代码编写开源代码搜索自己撸代码procexp确定句柄对应的文件名并过滤

2️⃣

PsExec.exe提权定位找不到EABackgroundService.exe的问题

参考资料

本篇文章主要目的是Frida实操应用如果有更深入的需求推荐使用ProcMon.exe通过各种删选条件进行监控操作。

ps:

对于有些软件会检测ProcMon.exe等各种软件需要这时候可以使用frida进行监控。

21H2

22000.1335Python3.7.1frida.exe15.0.18

1️⃣

首先想到的就是找下有没有开源的代码结果找到一个https://github.com/nowsecure/frida-fs代码下好编译好了结果发现只是个文件操作的库。

后来有找了该作者的另一个库https://github.com/nowsecure/fsmon这次看清楚了支持Android、ios、mac唯独不支持windows

自己撸代码

文件读写相关的函数有ReadFile、WriteFile、CreateFileWCreateFileA最终调用的也是CreateFileW等我们以CreateFileW为例讲解下frida提供的各种接口及含义。

Module.findExportByName根据模块名(“kernel32.dll”)和导出函数名(“CreateFileW”)获取目标函数地址。

Interceptor.attach执行hook的函数传递一个目标函数地址和hook后的处理方法集合。

onEnter

onLeave处理函数集合的两个常见方法分别代表调用函数前和调用后的处理。

对于onEnter:

(args)我们可以查看并修改参数相关值。

对于onLeave:

function

{Interceptor.attach(Module.findExportByName(kernel32.dll,

ReadFile),

${retval});}});Interceptor.attach(Module.findExportByName(kernel32.dll,

CreateFileW),

args[0].readUtf16String();console.log(Opening

file:

Thread.sleep(5*1000)}},onLeave:

function

${retval});}});Interceptor.attach(Module.findExportByName(kernel32.dll,

WriteFile),

上述代码执行后会有大量的日志输出我们可以通过fileHandle.toInt32()过滤我们关心的句柄。

比如我们不关心frida自己的句柄产生的日志我们通过procexp查看frida相关句柄0xb3c当fileHandle.toInt32()

代码如下

Interceptor.attach(Module.findExportByName(kernel32.dll,

WriteFile),

定位找不到EABackgroundService.exe的问题

排查一圈后发现EABackgroundService.exe进程是SYSTEM权限frida无权查看该进程。

PsExec.exe提权

-s这三个参数就能将frida提取为SYSTEM这三个参数的含义如下

IO)

Suite中的一个工具它可以在本地或远程计算机上启动进程。

它的原理是通过在远程计算机上安装一个服务程序PsExecSvc.exe该服务程序允许PsExec.exe在远程计算机上执行命令。

Windows

系统中的一个名为“服务控制管理器”的组件该组件可以启动和停止系统服务。

PsExec.exe

LocalSystem。

在该服务的上下文中PsExec.exe

启动一个新的进程。

新的进程继承了服务的权限因此具有更高的权限。

PsExec.exe

EA平台使用了很多技术如protobuf、rpc、各种加密等有需要分析的可以一起探讨。

参考资料

https://learn.microsoft.com/zh-cn/sysinternals/downloads/psexec