+- delphi4arab منتديات دلفي للعرب (https://delphi4arab.net/forum)
+-- قسم : منتديات دلفي الأخرى (https://delphi4arab.net/forum/forumdisplay.php?fid=4)
+--- قسم : الامن و تحليل التطبيقات البرمجية (https://delphi4arab.net/forum/forumdisplay.php?fid=31)
+--- الموضوع : WinVerifyTrust - Bypass (/showthread.php?tid=2687)
WinVerifyTrust - Bypass - STRELiTZIA - 08-01-2011
السلام عليكم و رحمة الله
محاولة تغيير القيمة المرجعة و جعلها Signed للفحص الذي يمر عبر wintrust.dll->WinVerifyTrust المسؤول عن تحديد مصداقية التطبيقات على نظام الــ Windows.
الفكرة مبنية على:
1- Dll Hijacking exploit
2- حقن الكود من الــ User-mode
WinVerifyTrust user-mode hook to return SIGNED result everytime.
Vba32arkit (VirusBlokAda Ltd)
Process Explorer (Sysinternals)
sigcheck (Sysinternals)
Flash demo and fake library link:
hxxp://www.mediafire.com/?y5fclyy1y2voeff
Vba32arkit (VirusBlokAda Ltd)
Process Explorer (Sysinternals)
sigcheck (Sysinternals)
Flash demo and fake library link:
hxxp://www.mediafire.com/?y5fclyy1y2voeff
بالتوفيق ان شاء الله
WinVerifyTrust - Bypass - مبرمج هاوي - 09-01-2011
ما شاء الله فكرة جميله جدا لاستغلال ثغرات ال DLL hijacking
يعطيك العافية على الشرح
هل اصدارات الويندوز المتقدمه مثل 7 و vista يوجد بها هذا الملف ام لا !
WinVerifyTrust - Bypass - STRELiTZIA - 09-01-2011
السلام عليكم و رحمة الله
نعم اخي الكريم...
نظام 7 يحتوي على نفس المكتبة و حقن الكود فيها يتم بدون مشاكل...
و كل الأدوات التي تعتمد على ما ترجعه دالة WinVerifyTrust سوف يحصلون على نتيجة ايجابية حتى و ان كان الملف المفحوص لا يحتوي على بصمة مصداقية الفحص.
الاشكال يكمن هو في Dll Hijacking exploit، لان بعد تحميل المكتبة يمكنك من فعل ما تشاء و تنفيذ اي اوامر سواء حقن اوامر خبيثة او تعطيل خصائص من البرنامج المستهدف، او.....
بالتوفيق ان شاء الله