+- delphi4arab منتديات دلفي للعرب (https://delphi4arab.net/forum)
+-- قسم : منتديات دلفي الأخرى (https://delphi4arab.net/forum/forumdisplay.php?fid=4)
+--- قسم : الامن و تحليل التطبيقات البرمجية (https://delphi4arab.net/forum/forumdisplay.php?fid=31)
+--- الموضوع : Home work 01 (/showthread.php?tid=1845)
الصفحات:
1
2
Home work 01 - STRELiTZIA - 15-04-2010
السلام عليكم و رحمة الله
ما شاء الله حلول جيدة
حل التمرين الأول:
تم تزوير بصمات الملفات المرفقة لمحاولة تخطي الفحص الآلي.
طريقة التزييف:
- إضافة سكشن جديدة.
- تحويل نقطة دخول البرنامج Entrypoint إلى السكشن الجدية.
- ملئ السكشن ببصمة حقيقية تستطيع أدوات الفحص كشفها، كإضافة بصمة Visual basic لتطبيق تمت برمجته بــ Delphi مثلا.
- طبعا يجب مراعاة إعادة تنظيم هيكل الملفات التنفيذية للحصول على تطبيق يعمل بطريقة صحيحة.
التطبيق الأصلي الغير مزيف مبرمج بــ Assembly
حل التمرين الثاني:
حل التمرين يتطلب قوة الملاحظة عند فحص التمرين في أدوات PE Editors و معرفة عامة عن أنواع التطبيقات...
تم التلاعب بالجزء الخاص بــ Subsystem من نوع Win32 GUI إلى OS/2Console يكفي المقارنة بين الملف المعطوب و الأصلي لاكتشاف التغيير و مكانه.
الآن سؤال: كيف تم تخطي كشف البصمة المزيفة ؟
Home work 01 - kachwahed - 15-04-2010
وعليكم السلام ورحمة الله
أعطيتني فكرة، ربما يكون هناك في المستقبل محل لـ"صيانة الملفات التنفيذية":blink:
إقتباس :الآن سؤال: كيف تم تخطي كشف البصمة المزيفة ؟لا أدري إن كان بالإمكان تغيير البصمة الأصلية مع الحفاظ على سلامة الملف.
Home work 01 - STRELiTZIA - 16-04-2010
السلام عليكم و رحمة الله
إقتباس :الآن سؤال: كيف تم تخطي كشف البصمة المزيفة ؟تكشف البصمة المزيفة اعتمادا على حجم السكشن المضافة لانه في اغلب الأحيان يكون حجم السكشن التي تحوي البصمة المزيفة صغير، اذا لتخطي الكشف يكفي اضافة بايتات Junkcode للسكشن الجديدة.
إقتباس :لا أدري إن كان بالإمكان تغيير البصمة الأصلية مع الحفاظ على سلامة الملف.هل تقصد البصمة الأساسية الحقيقية و ليس البصمة المزيفة المضافة في السكشن الجديدة ؟
نعم يمكن التلاعب ببايتات البصمة الأساسيةالحقيقية دون اضافة اي سكشن للملف مثل بعض PE Infectors التي تقوم بباتشيغ للبصمة و توزيع بايتاتها في الــ Padding اعتمادا على قفزات jumps و Nops
و تعتبر هذه الطريقة Anti fake signature detector.
ساحاول ان شاء الله وضع تطبيق للفكرة لتسهيل فهمها.