Работа с Image File Execution Options на Ассемблере

Не так давно я выкладывал статью про использование Image File Execution Options, где обещал провести эксперименты на Ассемблере. Всю теорию про IFEO вы можете прочитать по приведенной ссылке, дублировать я ее тут не буду.

Начнем с установки перехватчика. Тут все просто, создаем ключ в реестре, затем в нем создаем параметр "Debugger" с указанием пути к нашему файлу.Удаление перехватчика тоже не должно вызывать сложностей. Можно просто грохнуть параметр "Debugger", это будет правильно в случае с системными приложениями типа браузеров. Для пользовательских приложений лучше удалять соответствующую ветку реестра целиком, чтобы не засорять систему своим мусором:Для всех этих операций может потребоваться запуск с правами Администратора, а также при должной настройке может сработать UAC.

При запуске программы-жертвы система запускает отладчик, передавая ему в качестве параметра командной строки полный путь запуска программы. Разобрать командную строку можно самостоятельно или с помощью какого-нибудь готового решения, это уже на ваше усмотрение. Итак, у нас есть путь запуска жертвы. Выполнив все необходимое в отладчике, необходимо запустить жертву, но просто так запустить ее нельзя. При попытке вызвать WinExec, ShellExecute(Ex) и иже с ними мы получим просто новый запуск отладчика. Обойти это поведение можно при помощи функции CreateProcess с флагом DEBUG_PROCESS. Ну логично, чо, мы же взяли на себя функцию отладчика, вот и надо ей соответствовать. Но нельзя просто указать этот флаг в параметрах запуска, придется также реализовать процесс отладки, пусть и в самом примитивном виде.При завершении дочернего процесса мы завершаем работу и выходим из процесса отладчика. Существенный минус такой реализации перехвата заключается в том, что процесс-жертва может легко обнаружить факт нашего вмешательства при помощи банального IsDebuggerPresent. Еще один минус, что процесс отладчика должен постоянно висеть в памяти до момента окончания работы программы-жертвы, а это дополнительное палево. Как я понимаю, автор зловреда из первоначальной статьи или не осилил написание своего цикла отладчика, или решил не заморачиваться с запуском оригинальных браузеров, чтобы не палиться на отладке. Впрочем, может быть просто на говносайте были размещены какие-то эксплойты, заточенные под Internet Explorer. Сейчас это уже не узнать.

Мне стало интересно, а можно ли сделать так, чтобы и наш отладчик запустился, и жертва об этом ничего не узнала? Подумал, потестировал, в итоге получилось следующее:При получении управления отладчик первым делом удаляет ключ Debugger из реестра, тем самым "освобождая" жертву. Теперь ее можно запускать любым способом, хоть через WinExec, хоть через CreateProcess без флага отладки. Запустив дочерний процесс, отладчик возвращает ключ отладки обратно в реестр и завершает работу. В памяти не висит ничего лишнего, жертва запущена в обычном режиме, перехватчик для следующих запусков на месте. Цель достигнута.

В приложении примеры программ с исходными текстами для установки классического отладчика и отладчика с альтернативной обработкой.

Комментарии

Добавить комментарий

Для вставки цитаты выделите текст и нажмите сюда

Имя*:

Текст комментария (не более 2000 символов)*:

*Все поля обязательны для заполнения.

Комментарии, содержащие рекламу, ненормативную лексику, оскорбления и т.п., а также флуд и сообщения не по теме, будут удаляться. Нарушителям может быть заблокирован доступ к сайту.