Windows应用层实现VmWare穿透读写-实现无签名驱动加载

渗透技巧 1年前 (2023) admin
344 0 0

Windows应用层实现VmWare穿透读写-实现无签名驱动加载

本文为看雪论坛优秀文章

看雪论坛作者ID:学技术打豆豆


写这篇,最开始是无聊。后面想想在windows三环直接操控VmWare里面WIN10的内存,这不就相当于实现了一套简易版的windows内存解析,对学习和了解内存是非常方便的事情,甚至说对了解整个windows内核都是一个有益的事情。


因为实现这么个框架的话,我在三环就可以随意修改内核里面的数据,去验证和学习底层知识(如内存、注册表、对象管理器等等),抱着这样的目的,差不多写了两个星期,完成了一个简易版的框架(DEMO),里面的知识仅仅需要一点点C语言、汇编、PE、保护模式、windows内核方面的知识,就能了解原理。


因为里面的知识大部分都是网上有的,我只是这些代码的搬运工然后糅合成一个工程,里面我写了大量的注释,让不会的哥们也能一目了然,先上效果图。


具体原理就直接看代码吧,里面的注释写的比较完善。


0x1 效果图(三环加载无签名驱动,目标机:windows10 1909)


Windows应用层实现VmWare穿透读写-实现无签名驱动加载



0x2 代码注释图

Windows应用层实现VmWare穿透读写-实现无签名驱动加载

Windows应用层实现VmWare穿透读写-实现无签名驱动加载


0x3 注意事项


因为我这段时间需要准备应付面试找工作了,这个DEMO有很多未完成的地方,有可能以后会完成,有可能过了这个兴趣时间,懒得写了,有兴趣的哥们可以自行完善,上面的内存解析,我只完成了部分功能(已经可以完成我目前的需求),pagefile.sys/subsection/win10的压缩内存解析我暂时没写,这个解析不难,麻烦的是需要调用VmWare的磁盘API去读扇区然后解析NTFS,这个对于我来说,需要浪费很多时间,以后有空再写。


所以,我走了一个捷径:关闭win10的分页文件,重启!后续完成了上面的NTFS解析后再来测试这一块。

Windows应用层实现VmWare穿透读写-实现无签名驱动加载

Windows应用层实现VmWare穿透读写-实现无签名驱动加载

未完成的地方,我都写了断点。


还有这种应用层写内核的shellcode,编译需要非常小心,按照下面即可,我也写了注释,如果不懂,你就不用动了,看那段代码即可。

Windows应用层实现VmWare穿透读写-实现无签名驱动加载


0x4 最后

         

DEMO

liangfei44/VmWareThrough (github.com)

https://github.com/liangfei44/VmWareThrough




Windows应用层实现VmWare穿透读写-实现无签名驱动加载


看雪ID:学技术打豆豆

https://bbs.kanxue.com/user-home-814951.htm

*本文由看雪论坛 学技术打豆豆 原创,转载请注明来自看雪社区

Windows应用层实现VmWare穿透读写-实现无签名驱动加载

# 往期推荐

1、wibu软授权

2、Win10 x64 APC的分析与玩法

3、记一次某推上的session利用trick

4、记录一下从编译的角度还原VMP的思路

5、Galgame汉化中的逆向:动态汉化分析-以AZsystem引擎为例

6、记录调试Windows服务操作


Windows应用层实现VmWare穿透读写-实现无签名驱动加载


Windows应用层实现VmWare穿透读写-实现无签名驱动加载

球分享

Windows应用层实现VmWare穿透读写-实现无签名驱动加载

球点赞

Windows应用层实现VmWare穿透读写-实现无签名驱动加载

球在看


Windows应用层实现VmWare穿透读写-实现无签名驱动加载

点击“阅读原文”,了解更多!

原文始发于微信公众号(看雪学苑):Windows应用层实现VmWare穿透读写-实现无签名驱动加载

版权声明:admin 发表于 2023年3月13日 下午6:00。
转载请注明:Windows应用层实现VmWare穿透读写-实现无签名驱动加载 | CTF导航

相关文章

暂无评论

您必须登录才能参与评论!
立即登录
暂无评论...