搜索

[16277] 2021-01-03_使用wsb-detect检测你是否在Windows沙盒中

文档创建者：s7ckTeam
浏览次数：16
最后更新：2025-01-18
2021-01-03_使用wsb-detect检测你是否在Windows沙盒中 使 用 w s b - d e t e c t 检 测 你 是 否 在 W i n d o w s 沙 盒 中 A l p h a _ h 4 c k   F r e e B u f   2 0 2 1 - 0 1 - 0 3 w s b - d e t e c t 概 述 概 述 w s b - d e t e c t 可 以 帮 助 广 大 研 究 人 员 判 断 应 用 程 序 当 前 是 否 在 W i n d o w s   S a n d b o x （ W S B ） 中 运 行 。 众 所 周 知 ， W i n d o w s D e f e n d e r 会 使 用 沙 盒 来 进 行 动 态 分 析 ， 而 且 很 多 安 全 分 析 都 是 需 要 在 沙 盒 中 手 动 执 行 的 。 在 2 0 1 9 年 底 ， 微 软 推 出 了 名 为 W i n d o w s   S a n d b o x （ 简 称 W S B ） 的 新 功 能 。 W i n d o w s   S a n d b o x 允 许 我 们 在 1 5 秒 内 快 速 创 建 一 个 基 于 H y p e r - V 的 虚 拟 机 ， 该 虚 拟 机 具 有 常 见 虚 拟 机 所 具 备 的 所 有 特 性 ， 比 如 说 剪 贴 板 共 享 和 映 射 目 录 等 。 该 沙 盒 也 是 M i c r o s o f t   D e f e n d e r   A p p l i c a t i o n   G u a r d （ W D A G ） 的 基 础 ， 用 于 在 支 持 H y p e r - V 的 主 机 上 进 行 动 态 分 析 ， 并 且 可 以 在 任 何 W i n d o w s   1 0 专 业 版 或 企 业 版 计 算 机 上 启 用 。 技 术 细 节 技 术 细 节 w s b _ d e t e c t _ t i m e 沙 盒 的 镜 像 似 乎 是 在 2 0 1 9 年 1 2 月 7 日 （ 星 期 六 ） 上 午 9 : 1 4 : 5 2 制 作 的 ， 此 时 正 是 W i n d o w s   s a n d b o x 向 公 众 发 布 的 时 间 。 此 检 查 交 叉 引 用 m o u n t m g r 驱 动 程 序 上 的 创 建 时 间 戳 。 w s b _ d e t e c t _ u s e r n a m e 此 方 法 将 检 查 当 前 用 户 名 是 否 为 W D A G U t i l i t y U s e r A c c o u n t ， 即 沙 盒 中 默 认 使 用 的 帐 户 。 w s b _ d e t e c t _ s u f f i x 此 方 法 将 使 用 g e t A d a p t e r A d d r e s s e s 遍 历 适 配 器 列 表 ， 并 将 D N S 后 缀 与 m s h o m e . n e t 进 行 比 对 ， 而 后 者 是 沙 盒 默 认 使 用 的 。
w s b _ d e t e c t _ d e v 检 查 是 否 可 以 打 开 原 始 设 备 . G L O B A L R O O T d e v i c e v m s m b ， 该 设 备 用 于 通 过 S M B 与 主 机 通 信 。 w s b _ d e t e c t _ c m d 启 动 时 ， 在 H K E Y   U   L O C A L _ M A C H I N E 的 R u n O n c e 键 下 搜 索 一 个 命 令 ， 该 命 令 将 密 码 设 置 为 永 不 过 期 。 w s b _ d e t e c t _ o f f i c e 检 查 当 前 根 驱 动 器 中 的 O f f i c e P a c k a g e s F o r W D A G ， 该 驱 动 器 似 乎 用 于 W i n d o w s   D e f e n d e r   M i c r o s o f t   O f f i c e 模 拟 。 w s b _ d e t e c t _ p r o c 检 查 C E x e c S v c . e x e ， 这 是 一 个 容 器 执 行 服 务 ， 负 责 处 理 大 量 复 杂 的 事 情 。 w s b _ d e t e c t _ g e n u i n e 当 涉 及 到 沙 盒 检 测 时 ， 这 是 一 种 更 通 用 的 方 法 ， 但 是 从 测 试 来 看 ， W i n d o w s 在 虚 拟 机 中 似 乎 没 有 被 验 证 为 合 法 的 。 其 他 其 他 另 外 ， 通 过 检 查 是 否 可 以 创 建 一 个 名 为 W i n d o w s S a n d b o x M u t e x 的 互 斥 体 ， 可 以 在 主 机 上 检 测 沙 盒 是 否 正 在 运 行 。 这 样 可 以 限 制 每 一 台 主 机 只 能 运 行 一 个 虚 拟 机 ， 不 过 我 们 可 以 通 过 复 制 句 柄 并 调 用 R e l e a s e M u t e x - v i o l a 来 释 放 这 个 互 斥 体 ， 以 此 来 获 取 多 个 虚 拟 机 实 例 。 w s b - d e t e c t 下 载 下 载 广 大 研 究 人 员 可 以 使 用 下 列 命 令 将 该 工 具 源 码 克 隆 至 本 地 ， 随 后 可 以 在 我 们 的 代 码 中 直 接 调 用 ： w s b - d e t e c t 使 用 使 用 d e t e c t . h 这 个 头 文 件 可 以 导 出 w s b - d e t e c t 的 所 有 检 测 功 能 函 数 ： g i t   c l o n e   h t t p s : / / g i t h u b . c o m / L l o y d L a b s / w s b - d e t e c t . g i t # i n c l u d e   < s t d i o . h > # i n c l u d e   " d e t e c t . h " i n t   m a i n ( i n t   a r g c ,   c h a r * *   a r g v ) {     / /   e x a m p l e   v m s m b   &   u s e r n a m e   c h e c k
项 目 地 址 项 目 地 址 w s b - d e t e c t ： h t t p s : / / g i t h u b . c o m / L l o y d L a b s / w s b - d e t e c t 精 彩 推 荐 精 彩 推 荐     / /   e x a m p l e   v m s m b   &   u s e r n a m e   c h e c k     i f   ( w s b _ d e t e c t _ d e v ( )   | |   w s b _ d e t e c t _ u s e r n a m e ( ) )     {         p u t s ( " W e ' r e   i n   W i n d o w s   S a n d b o x ! " ) ;         r e t u r n   0 ;     }     r e t u r n   1 ; }
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理