रूटकिट्स (DKOM) के साथ छिपने की प्रक्रिया का सिद्धांत

इस लेख में हम रूटकिट्स के साथ जानकारी को छिपाने के सबसे गंभीर तरीकों में से एक सिद्धांत पर विचार करने की कोशिश करेंगे, अर्थात् कर्नेल ऑब्जेक्ट्स का प्रत्यक्ष हेरफेर (डायरेक्ट कर्नेल ऑब्जेक्ट मैनिपुलेशन, डीकेओएम ), एक पूरे के रूप में ऑपरेटिंग सिस्टम से प्रक्रियाओं को छिपाने के लिए उपयोग किया जाता है। यदि आप एक स्क्रिप्ट किडी हैं , तो "विंडोज में छिपाने की प्रक्रिया!" पढ़ें। चलिए शुरू से शुरू करते हैं:
हमारे मामले में, रूटकिट कर्नेल मॉड्यूल है ( विंडोज के मामले में, चालक) ऑपरेटिंग सिस्टम की प्रबंधन क्षमताओं (अंत में, रूट और किट) का विस्तार करने के लिए उपयोग किया जाता है। हम इसके प्रशासक या हमलावर के बीच अंतर नहीं करेंगे। रूटकिट ऑपरेटिंग सिस्टम के शून्य रिंग (तथाकथित रिंग 0 ) पर चलता है। विंडोज के मामले में, इसे सिस्टम पर सही (जरूरी नहीं कि प्रलेखित विधियों) की स्थापना की आवश्यकता होती है, जो एक नियम के रूप में, व्यवस्थापक अधिकारों की आवश्यकता होती है। ध्यान दें कि वस्तुओं से हमारा मतलब है कि रैम में संरचनाएं जो ऑपरेटिंग सिस्टम में एक प्रक्रिया का वर्णन करती हैं (मैं Microsoft से प्रलेखन के संदर्भ में भ्रम के लिए दोष को स्थानांतरित करूंगा)। रैम में, इन समान ऑब्जेक्ट्स की दोहरी लिंक की गई सूची में रनिंग प्रोसेस के बारे में जानकारी संग्रहीत होती है।

कोड के करीब
WinXP के लिए वास्तविक, बाकी जो NT की तुलना में पुराने हैं, मैं उसी तरह से सोचता हूं।
और इसलिए, हम पहले से ही रिंग० में हैं (हम यहां कैसे पहुंचे यह एक और कहानी है)। हम एक प्रोसेसर हैं जो कार्यान्वित चालक के कोड का अनुसरण करते हैं और हम एक तर्क के साथ प्रक्रिया को छिपाने के कार्य में जुट गए - DKOM का उपयोग कर। प्रक्रियाओं की पौराणिक दोगुनी लिंक की गई सूची पर जाने के लिए, हमें इस सूची से कम से कम एक तत्व खोजने की आवश्यकता है। जानवर बल द्वारा खोज तर्कसंगत नहीं है, खासकर जब हम अपनी प्रक्रिया के लिए एक संकेतक पा सकते हैं। आइए देखें कि हम इसे कैसे करेंगे। कोड के क्रम में, हम PsGetCurrentProcces फ़ंक्शन का सामना करते हैं। सौभाग्य से हम एक प्रोसेसर हैं और हम जानते हैं कि यह कुछ भी नहीं है

mov eax, fs:0x00000124
mov eax, [eax + 0x44]
ret

ऑफसेट 0x124 पर रजिस्टर fs, वर्तमान थ्रेड की ETHREAD संरचना से अधिक कुछ भी नहीं है, जिसमें ऑफसेट 0x44 में इस धारा के मालिक होने वाली प्रक्रिया की संरचना के लिए एक संकेतक निहित है। इस प्रकार हमें अपनी प्रक्रिया के लिए एक संकेतक मिलता है। शेष सरल है। प्रत्येक संरचना में प्रक्रिया श्रृंखला में पिछली और अगली प्रक्रिया के लिए एक संकेतक होता है। हम आवश्यक पीड के साथ प्रक्रिया के लिए संकेत का पालन करते हैं। बिंदुओं की एक तुच्छ हेरफेर करते समय जो एक दोहरी लिंक की गई सूची से एक प्रक्रिया को बाहर करता है, यह ओएस को प्रक्रिया के अस्तित्व के बारे में भूल जाता है (कम से कम जबकि यह अपने सामान्य तरीकों से दिखता है)। छिपी हुई प्रक्रिया के लिए एरेस को याद किया जा सकता है, अगर हम इसे ऑपरेशन में वापस करना चाहते हैं।
प्रश्न का अनुमान लगाते हुए, मैं उत्तर देता हूं: एक छिपी हुई प्रक्रिया सामान्य रूप से कार्य करती रहती है क्योंकि ओएस प्रोसेसर समय को प्रक्रियाओं को नहीं बल्कि थ्रेड्स को आवंटित करता है।

समापन
सिद्धांत रूप में, इस धोखाधड़ी का पता लगाना एक असंभव काम नहीं है। फिर भी, अधिकांश एंटीवायरस शांति में आते हैं, जब चालक खुद ही चिंतन करता है, और इसके निष्पादन के दौरान।
यह रूटकिट्स के साथ प्रक्रियाओं को छिपाने का एकमात्र तरीका नहीं है। लेकिन DKOM उनमें से एक के रूप में सबसे अगोचर (शायद लंबे समय तक नहीं) में से एक के रूप में बाहर खड़ा है, क्योंकि यह सीधे संसाधित किए जा रहे डेटा पर काम करता है, और इसे संसाधित करने के साधनों पर नहीं। यह भी ध्यान रखें कि DKOM न केवल प्रक्रियाओं के लिए प्रासंगिक है।

पुनश्च
व्यापक संभव सीमा तक जानकारी पहुंचाने के लिए सब कुछ बहुत सारगर्भित है। तकनीकी विवरण लोड करना सभी के लिए सुखद नहीं होगा, लेकिन जो लोग रुचि रखते हैं, उनके लिए आसानी से Google होगा।
मैंने लंबे समय तक सोचा कि किस ब्लॉग को शामिल करना है, मैंने सिस्टम प्रोग्रामिंग और इसके बीच चुना। लेकिन प्रोग्रामिंग के विषय का खुलासा शायद ही यहां किया गया है, इसलिए मैंने इसे चुना, यह कैसे होता है इसके बारे में जानकारी के रूप में ...

यदि यह दिलचस्प है, तो मैं अन्य लोकप्रिय तरीकों के बारे में बात करूँगा।