TurboFan kodu optimize ederken "bu değerler hep küçük tamsayı olacak" gibi varsayımlar yapıyor ve her varsayımın önüne bir guard koyuyordu. Bugünkü yazıda o varsayımları bilerek bozup motorun ne yaptığına baktım.
Fuzzing serisinin ikinci bölümünde gerçek V8 motorunu derledim; a + b gibi basit bir ifadenin TurboFan tarafından nasıl makine koduna çevrildiğini ve ilk güvenlik ipuçlarını adım adım izledim.
İlk aşamalarda olmasa da ilerleyen süreçte Chrome’un açık kaynaklı versiyonu olan Chromium üzerinde çalışmalara devam etme planım bulunuyor.
In this article, I will give some solutions when writing code for Windows Kernel driver or C++. Especially these are solutions when try to set up VS Studio on VM and start to write codes.
Topic is the Arbitrary Memory Overwrite vulnerability, also known as Write-What-Where. Our goal is essentially to overwrite a pointer in the Kernel Dispatch Table (where) with the address of our shellcode (what).
On the user mode side: whenever an application runs, Windows creates a process for it. Within that process, Windows allocates a private virtual address space exclusively for that application. Because this address space belongs to only one application, other applications cannot modify it.
In this article, I will give you information about taking executable files which are inside dump files. If I talk about our scenario, there is a dump file from *s*vchost.exe that look suspicious.
Nearly every process in the operating system architecture is defined within the EPROCESS structure. Inside this structure, we can access all information — such as memory regions — belonging to the processes we examine.
We specify the path of our file named HEVD.sys, which can be exploited from the DriverPath section. We set Service Start*to Automatic.
PIN is dynamic binary analysis tool for x86/64 and MIC instruction -set architectures. I started to use it for tracing and deobfuscating malware.
We can also take a look at our malicious file on IDA Pro before proceeding with unpacking. Especially in the process of the unpacking process to make our easier in advance.
According to the published vulnerability, this vulnerability exists in Adobe Flash Player 28.0.0.137 and below. The vulnerability was distributed via malicious Office documents.
My primary disassembler is IDA Pro. There is one drawback worth mentioning though: if I recall correctly, the free version dropped x86 support around 2017, which was actually one of my reasons for setting up an x64 VM.
After a long time, I wrote a short article. I created new virtual lab environment with win7x86. Then I tried to run a script that ended with .ps1 on PowerShell but there was a some errors. The main reason for the mistake is as follows:
As can be understood from my previous articles, I was doing malware analysis. It will take time to deal with the issues encountered in the beginning. So I will explain these experiences.
Tüm Portable Executable dosyalarında, her bir dosyanın ilk 64 baytını kapsayan bir DOS Header (üst bilgi) ile başlıyor. Programların DOS’tan çalıştırılması durumunda DOS, bunu bir yürütülebilir bir dosya olarak tanımlayabilir ve header’dan hemen sonra depolanan DOS stub’ı çalıştırabilir.
APortable Executable (PE) Windows’un çalıştırılabilir dosya formatıdır. 1993 yılında Windows tarafından tasarlanan bu format, TIS (tool interface standard) Komitesi (Microsoft, Intel, Borland, Watcom, IBM ve diğerleri) tarafından standartlandırılmıştır.
AntiVM ile ilgili kod bölümüne gittiğimde VirtualBox Guest Additions ile ilgili bir kısma rastlıyoruz. Anladığım kadarıyla zararlı VB Guest Additions’ın yüklü olduğu fark ettiği andan itibaren çalışmasını durduracak.
Hybrid-Analysis üzerinden indirdiğim dosyayı ilk olarak DnSpy’da açmaya kalktığım zaman giriş noktasının (entry point) ve değişkenlerin (variables) tam olarak belli olmadığını fark ediyorum. Bu yüzden zararlı dosyamızı daha okunur hale getirmek için De4dot aracını kullanıyorum.
