Windows - Yavuz Han

Windows Internals - Çekirdek Modül Adresini bulma

Çekirdek modüllerinden biri olan ntoskrnl modülü her zaman temel adresi (base address) pMods->Module\[0\].ImageBase olan ilk giriştir. Diğer modüller için listeyi dolaşıp her bir girişin FullPathName‘i, hedef modülün taban adresini alması ile karşılaştırabiliriz.

Windows

Process Injection Teknikleri 2 - Process Hollowing ve Atombombing

Zararlı yazılımları yazan kişiler veya grupların tespitlerden kaçabilmek için geliştirdiği diğer tekniklerden biride Atombombing tekniğidir. Yanlış araştırmadıysam eğer ilk olarak Ensilo araştırma ekibi tarafından fark edilmiş. Daha sonra ise 2017 yılında banking trojan kategorisindeki

Windows

Process Injection Teknikleri 3 – Hook Injection ve IAT/Inline Hooking

IAT hooking ve inline hooking genel olarak user space rootkits methodları olarak bilinirler. Zararlı yazımlar IAT hooking tekniğini import address tablolarında değişiklikler yapmak için kullanırlar. Yasal veya normal bir uygulama bir DLL içerisinde bulunan bir API’yi çağırdığında, değiştirilen

Windows

Process Injection Teknikleri

DLL injection yöntemi malware yazanlar tarafından günümüzde en çok tercih edilen yöntemlerin başında geliyor. Zararlı yazılımlar bu yöntem ile zararsız bir işlemin (process) hafızasına yerleşir ve uzaktaki bir işlemin çağrılmasında bir köprü vazifesi görür.

Windows

Win7'de PowerShell'i Enable duruma getirme

Uzun bir aradan sonra kısa bir yazıyla karşınızdayım. Kurduğum lab ortamında (win7x86) bir tane .ps1 ile biten bir scripti PowerShell üzerinden çalıştırmayı denedim fakat karşıma bir hata çıktı.

Windows

Portable Executable Dosya Formatı – PE Header (Seri 3)

PE Header, IMAGE_NT_HEADERS olarak adlandırılan genel yapının bir terimidir. Bu yapı yükleyici (loader) tarafından kullanılan temel bilgileri içeriyor. IMAGE_NT_HEADERS üç üyeye sahiptir ve windows.inc içerisinde tanımlanmıştır.

Windows

Portable Executable Dosya Formatı - DOS Header (Seri 2)

Tüm Portable Executable dosyalarında, her bir dosyanın ilk 64 baytını kapsayan bir DOS Header (üst bilgi) ile başlıyor. Programların DOS’tan çalıştırılması durumunda DOS, bunu bir yürütülebilir bir dosya olarak tanımlayabilir ve header’dan hemen sonra depolanan DOS stub’ı çalıştırabilir.

Windows

Portable Executable Dosya Formatı (Seri 1)

Portable Executable (PE) Windows’un çalıştırılabilir dosya formatıdır. 1993 yılında Windows tarafından tasarlanan bu format, TIS (tool interface standard) Komitesi (Microsoft, Intel, Borland, Watcom, IBM ve diğerleri) tarafından standartlandırılmıştır.