Po utworzeniu aplikacji ASP.NET MVC (.NET 4.5) w środowisku Visual Studio 2019 i próbie uruchomienia otrzymano następujący błąd: System.IO.FileLoadException ...

Dzisiaj do laboratorium trafił plik o nazwie Podręczniki oprogramowania.exe. Jednak nazwę pliku można nadać dowolną i nie jest to dobry identyfikator. Lepiej jest obliczyć funkcje skrótu (tzw. hash), które wyróżniają się tym, że nawet najmniejsza zmiana w danych wejściowych powoduje dużą zmianę zwróconej wartości.

Termin botnet można najprościej zdefiniować jako sieć komputerów zainfekowanych złośliwym oprogramowaniem, które pozwala złemu hakerowi (istnieją też dobrzy, etyczni hakerzy — przyp. Mr. At) na sterowanie skompromitowanymi maszynami. Mały botnet zaczyna się, gdy zainfekowane jest od kilkuset do kilku tysięcy maszyn. Historia może poświadczyć, że armia komputerów zombie potrafiła rozrosnąć się do liczby milionów botów.

W październiku 2009 r. podjąłem studia I stopnia (inżynierskie) na kierunku Informatyka w Państwowej Wyższej Szkole Zawodowej im. Stanisława Pigonia w Krośnie (aktualna nazwa – rok 2020 – to Karpacka Państwowa Uczelnia). W trakcie studiów pracowałem nad książką „Asembler. Leksykon kieszonkowy” (ISBN: 978-83-246-4347-9), która została wydana w kwietniu 2012 roku. Chociaż „książka” to zbyt wygórowane określenie.

Początkiem września 2020 r. postanowiłem usunąć prowadzony fanpage na pewnym portalu społecznościowym. Cała procedura musiała i miała trwać dwa tygodnie i to nie przez to, że operacje na bazie danych są aż tak powolne.

Szesnastkowy system liczbowy (nazywany też heksadecymalnym) do zapisu liczb korzysta z cyfr od 0 do 9 oraz liter od A do F. Razem jest to szesnaście znaków. Nie wiem kto, ale ktoś był tak genialny, że wymyślił by z tego zbioru znaków tworzyć słowa. Niektórzy czytelnicy może spotkali w kodzie albo gdzieś indziej zapis np. 0xDEADBEEF, 0xDEADC0DE, 0x00000BAD czy inne.

Określenie nanomit kojarzy się z mikroskopijnym robotem wielkości rzędu nanometrów. Taką też nazwę nadano znanej od długiego czasu, ale wciąż używanej metodzie przeciwko inżynierii odwrotnej kodu (ang. RCE). A dokładnie przeciwko odbudowie kodu analizowanej aplikacji ze zrzutu pamięci procesu. W prostych słowach technika ta polega na wstrzykiwaniu (zamianie) określonych instrukcji (przeważnie skoków — JZ, JNZ, JC etc.) w języku Asembler na rozkazy przerwania INT 3h określane nanomitami.

Ten wpis zawiera opis prostej i znanej metody przeciwko inżynierii odwrotnej kodu (RCE). Jej zasada działania polega na wykrywaniu czy okno określonego narzędzia (np. debuggera, disassemblera, piaskownicy, hex edytora itp.) jest uruchomione. W przypadku wykrycia danego narzędzia analizowana aplikacja może zmienić swój przepływ wykonania, czyli działać inaczej niż zwykle.

Zbiór metod określanych jako honeypot (z ang. beczułka z miodem) jest znany od dość dawna. Nie są one powiązane ściśle z określoną technologią, dlatego honeypot należy rozumieć jako: idea, filozofia, mechanizm działania czy metoda działania. W prostych słowach jest to pewien zasób cyfrowy, który służy jako przynęta. Może to być na przykład: urządzenie w sieci, moduł witryny internetowej, usługa sieciowa i tym podobne.

Każdy początkujący, który interesuje się analizą i zwalczaniem złośliwego oprogramowania (malware) powinien poznać sposób działania kodu relokowalnego (ang. relocatable code) określanego też jako kod niezależny od miejsca w pamięci (ang. position–independent code) czy wstrzykiwalny (ang. injectable).

Nazwą zawartą w tytule (Web Parameter Tampering) określa się zbiór podatności w aplikacjach internetowych, które polegają na manipulowaniu parametrami używanych podczas przesyłania żądań GET czy POST.

Podatność określana skrótem CSRF (czasem XSRF), która występuje w aplikacjach webowych polega na fałszowaniu żądania poprzez złośliwą stronę tak, aby na docelowej witrynie wykonała się niezamierzona przez użytkownika akcja. Jeśli użytkownik odwiedza zamierzoną stronę www, a np. w nowej zakładce przeglądarki otworzy złośliwy link, to możliwe jest przesłanie żądania do podatnej witryny, korzystając z aktywnej sesji/uwierzytelnienia.

W tym wpisie zaprezentowano prostą metodę, która pozwala oszukać deasemblery, a w połączeniu z dodatkowymi technikami (Kod samo-modyfikujący się i inne) może nieco utrudnić pracę crackerom łamiącym zabezpieczenia oprogramowania. Nawet jeśli nie zabezpieczasz software'u, to zapraszam do lektury, gdyż kto wie czy kiedyś pod debuggerem nie spotkasz pliku zawierającego tę metodę.

Pliki wykonywalne, których tak często się używa w systemie Windows mogą być nieco owiane tajemnicą dla osób niezajmujących się programowaniem niskopoziomowym i inżynierią odwrotną kodu (ang. RCE). Pliki wykonywalne z rozszerzeniem *.exe, które tak często uruchamiasz jako użytkownik, a może i budujesz jako programista posiadają określony format nazywany PE (z ang. przenośny wykonywalny) oraz zmodyfikowaną wersję PE32+.

W tym wpisie opisano w skrócie najpopularniejsze metodyki wytwarzania oprogramowania. Przedstawiono czym jest model kaskadowy, iteracyjny czy prototypowanie. Natomiast na końcu znajdziesz wprowadzenie do metodyk zwinnych (Agile).

Program, który sam modyfikuje swój kod, gdy jest już uruchomiony na pewno wzbudzi ciekawość podczas analizy w debuggerze. Technika ta polega na zamienianiu przez program swoich instrukcji podczas wykonywania. Używa się jej np. w zabezpieczeniach antypirackich. Otóż tak, modyfikacja własnego kodu przez proces aplikacji pozwala utrudnić osobom niepowołanym rozpracowanie, a następnie np. złamanie zabezpieczeń plików programu. Kod samo–modyfikujący się znajdzie też zastosowanie w innych miejscach.