1. Если вы только начинаете программировать на ассемблере и не знаете с чего начать, тогда попробуйте среду разработки ASM Visual IDE
    (c) на правах рекламы
    Скрыть объявление

Рефакторинг C кода 5к$

Тема в разделе "WASM.COMMERCE", создана пользователем example, 20 мар 2019.

Метки:
  1. example

    example New Member

    Публикаций:
    0
    Регистрация:
    25 апр 2017
    Сообщения:
    29
    За хорошую оплату ищу ответственного исполнителя по чистке си кода.

    Проект: https://github.com/rapid7/metasploit-payloads/tree/master/c/meterpreter
    Задача:
    1. Поставить msf.
    2. Поставить NOD32, Kaspersky, Symantec, TrendMicro на виртуальные машины.
    3. Воспроизввести детекты на каждом ав.
    4. Разобраться в причинах детектов и детально описать.
    5. Переписать код избавившись от детектов.

    Прайс: 5к$ btc
    Требования к соискателю - порядочность, честность, пунктуальность.
     
  2. example

    example New Member

    Публикаций:
    0
    Регистрация:
    25 апр 2017
    Сообщения:
    29
    UP. 10k$ PM.
     
  3. Indy_

    Indy_ Well-Known Member

    Публикаций:
    4
    Регистрация:
    29 апр 2011
    Сообщения:
    2.517
    Не нужно ничего устанавливать. п5 не резолвится никак, детект не по самому коду, а по используемым техникам. Смотрим https://github.com/rapid7/Reflectiv...17a621f33647d644103/inject/src/LoadLibraryR.c

    Код (Text):
    1. 208             // alloc memory (RWX) in the host process for the image...
    2. 209             lpRemoteLibraryBuffer = VirtualAllocEx( hProcess, NULL, dwLength, MEM_RESERVE|MEM_COMMIT, PAGE_EXECUTE_READWRITE );
    3. 210             if( !lpRemoteLibraryBuffer )
    4. 211                 break;
    5. 212
    6. 213             // write the image into the host process...
    7. 214             if( !WriteProcessMemory( hProcess, lpRemoteLibraryBuffer, lpBuffer, dwLength, NULL ) )
    8. 215                 break;
    9. 216
    10. 217             // add the offset to ReflectiveLoader() to the remote library address...
    11. 218             lpReflectiveLoader = (LPTHREAD_START_ROUTINE)( (ULONG_PTR)lpRemoteLibraryBuffer + dwReflectiveLoaderOffset );
    12. 219
    13. 220             // create a remote thread in the host process to call the ReflectiveLoader!
    14. 221             hThread = CreateRemoteThread( hProcess, NULL, 1024*1024, lpReflectiveLoader, lpParameter, (DWORD)NULL, &dwThreadId );
    15. 222
    16.  
    Это проактивка заблокирует. Но есчо до этого возможно сама система. Инжект примитивный времён винхп.
     
    M0rg0t нравится это.
  4. ormoulu

    ormoulu Member

    Публикаций:
    0
    Регистрация:
    24 янв 2011
    Сообщения:
    267
    Вроде ничего из этого проблемой быть не должно.
     
  5. Indy_

    Indy_ Well-Known Member

    Публикаций:
    4
    Регистрация:
    29 апр 2011
    Сообщения:
    2.517
    ormoulu,

    Как это не проблема ?
    Кто же тебе даст удалённые потоки создавать, сдурел что ле ?
     
    sl0n нравится это.
  6. ormoulu

    ormoulu Member

    Публикаций:
    0
    Регистрация:
    24 янв 2011
    Сообщения:
    267
    Полагаю, тс нужен шелл, а набор используемых техник его мало волнует, лишь бы работало и не детектилось.
     
  7. sn0w

    sn0w Member

    Публикаций:
    0
    Регистрация:
    27 фев 2010
    Сообщения:
    633
    хз, зачем новый тред когда можно существующий заюзать. я так с проактивкой дрвеба делал в том году, сейчас хз палит ли.
     
  8. superakira

    superakira Active Member

    Публикаций:
    0
    Регистрация:
    2 июн 2008
    Сообщения:
    479
    ormoulu, +1 и это нормально. другой вопрос, что нудная работа. а ТС вроде адекватный (я не работал с ним просто общался)
     
  9. Indy_

    Indy_ Well-Known Member

    Публикаций:
    4
    Регистрация:
    29 апр 2011
    Сообщения:
    2.517
    sn0w,

    Много лет назад, когда все ядерные фильтры ав были совершенно дырявыми, drweb не использовал сервисную фильтрацию, а ставил стандартный OB-фильтр https://docs.microsoft.com/en-us/windows-hardware/drivers/ddi/content/wdm/nf-wdm-obregistercallbacks. Проще говоря он блокировал манипуляции с описателями, нп открытие процесса или референс на описателе. Да и не проактивка это, а файловый ав. Который не рабочий.

    На этом кстате строился его детект - читался сервисный фрейм, в младших версиях системы можно было снять км-бэктрейс. Даже был для этого реализован мотор, в нём включался сервисный лог, вызывалось множество тестовых сервисов, затем лог обрабатывался.
     
    Последнее редактирование: 28 мар 2019
  10. sn0w

    sn0w Member

    Публикаций:
    0
    Регистрация:
    27 фев 2010
    Сообщения:
    633
    концепт который я задумал - я и не проверял. а что если один процесс мапит пейлоад а другой перехватывает и/или устанавливает контексты? ведь проактивный паттерн основан на последовательности действий одного процесса.

    и Инде, вы забываете, мы не из под LPE работаем, а с юзермодом.
     
    Последнее редактирование: 30 мар 2019