रत्येक तंत्र के लिए इंटरनेट पर डीबॉस्फैक्शन टूल उपलब्ध हैं, इसलिए हमने .NET से संबंधित किसी भी चीज़ को स्पर्श नहीं किया। बाइनरी डंप पर कोड क्रैकर से ConfuserExStringDecryptor चलाएं:

यह पिछले स्निपेट को इसमें परिवर्तित करता है:

 else if (System.Windows.Forms.Clipboard.ContainsData(DataFormats.SymbolicLink)) { Module1.DebugPrint("ContainsData.SymbolicLink", new object[0]); } else if (System.Windows.Forms.Clipboard.ContainsData(DataFormats.Tiff)) { Module1.DebugPrint("ContainsData.Tiff", new object[0]); } else if (System.Windows.Forms.Clipboard.ContainsData(DataFormats.UnicodeText)) { Module1.DebugPrint("ContainsData.UnicodeText", new object[0]); } else if (System.Windows.Forms.Clipboard.ContainsData(DataFormats.WaveAudio)) { Module1.DebugPrint("ContainsData.WaveAudio", new object[0]); }

उस एप्लिकेशन की सभी सुरक्षा, एक मिनट से भी कम समय में टूट गई ... हमने अपने टूल यहां पोस्ट नहीं किए, क्योंकि हमने उन्हें विकसित नहीं किया था और हमारे पास स्रोत कोड नहीं है। लेकिन जो कोई भी नौकरी दोहराना चाहता है, उन्हें Tuts4You पर पा सकते हैं। अब हमारे पास tuts4you खाता नहीं है, इसलिए हम दर्पणों से लिंक नहीं कर सकते।

कार्यक्षमता

आश्चर्यजनक रूप से, कोई वास्तविक "छिपी हुई कार्यक्षमता" नहीं मिली। जैसा कि वेबसाइट पर दिखाया गया है, निम्न जानकारी समय-समय पर सर्वर को भेजी जाती है:

प्रक्रिया सूची (प्रत्येक 5000 एमएस)
सक्रिय अनुप्रयोग (प्रत्येक 1000 एमएस)
क्लिपबोर्ड (प्रत्येक 500 एमएस)
स्क्रीनशॉट (प्रत्येक 5000 एमएस)
नेटवर्क एडेप्टर की सूची (प्रत्येक 20,000 एमएस)

शेष एप्लिकेशन बहुत उबाऊ है, इसलिए हमने संपूर्ण आरंभिक प्रक्रिया को छोड़कर सूचनाओं को कैप्चर करने के लिए जिम्मेदार कार्यों पर सीधे जाने का निर्णय लिया।

अनुकूलक

नेटवर्क एडेप्टर .NET NetworkInterface.GetAllNetworkInterfaces() फ़ंक्शन द्वारा इकट्ठे किए गए हैं, बिल्कुल पिछले लेख में :

 NetworkInterface[] allNetworkInterfaces = NetworkInterface.GetAllNetworkInterfaces(); foreach (NetworkInterface networkInterface in allNetworkInterfaces) { try { // ... // TEXT FORMATTING OMITTED // ... dictionary.Add(networkInterface.Id, stringBuilder.ToString()); stringBuilder.Clear(); } catch (Exception ex) { AdapterThread.OnExceptionEventHandler onExceptionEvent = this.OnExceptionEvent; if (onExceptionEvent != null) { onExceptionEvent(ex); } } } result = dictionary;

सक्रिय अनुप्रयोग

यह दिलचस्प हो रहा है। सभी खुली हुई खिड़कियों को पंजीकृत करने के बजाय, उपयोगिता केवल सक्रिय एप्लिकेशन को नियंत्रित करती है। कार्यान्वयन ओवरब्लाक है, इसलिए हम एक सुंदर छद्म कोड प्रस्तुत करते हैं:

 var whiteList = { "devenv", "ExamCookie.WinClient", "ExamCookie.WinClient.vshost", "wermgr", "ShellExperienceHost" }; // GET WINDOW INFORMATION var foregroundWindow = ApplicationThread.GetForegroundWindow(); ApplicationThread.GetWindowRect(foregroundWindow, ref rect); ApplicationThread.GetWindowThreadProcessId(foregroundWindow, ref processId); var process = Process.GetProcessById(processId); if (process == null) return; // LOG BROWSER URL if (IsBrowser(process)) { var browserUrl = UiAutomation32.GetBrowserUrl(process.Id, process.ProcessName); // SEND BROWSER URL TO SERVER if (ValidBrowserUrl(browserUrl)) { ReportToServer(browserUrl); } } else if (!whiteList.contains(process.ProcessName, StringComparer.OrdinalIgnoreCase)) { ReportToServer(process.MainWindowTitle); }

महान ... लोग अभी भी उन्हें अलग करने के लिए प्रक्रिया नामों का उपयोग करते हैं। वे कभी रुकते नहीं हैं और न ही सोचते हैं: "एक मिनट रुको, आप अपनी पसंद के अनुसार प्रक्रियाओं के नाम बदल सकते हैं," इसलिए हम इस सुरक्षा को सुरक्षित रूप से बायपास कर सकते हैं।

यदि आप किसी अन्य परीक्षा ट्रैकिंग कार्यक्रम के बारे में पिछला लेख पढ़ते हैं, तो आप शायद ब्राउज़रों के लिए इस सबपर कार्यान्वयन को पहचानेंगे:

 private bool IsBrowser(System.Diagnostics.Process proc) { bool result; try { string left = proc.ProcessName.ToLower(); if (Operators.CompareString(left, "iexplore", false) != 0 && Operators.CompareString(left, "chrome", false) != 0 && Operators.CompareString(left, "firefox", false) != 0 && Operators.CompareString(left, "opera", false) != 0 && Operators.CompareString(left, "cliqz", false) != 0) { if (Operators.CompareString(left, "applicationframehost", false) != 0) { result = false; } else { result = proc.MainWindowTitle.Containing("Microsoft Edge"); } } else { result = true; } } catch (Exception ex) { result = false; } return result; }

 private string GetBrowserName(string name) { if (Operators.CompareString(name.ToLower(), "iexplore", false) == 0) { return "IE-Explorer"; } else if (Operators.CompareString(name.ToLower(), "chrome", false) == 0) { return "Chrome"; } else if (Operators.CompareString(name.ToLower(), "firefox", false) == 0) { return "Firefox"; } else if (Operators.CompareString(name.ToLower(), "opera", false) == 0) { return "Opera"; } else if (Operators.CompareString(name.ToLower(), "cliqz", false) == 0) { return "Cliqz"; } else if (Operators.CompareString(name.ToLower(), "applicationframehost", false) == 0) { return "Microsoft Edge"; } return ""; }

और केक पर चेरी:

 private static string GetBrowserUrlById(object processId, string name) { // ... automationElement.GetCurrentPropertyValue(/*...*/); return url; }

यह वास्तव में पिछले लेख के समान ही कार्यान्वयन है। यह समझना मुश्किल है कि डेवलपर्स को अभी भी एहसास नहीं हुआ है कि यह कितना बुरा है। ब्राउज़र में कोई भी URL संपादित कर सकता है, यह प्रदर्शन करने लायक भी नहीं है।

वर्चुअल मशीन की खोज

वेबसाइट जो कहती है, उसके विपरीत, वर्चुअल मशीन में शुरू करने से एक झंडा सेट होता है। कार्यान्वयन है ... दिलचस्प है।

 File.WriteAllBytes("ecvmd.exe", Resources.VmDetect); using (Process process = new Process()) { process.StartInfo = new ProcessStartInfo("ecvmd.exe", "-d") { CreateNoWindow = true, UseShellExecute = false, RedirectStandardOutput = true }; process.Start(); try { using (StreamReader standardOutput = process.StandardOutput) { result = standardOutput.ReadToEnd().Replace("\r\n", ""); } } catch (Exception ex3) { result = "-5"; } }

खैर, किसी कारण से, वे डिस्क पर एक बाहरी बाइनरी लिखते हैं और इसे निष्पादित करते हैं, और फिर I / O परिणामों पर पूरी तरह से भरोसा करते हैं। यह वास्तव में अक्सर होता है, लेकिन एक अन्य असुरक्षित प्रक्रिया के लिए इस तरह के महत्वपूर्ण कार्य का हस्तांतरण ऐसा है। आइए देखें कि हम किस फ़ाइल के साथ काम कर रहे हैं:

तो अब हम C ++ का उपयोग करते हैं? खैर, इंटरऑपरेबिलिटी वास्तव में बुरा नहीं है। और इसका मतलब यह हो सकता है कि अब हमें वास्तव में रिवर्स इंजीनियरिंग (!!) पर काम करना होगा। आइए नजर डालते हैं आईडीए पर:

 int __cdecl main(int argc, const char **argv, const char **envp) { int v3; // ecx BOOL v4; // ebx int v5; // ebx int *v6; // eax int detect; // eax bool vbox_key_exists; // bl char vpcext; // bh char vmware_port; // al char *vmware_port_exists; // ecx char *vbox_detected; // edi char *vpcext_exists; // esi int v14; // eax int v15; // eax int v16; // eax int v17; // eax int v18; // eax int v20; // [esp+0h] [ebp-18h] HKEY result; // [esp+Ch] [ebp-Ch] HKEY phkResult; // [esp+10h] [ebp-8h] if ( argc != 2 ) goto LABEL_20; v3 = strcmp(argv[1], "-d"); if ( v3 ) v3 = -(v3 < 0) | 1; if ( !v3 ) { v4 = (unsigned __int8)vm_detect::vmware_port() != 0; result = 0; v5 = (vm_detect::vpcext() != 0 ? 2 : 0) + v4; RegOpenKeyExA(HKEY_LOCAL_MACHINE, "HARDWARE\\ACPI\\DSDT\\VBOX__", 0, 0x20019u, &result); v6 = sub_402340(); LABEL_16: sub_404BC0((int)v6, v20); return 0; } detect = strcmp(argv[1], "-s"); if ( detect ) detect = -(detect < 0) | 1; if ( !detect ) { LABEL_20: phkResult = 0; vbox_key_exists = RegOpenKeyExA(HKEY_LOCAL_MACHINE, "HARDWARE\\ACPI\\DSDT\\VBOX__", 0, 0x20019u, &phkResult) == 0; vpcext = vm_detect::vpcext(); vmware_port = vm_detect::vmware_port(); vmware_port_exists = "1"; vbox_detected = "1"; if ( !vbox_key_exists ) vbox_detected = "0"; vpcext_exists = "1"; if ( !vpcext ) vpcext_exists = "0"; if ( !vmware_port ) vmware_port_exists = "0"; result = (HKEY)vmware_port_exists; v14 = std::print((int)&dword_433310, "VMW="); v15 = std::print(v14, (const char *)result); v16 = std::print(v15, ",VPC="); v17 = std::print(v16, vpcext_exists); v18 = std::print(v17, ",VIB="); v6 = (int *)std::print(v18, vbox_detected); goto LABEL_16; } return 0; }

यह VMWare I / O पोर्ट 'VX' की उपस्थिति की पुष्टि करता है:

 int __fastcall vm_detect::vmware_port() { int result; // eax result = __indword('VX'); LOBYTE(result) = 0; return result; }

अगला, वर्चुअल पीसी एक्सटेंशन इंस्ट्रक्शन के निष्पादन की जांच की जाती है, जो कि वर्चुअलाइज्ड वातावरण में लॉन्च होने पर ही काम करना चाहिए, अगर यह गलत तरीके से संसाधित होने पर मशीन क्रैश का कारण न बने;):

 char vm_detect::vpcext() { char result; // al result = 1; __asm { vpcext 7, 0Bh } return result; }

... कोई वास्तविक रिवर्स इंजीनियरिंग, दो कार्यों का नाम बदलने के लिए केवल 30 सेकंड :(

यह प्रोग्राम केवल रजिस्ट्री कुंजी को पढ़ता है और दो हाइपरवाइज़र चेक चलाता है जो उनके अन्य प्रोग्राम की तुलना में अजीब दिखते हैं। मुझे आश्चर्य है कि उन्होंने इसे कहाँ कॉपी किया? ओह, देखो, एक लेख जिसका शीर्षक है "वर्चुअल (सिक) मशीनों की खोज के लिए तरीके" जो इन विधियों की व्याख्या करता है :)। किसी भी मामले में, इन डिटेक्ट वैक्टर को .vmx फ़ाइल को संपादित करके या अपनी पसंद के किसी भी हाइपरविजर के वर्धित संस्करण का उपयोग करके देखा जा सकता है।

डेटा सुरक्षा

जैसा कि पहले उल्लेख किया गया है, GDPR के अनुपालन के लिए एक जांच चल रही है, और उनकी वेबसाइट बताती है:

डेटा एन्क्रिप्ट किया गया है और एक सुरक्षित Microsoft Azure सर्वर पर भेजा गया है, जिसे केवल सही क्रेडेंशियल्स के साथ एक्सेस किया जा सकता है। परीक्षा के बाद, डेटा को तीन महीने तक संग्रहीत किया जाता है।

हमें पूरा यकीन नहीं है कि वे सर्वर की "सुरक्षा" का निर्धारण कैसे करते हैं, क्योंकि क्रेडेंशियल्स को एप्लिकेशन में हार्डकोड किया जाता है और मेटाडेटा संसाधनों में पूरी तरह से स्पष्ट पाठ में संग्रहीत किया जाता है:

  समापन बिंदु: https://examcookiewinapidk.azurewebsites.net
 उपयोगकर्ता नाम: VfUtTaNUEQ
 पासवर्ड: AwWE9PHjVc

हमने सर्वर की सामग्री की जांच नहीं की (यह अवैध है), लेकिन हम यह मान सकते हैं कि वहां पूर्ण पहुंच प्रदान की गई है। चूंकि आवेदन में खाता हार्डकोड किया गया है, इसलिए छात्र डेटा कंटेनरों के बीच कोई अलगाव नहीं है।

कानूनी अस्वीकरण: हम एपीआई क्रेडेंशियल प्रकाशित करने का अधिकार सुरक्षित रखते हैं क्योंकि वे एक सार्वजनिक बाइनरी फ़ाइल में संग्रहीत होते हैं और इसलिए अवैध रूप से प्राप्त नहीं होते हैं। हालांकि, दुर्भावनापूर्ण इरादे से उनका उपयोग करना स्पष्ट रूप से कानून का उल्लंघन करता है, इसलिए, हम दृढ़ता से अनुशंसा करते हैं कि पाठक किसी भी तरह से उपरोक्त क्रेडेंशियल्स का उपयोग न करें, और किसी भी संभावित कार्यों के लिए जिम्मेदार नहीं हैं।

चक्कर

चूंकि यह एप्लिकेशन डिजिटल परीक्षा मॉनिटर की अविश्वसनीय रूप से याद दिलाता है, इसलिए हमने एग्जाम को सपोर्ट करने के लिए सिर्फ ayyxam कोड अपडेट किया।

प्रक्रिया सूची

.NET प्रक्रिया इंटरफ़ेस आंतरिक रूप से ntdll!NtQuerySystemInformation सिस्टम कॉल का उपयोग करके डेटा को कैश करता है। इससे प्रक्रियाओं को छिपाने के लिए कुछ काम की आवश्यकता होती है, क्योंकि प्रक्रिया के बारे में जानकारी कई स्थानों पर इंगित की जाती है। सौभाग्य से, .NET केवल एक विशिष्ट प्रकार की जानकारी प्राप्त करता है, इसलिए आपको सभी लेटब्रोस विधियों का उपयोग नहीं करना होगा।

सक्रिय प्रक्रियाओं के सत्यापन को बायपास करने के लिए कोड।

 NTSTATUS WINAPI ayyxam::hooks::nt_query_system_information( SYSTEM_INFORMATION_CLASS system_information_class, PVOID system_information, ULONG system_information_length, PULONG return_length) { // DONT HANDLE OTHER CLASSES if (system_information_class != SystemProcessInformation) return ayyxam::hooks::original_nt_query_system_information( system_information_class, system_information, system_information_length, return_length); // HIDE PROCESSES const auto value = ayyxam::hooks::original_nt_query_system_information( system_information_class, system_information, system_information_length, return_length); // DONT HANDLE UNSUCCESSFUL CALLS if (!NT_SUCCESS(value)) return value; // DEFINE STRUCTURE FOR LIST struct SYSTEM_PROCESS_INFO { ULONG NextEntryOffset; ULONG NumberOfThreads; LARGE_INTEGER Reserved[3]; LARGE_INTEGER CreateTime; LARGE_INTEGER UserTime; LARGE_INTEGER KernelTime; UNICODE_STRING ImageName; ULONG BasePriority; HANDLE ProcessId; HANDLE InheritedFromProcessId; }; // HELPER FUNCTION: GET NEXT ENTRY IN LINKED LIST auto get_next_entry = [](SYSTEM_PROCESS_INFO* entry) { return reinterpret_cast<SYSTEM_PROCESS_INFO*>( reinterpret_cast<std::uintptr_t>(entry) + entry->NextEntryOffset); }; // ITERATE AND HIDE PROCESS auto entry = reinterpret_cast<SYSTEM_PROCESS_INFO*>(system_information); SYSTEM_PROCESS_INFO* previous_entry = nullptr; for (; entry->NextEntryOffset > 0x00; entry = get_next_entry(entry)) { constexpr auto protected_id = 7488; if (entry->ProcessId == reinterpret_cast<HANDLE>(protected_id) && previous_entry != nullptr) { // SKIP ENTRY previous_entry->NextEntryOffset += entry->NextEntryOffset; } // SAVE PREVIOUS ENTRY FOR SKIPPING previous_entry = entry; } return value; }

बफर

ole32.dll!OleGetClipboard , जो हुक के लिए अतिसंवेदनशील है, .NET में बफ़र्स के आंतरिक कार्यान्वयन के लिए जिम्मेदार है। आंतरिक संरचनाओं का विश्लेषण करने में बहुत समय बिताने के बजाय, आप बस S_OK वापस कर सकते हैं, और .NET त्रुटि हैंडलिंग बाकी काम करेंगे:

 std::int32_t __stdcall ayyxam::hooks::get_clipboard(void* data_object[[maybe_unused]]) { // LOL return S_OK; }

यह प्रोग्राम की कार्यक्षमता को परेशान किए बिना एग्जामिनेशन सर्विलांस टूल से पूरे बफर को छिपा देगा।

स्क्रीनशॉट

हमेशा की तरह, लोग वांछित फ़ंक्शन का एक तैयार-निर्मित .NET कार्यान्वयन लेते हैं। इस फ़ंक्शन को प्राप्त करने के लिए, हमें पिछले कोड में कुछ भी बदलना नहीं था। स्क्रीनशॉट Graphics.CopyFromScreen फ़ार्मस्क्रीन .NET फ़ंक्शन द्वारा नियंत्रित किए जाते हैं। यह अनिवार्य रूप से बिट ब्लॉकों को प्रसारित करने के लिए एक आवरण है, जिसे gdi32!BitBlt कहते हैं gdi32!BitBlt स्क्रीनशॉट लेने वाले एंटी-चीट सिस्टम से निपटने के लिए वीडियो गेम की तरह, हम स्क्रीनशॉट लेने से पहले बिटबॉल हुक का उपयोग कर सकते हैं और किसी भी अवांछित जानकारी को छिपा सकते हैं।

साइटों को खोलना

धरनेवाला URL पूरी तरह से पिछले कार्यक्रम से कॉपी किया गया है, इसलिए फिर से हम अपने कोड को पुन: उपयोग कर सकते हैं संरक्षण को बायपास करने के लिए। पिछले लेख में, हमने ऑटोमेशन की संरचना का दस्तावेजीकरण किया, जिसके परिणामस्वरूप निम्नलिखित हुक लॉन्च किया गया है:

 std::int32_t __stdcall ayyxam::hooks::get_property_value(void* handle, std::int32_t property_id, void* value) { constexpr auto value_value_id = 0x755D; if (property_id != value_value_id) return ayyxam::hooks::original_get_property_value(handle, property_id, value); auto result = ayyxam::hooks::original_get_property_value(handle, property_id, value); if (result != S_OK) // SUCCESS? return result; // VALUE URL IS STORED AT 0x08 FROM VALUE STRUCTURE class value_structure { public: char pad_0000[8]; //0x0000 wchar_t* value; //0x0008 }; auto value_object = reinterpret_cast<value_structure*>(value); // ZERO OUT OLD URL std::memset(value_object->value, 0x00, std::wcslen(value_object->value) * 2); // CHANGE TO GOOGLE.COM constexpr wchar_t spoofed_url[] = L"https://google.com"; std::memcpy(value_object->value, spoofed_url, sizeof(spoofed_url)); return result; }

वर्चुअल मशीन की खोज

एक आभासी मशीन का आलसी पता लगाने को दो तरीकों से दरकिनार किया जा सकता है: 1) एक प्रोग्राम का एक पैच जिसे डिस्क में फ्लश किया जाता है; या 2) डमी एप्लिकेशन के लिए प्रक्रिया निर्माण प्रक्रिया का पुनर्निर्देश। उत्तरार्द्ध स्पष्ट रूप से सरल लगता है :)। इसलिए, आंतरिक रूप से प्रक्रिया। Process.Start() CreateProcess कॉल करता है, इसलिए बस हुक करें और इसे किसी भी डमी एप्लिकेशन पर पुनर्निर्देशित करें जो वर्ण '0' प्रिंट करता है।

 BOOL WINAPI ayyxam::hooks::create_process( LPCWSTR application_name, LPWSTR command_line, LPSECURITY_ATTRIBUTES process_attributes, LPSECURITY_ATTRIBUTES thread_attributes, BOOL inherit_handles, DWORD creation_flags, LPVOID environment, LPCWSTR current_directory, LPSTARTUPINFOW startup_information, LPPROCESS_INFORMATION process_information ) { // REDIRECT PATH OF VMDETECT TO DUMMY APPLICATION constexpr auto vm_detect = L"ecvmd.exe"; if (std::wcsstr(application_name, vm_detect)) { application_name = L"dummy.exe"; } return ayyxam::hooks::original_create_process( application_name, command_line, process_attributes, thread_attributes, inherit_handles, creation_flags, environment, current_directory, startup_information, process_information); }

डाउनलोड

पूरा प्रोजेक्ट जीथब रिपॉजिटरी में उपलब्ध है । प्रोग्राम x86 बाइनरी को संबंधित प्रक्रिया में इंजेक्ट करके काम करता है।

परीक्षा ट्रैकिंग: ExamCookie

ExamCookie

बाइनरी जानकारी

आक्षेप (आंसुओं के लिए हँसी)

कार्यक्षमता

अनुकूलक

सक्रिय अनुप्रयोग

वर्चुअल मशीन की खोज

डेटा सुरक्षा

चक्कर

प्रक्रिया सूची

बफर

स्क्रीनशॉट

साइटों को खोलना

वर्चुअल मशीन की खोज

डाउनलोड

More articles: