Zer0Kernel Security Community — 🐧 Разработка ОС и исследование защиты

Как работает стандартная загрузка DLL​

1. Открывает файл DLL на диске и считывает PE-заголовок.
   
2. Выделяет память через NtMapViewOfSection — создаёт секцию, привязанную к файлу, и проецирует её в адресное пространство процесса.
   
3. Копирует секции в адресное пространство процесса.
   
4. Применяет релокации, если базовый адрес отличается от предпочтительного.
   
5. Разрешает импорты: находит адреса функций в зависимых DLL.
   
6. Вызывает DllMain с причиной DLL_PROCESS_ATTACH.
   
7. Добавляет модуль в список InLoadOrderModuleList структуры PEB_LDR_DATA.
   

Что делает MemoryModule иначе​

1. Парсинг PE-заголовка. Из буфера извлекаются IMAGE_DOS_HEADER, IMAGE_NT_HEADERS, таблица секций, директории импортов и релокаций.
   
2. Выделение памяти. Вызывается VirtualAlloc с флагом MEM_RESERVE | MEM_COMMIT и защитой PAGE_EXECUTE_READWRITE (или поэтапно с изменением прав). Размер — SizeOfImage из optional header.
   
3. Копирование секций. Каждая секция копируется из исходного буфера в...

Почему возникают хуки и зачем их обходят​

; Оригинальный пролог NtAllocateVirtualMemory:
4C 8B D1          mov r10, rcx
B8 XX XX 00 00    mov eax, <SSN>
0F 05             syscall
C3                ret

; После хука EDR:
E9 XX XX XX XX    jmp <hook_handler>
...

Механика извлечения SSN​

Структура экспорта ntdll.dll​

PPEB pPeb = (PPEB)__readgsqword(0x60);
PLDR_DATA_TABLE_ENTRY pLdr = (PLDR_DATA_TABLE_ENTRY)
    ((PBYTE)pPeb->LoaderData->InMemoryOrderModuleList.Flink->Flink - 0x10);
ULONG_PTR uModule = (ULONG_PTR)(pLdr->DllBase);

Структура таблицы импорта в PE-файле​

typedef struct _IMAGE_IMPORT_DESCRIPTOR {
    union {
        DWORD Characteristics;
        DWORD OriginalFirstThunk;   // RVA к INT (Import Name Table)
    };
    DWORD TimeDateStamp;
    DWORD ForwarderChain;
    DWORD Name;                     // RVA к имени DLL (ASCII)
    DWORD FirstThunk;               // RVA к IAT (Import Address Table)
} IMAGE_IMPORT_DESCRIPTOR;

• INT (Import Name Table) — содержит RVA к структурам IMAGE_IMPORT_BY_NAME с именами функций. Используется загрузчиком для разрешения импортов.
  
• IAT (Import Address Table) — после загрузки содержит реальные адреса функций в памяти. До загрузки дублирует INT.
  

Что даёт сокрытие таблицы импорта​

• Перечислить вызываемые API по имени.
  
• Определить набор используемых DLL без дополнительных эвристик.
  
• Построить граф вызовов на...

Что представляет собой модуль на уровне формата​

Жизненный цикл модуля​

Загрузка (insmod / modprobe)​

1. Ядро читает ELF-заголовок и проверяет секции.
   
2. Разрешаются зависимости: ядро ищет все символы, которые модуль импортирует, среди уже загруженных модулей и встроенного ядра.
   
3. Если включён CONFIG_MODVERSIONS, CRC каждого импортируемого символа сравнивается с CRC, записанным в __versions модуля. Несоответствие — отказ в загрузке.
   
4. Выделяется память под код и данные модуля.
   
5. Выполняются релокации.
   
6. Вызывается функция инициализации, указанная макросом...

Почему direct syscalls усложняют детектирование​

Типичная последовательность системных вызовов при инъекции​

Что видит ядро: объектный менеджер и аудит​

Суть техники в одном абзаце​

Почему атакующие выбирают именно этот путь​

Механика атаки шаг за шагом​

1. Выбор жертвенного модуля. Атакующий подбирает DLL, который с высокой вероятностью уже загружен в целевой процесс или может быть загружен без побочных эффектов. Часто используются setupapi.dll, version.dll, dbghelp.dll и другие модули, которые редко вызываются напрямую.
   
2. Загрузка модуля. Если модуль ещё не загружен, атакующий вызывает LoadLibraryA или LoadLibraryExA в целевом процессе (напрямую или через CreateRemoteThread). Если модуль уже загружен — используется его текущий базовый адрес.
   
3. Определение целевой функции. Через GetProcAddress находится адрес...

Что такое mapped memory и зачем он нужен атакующему​

Два типа отображаемых файлов​

Механика локальной инъекции​

1. CreateFileMappingW(INVALID_HANDLE_VALUE, NULL, PAGE_EXECUTE_READWRITE, 0, payloadSize, NULL) — создаёт анонимный раздел с правами на исполнение.
   
2. MapViewOfFile(hFile, FILE_MAP_WRITE | FILE_MAP_EXECUTE, 0, 0, payloadSize) — проецирует раздел в текущий процесс.
   
3. memcpy копирует шеллкод в полученный адрес.
   

#include <windows.h>
#include <stdio.h>

BOOL LocalMapInject(IN PBYTE pPayload, IN SIZE_T sPayloadSize, OUT...

Что такое системный вызов и зачем он нужен​

Полный путь: от строки кода до возврата​

1. Приложение вызывает библиотечную функцию-обёртку (glibc wrapper).
   
2. Обёртка помещает номер syscall и аргументы в регистры CPU.
   
3. Выполняется инструкция перехода в режим ядра (syscall на x86-64).
   
4. CPU переключается в Ring 0, управление передаётся точке входа ядра.
   
5. Ядро сохраняет регистры, извлекает номер syscall, находит обработчик в таблице.
   
6. Обработчик выполняется, результат записывается в регистр возврата.
   
7. Ядро восстанавливает контекст и выполняет инструкцию возврата в userspace (sysret на x86-64).
   
8. Обёртка glibc интерпретирует результат: при ошибке устанавливает errno и возвращает −1.
   

Пользовательская сторона: обёртка glibc​

• Копирует аргументы в нужные регистры.
  
• Выполняет инструкцию syscall.
  
• После возврата проверяет результат: если ядро вернуло отрицательное число в диапазоне ошибок, обёртка инвертирует знак, записывает значение в errno и возвращает −1 вызывающему коду.
  

Что такое API Hooking и зачем он нужен​

Классификация методов перехвата​

Inline Hooking: патч первых байтов функции​

Трамплин на x86-64​

mov r10, <адрес_перехватчика>   ; 10 байт: 49 BA + 8 байт адреса
jmp r10                          ; 3 байта: 41 FF E2

Трамплин на x86​

mov eax, <адрес_перехватчика>   ; 5 байт: B8 + 4 байта адреса
jmp eax                          ; 2 байта: FF...

Как устроена очередь APC​

DWORD QueueUserAPC(
  PAPCFUNC  pfnAPC,   // указатель на функцию для выполнения
  HANDLE    hThread,   // дескриптор целевого потока
  ULONG_PTR dwData     // параметр, передаваемый в функцию
);

Alertable-состояние: обязательное условие выполнения​