搜索

[17076] 2021-07-27_如何使用FalconEye实时检测Windows进程注入行为

文档创建者：s7ckTeam
浏览次数：16
最后更新：2025-01-18
2021-07-27_如何使用FalconEye实时检测Windows进程注入行为 如 何 使 用 F a l c o n E y e 实 时 检 测 W i n d o w s 进 程 注 入 行 为 A l p h a _ h 4 c k   F r e e B u f   2 0 2 1 - 0 7 - 2 7 关 于 关 于 F a l c o n E y e F a l c o n E y e 是 一 款 功 能 强 大 的 W i n d o w s 终 端 安 全 检 测 工 具 ， 可 以 帮 助 广 大 研 究 人 员 实 时 检 测 W i n d o w s 进 程 注 入 行 为 。 F a l c o n E y e 也 是 一 个 内 核 模 式 驱 动 工 具 ， 旨 在 实 现 实 时 的 进 程 注 入 行 为 。 由 于 F a l c o n E y e 需 要 以 内 核 模 式 运 行 ， 它 可 以 提 供 一 个 强 大 可 靠 的 安 全 防 御 机 制 来 抵 御 那 些 尝 试 绕 过 各 种 用 户 模 式 钩 子 的 进 程 注 入 技 术 。 工 具 架 构 工 具 架 构 F a l c o n E y e 驱 动 器 是 一 种 按 需 加 载 的 驱 动 程 序 ； 初 始 化 包 括 通 过 l i b i n f i n i t y h o o k 设 置 回 调 和 s y s c a l l 钩 子 ；
回 调 维 护 从 跨 流 程 活 动 （ 如 O p e n P r o c e s s ） 构 建 的 P i d s 的 映 射 ， 但 不 限 于 O p e n P r o c e s s ； 随 后 的 回 调 和 s y s c a l l 钩 子 使 用 这 个 P i d 映 射 来 减 少 处 理 中 的 噪 声 ； 作 为 降 噪 的 一 部 分 ， s y s c a l l 钩 子 可 以 过 滤 掉 相 同 的 进 程 活 动 ； 检 测 逻 辑 分 为 多 种 子 类 ， 即 无 状 态 （ 例 如 ： A t o m b o m b i n g ） 、 有 状 态 （ U n m a p + O v e r w r i t e ） 和 浮 动 代 码 （ 多 种 技 术 实 现 的 S h e l l c o d e ） ； 针 对 有 状 态 的 检 测 ， s y s c a l l 钩 子 会 记 录 一 个 A c t i o n H i s t o r y （ 历 史 活 动 ） ， 比 如 说 ， 它 会 记 录 所 有 的 N t W r i t e V i r t u a l M e m o r y 调 用 ； 检 测 逻 辑 具 有 常 见 的 异 常 检 测 功 能 ， 如 浮 动 代 码 检 测 和 远 程 进 程 中 S h e l l c o d e 触 发 器 的 检 测 。 回 调 和 s y s c a l l 钩 子 都 会 调 用 这 个 公 共 功 能 来 进 行 实 际 检 测 ； 需 要 注 意 的 是 ， 我 们 的 重 点 一 直 是 检 测 任 务 本 身 ， 而 不 是 创 建 一 个 高 性 能 的 检 测 引 擎 。 项 目 目 录 结 构 项 目 目 录 结 构 工 具 要 求 工 具 要 求 W i n d o w s   1 0   B u i l d   1 9 0 3 / 1 9 0 9 M i c r o s o f t   V i s u a l   S t u d i o   2 0 1 9 V m W a r e 、 H y p e r - V 等 虚 拟 化 软 件 工 具 安 装 工 具 安 装 项 目 构 建 项 目 构 建 使 用 M i c r o s o f t   V i s u a l   S t u d i o   2 0 1 9 打 开 解 决 方 案 ； 选 择 x 6 4 作 为 构 建 平 台 ； 构 建 解 决 方 案 ， 此 时 将 在 “ s r c k e r n e l F a l c o n E y e x 6 4 D e b u g ” 或 “ s r c k e r n e l F a l c o n E y e x 6 4 R e l e a s e ” 路 径 下 生 成 s y s 源 码 ； 测 试 设 备 部 署 测 试 设 备 部 署 在 虚 拟 机 中 安 装 好 W i n d o w s   1 0   B u i l d   1 9 0 3 / 1 9 0 9 ； . ├ ─ ─   s r c │       ├ ─ ─   F a l c o n E y e   - - - - - - - - - - - - - - - - - - - - - - - - - - - #   F a l c o n E y e   u s e r   a n d   k e r n e l   s p a c e │       └ ─ ─   l i b i n f i n i t y h o o k   - - - - - - - - - - - - - - - - - - - - - #   K e r n e l   h o o k   i m p l e m e n t a t i o n ├ ─ ─   2 0 2 1 B H A S I A _ F a l c o n E y e . p d f └ ─ ─   R E A D M E . m d
配 置 虚 拟 机 以 测 试 未 签 名 的 驱 动 程 序 ， 使 用 b c d e d i t ， 禁 用 完 整 性 检 测 ： 在 虚 拟 机 中 运 行 D b g V i e w ， 或 使 用 W i n D b g 开 启 一 个 调 试 连 接 ； 工 具 使 用 工 具 使 用 我 们 需 要 将 s y s 文 件 拷 贝 到 测 试 设 备 （ W i n d o w s   1 0 虚 拟 机 ） 中 ； 使 用 O S R 加 载 器 或 类 似 的 工 具 ， 以 “ 按 需 ” 加 载 驱 动 器 的 形 式 加 载 s y s ； 运 行 类 似 p i n j e c t r a 或 m i n j e c t o r 之 类 的 注 入 测 试 工 具 ； 通 过 W i n D b g 或 D b g V i e w 监 控 调 试 日 志 ； 项 目 地 址 项 目 地 址 F a l c o n E y e ： 【 点 击 底 部 阅 读 原 文 获 取 】 精 彩 推 荐 精 彩 推 荐 B C D E D I T   / s e t   n o i n t e g r i t y c h e c k s   O N
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理