Как получить хендл библиотеки

M0rg0t,

Во первых это врядле возможно выполнить на данный момент, учитывая что механизмы защиты 10-ки вполне не известны, а мс другие версии не признаёт рабочими(судя по релизу сборки виндебаг, да её скачать даже нельзя).

Ну а во вторых что тс нужно в этом модуле ?
Там в основном загрузчик и ртл функции, копирование и конверсия строк к примеру. Ему нужны ядерные сервисы, те их фильтровать.

Ну а в 3-их, даже из км образы не изменить. Оно проецируется в одну сторону и проекции между собой не связаны. Да, можно изменить источник в ядре(до отображения), но это сложно сделать, да и имея ядерный доступ такое не нужно.

 

Про отладчик на все процессы до сегодня не слышал, Инде. Да я уже лет пять ничего такого не слышал

 

TrashGen,

Отладчик это образно сказано, по цели самого механизма(просто стратует указанный процесс с командной строкой). Этот механизм и в XP есть и в 8-ке, но это не нэйтив(те не в nt-загрузчике). Туда же пишется и верифер, IFEO - конфигурация теневая апп формируемая по имени апп.

 

Можно еще у этого дядьки трюки позаимствовать. В любом случае это бесполезно, руткит в юм - гиблое дело. Разве что от юзверя прятаться, но тогда можно просто внедрить свой код в explorer ( или куда там обычно инжектятся) и все.

 

админ нужен, и это уже давно Sysinternals Autorun подсвечивает... но да, это работает...

 

Ну так то да, идея бредовая, хотя в ХР вроде работало. Но тут какой вопрос, такой и ответ.

в КМ дров нужен (т.е. скилл написания его) и особый серт.

 

ну в теории известные малварщики обходятся без серта, нужно только найти уязвимый драйвер с действующей подписью, грузить его, экспуатировать уязвимость в нем - и ты в км... не помню по номерам, но многие апт так делали... но так да, нужно еще подумать о патч-гарде, об аверах, которые тож в км обитают и тд... по мне куда проще инжектиться в экплорер или аркестратор браузера (тот процесс, что живет в обычном интегрити левеле), и оттуда уже что-то делать... надо просто иметь ввиду, что какой бы ты крутой км руткит не сделал, все равно найдется тупой оператор для этого руткита, который сумеет наследить в ивент логах или еще где наоставлять артефактов, которые в итоге все спалят... в венде для форенсики просто пруд пруди фич...

 

В км, но в левой памяти, которая не принадлежит какому либо модулю. Следовательно функционал ограничен, вечный access_denied, а еще патчгуард. Короче нужно гораздо больше работы проделать, чтобы из этого что-то вышло. Думаю APTшники так не надрываются и сертификаты просто достают где-нибудь, их спонсируют все таки.

 

А причём тут руткиты, про них, аверов, сокрытие и тп речи небыло. Как бы тс хотел какие то манипуляции выполнить с образов в целевом процессе. Какие есчо обходы, если он не понимает что такое описатель, адресное пространство и прочие базовые понятия. Кто то не читая тему пришёл рассказывать про облом аверов, не уместно.

--- Сообщение объединено, 11 июн 2019 ---

hiddy,

> Можно еще у этого дядьки трюки позаимствовать.

Ионеску копается в свежих билдах ос и описывет новые механизмы. Они не имеют обратной совместимости с младшими версиями ос. Это очень специфическая инфа, там ничего интересного не публикуется. Загрузил последний билд ос, покопался и описал. Этот чел работает чисто на пиар, своей работы(разработок) у него нет и небыло, тупо ковыряние в ядре. Так что там читать нечего.

 

Про сокрытие и тп речь была.

 

Кстати, когда-то думал над такой темой , но я не шарю в КМ (совсем).
Насколько вообще реально юзать чужой драйвер? Ну вот взять дров от каспера или еще что - смогу ли я его загрузить в своей программе? Или нужно именно бажный дров и там искать дыру, чтобы выполнить свой ШК?

 

именно...