WinVerifyTrust - Bypass

[STRELiTZIA]

السلام عليكم و رحمة الله

محاولة تغيير القيمة المرجعة و جعلها Signed للفحص الذي يمر عبر wintrust.dll->WinVerifyTrust المسؤول عن تحديد مصداقية التطبيقات على نظام الــ Windows.

الفكرة مبنية على:
1- Dll Hijacking exploit
2- حقن الكود من الــ User-mode



WinVerifyTrust user-mode hook to return SIGNED result everytime.

Vba32arkit (VirusBlokAda Ltd)
Process Explorer (Sysinternals)
sigcheck (Sysinternals)

Flash demo and fake library link:
hxxp://www.mediafire.com/?y5fclyy1y2voeff

بالتوفيق ان شاء الله

[مبرمج هاوي]

ما شاء الله فكرة جميله جدا لاستغلال ثغرات ال DLL hijacking

يعطيك العافية على الشرح

هل اصدارات الويندوز المتقدمه مثل 7 و vista يوجد بها هذا الملف ام لا !

[STRELiTZIA]

السلام عليكم و رحمة الله
نعم اخي الكريم...
نظام 7 يحتوي على نفس المكتبة و حقن الكود فيها يتم بدون مشاكل...

و كل الأدوات التي تعتمد على ما ترجعه دالة WinVerifyTrust سوف يحصلون على نتيجة ايجابية حتى و ان كان الملف المفحوص لا يحتوي على بصمة مصداقية الفحص.

الاشكال يكمن هو في Dll Hijacking exploit، لان بعد تحميل المكتبة يمكنك من فعل ما تشاء و تنفيذ اي اوامر سواء حقن اوامر خبيثة او تعطيل خصائص من البرنامج المستهدف، او.....

بالتوفيق ان شاء الله