15-04-2010, 12:49 PM
السلام عليكم و رحمة الله
ما شاء الله حلول جيدة
حل التمرين الأول:
تم تزوير بصمات الملفات المرفقة لمحاولة تخطي الفحص الآلي.
طريقة التزييف:
- إضافة سكشن جديدة.
- تحويل نقطة دخول البرنامج Entrypoint إلى السكشن الجدية.
- ملئ السكشن ببصمة حقيقية تستطيع أدوات الفحص كشفها، كإضافة بصمة Visual basic لتطبيق تمت برمجته بــ Delphi مثلا.
- طبعا يجب مراعاة إعادة تنظيم هيكل الملفات التنفيذية للحصول على تطبيق يعمل بطريقة صحيحة.
التطبيق الأصلي الغير مزيف مبرمج بــ Assembly
حل التمرين الثاني:
حل التمرين يتطلب قوة الملاحظة عند فحص التمرين في أدوات PE Editors و معرفة عامة عن أنواع التطبيقات...
تم التلاعب بالجزء الخاص بــ Subsystem من نوع Win32 GUI إلى OS/2Console يكفي المقارنة بين الملف المعطوب و الأصلي لاكتشاف التغيير و مكانه.
الآن سؤال: كيف تم تخطي كشف البصمة المزيفة ؟
ما شاء الله حلول جيدة
حل التمرين الأول:
تم تزوير بصمات الملفات المرفقة لمحاولة تخطي الفحص الآلي.
طريقة التزييف:
- إضافة سكشن جديدة.
- تحويل نقطة دخول البرنامج Entrypoint إلى السكشن الجدية.
- ملئ السكشن ببصمة حقيقية تستطيع أدوات الفحص كشفها، كإضافة بصمة Visual basic لتطبيق تمت برمجته بــ Delphi مثلا.
- طبعا يجب مراعاة إعادة تنظيم هيكل الملفات التنفيذية للحصول على تطبيق يعمل بطريقة صحيحة.
التطبيق الأصلي الغير مزيف مبرمج بــ Assembly
حل التمرين الثاني:
حل التمرين يتطلب قوة الملاحظة عند فحص التمرين في أدوات PE Editors و معرفة عامة عن أنواع التطبيقات...
تم التلاعب بالجزء الخاص بــ Subsystem من نوع Win32 GUI إلى OS/2Console يكفي المقارنة بين الملف المعطوب و الأصلي لاكتشاف التغيير و مكانه.
الآن سؤال: كيف تم تخطي كشف البصمة المزيفة ؟