...
  • 主题
高级搜索  >
历史搜索 清空历史
首页> 外文期刊>Journal in computer virology >A LITTLE JOURNEY INSIDE WINDOWS MEMORY
【24h】

A LITTLE JOURNEY INSIDE WINDOWS MEMORY

机译：Windows内存中的小旅程

获取原文
获取原文并翻译 | 示例
           
页面导航
  • 摘要
  • 著录项
  • 相似文献
  • 相关主题

摘要

In 2005 and 2006, two security researchers, Maximilian Dornseif and Adam Boileau, showed an offensive use of the Fire Wire bus. They demonstrated how to take control of a computer equipped with a Fire Wire port. This work has been continued. After a brief summary of how memory works on modern OS, we will explain how the Fire Wire bus works, and it can be used to access physical memory. Since modern operating system and processors use virtual addresses (and not physical ones), we rebuild the virtual space of each process in order to retrieve and understand kernel structures. Thus, we now have an instant view of the operating system without being submitted to the security protections provided by the processor or the kernel. We will demonstrate several uses for this. First we will show what can be done only with an interpretation of kernel structures (read access). For example, we can have the list of all processes, access to the registry with no control even for protected keys like the SAM ones. This is used to dump credentials. Then, we see what can be done when one modifies the memory (write access). As an example, we show a 2 byte patch to unlock a workstation without knowing the password. Last but not least, code execution is not supposed to happen through Fire Wire since it is only a bus providing read/write access to the memory. However, slightly modifying the running kernel lets us do whatever we want. We will explain how to have a shell with SYSTEM privileges before any authentication.
机译：在2005年和2006年，两位安全研究人员马克西米利安·多恩塞夫（Maximilian Dornseif）和亚当·波洛（Adam Boileau）展示了对火线总线的攻击性使用。他们演示了如何控制配有Fire Wire端口的计算机。这项工作已经继续。在对内存在现代操作系统上的工作方式进行了简要总结之后，我们将说明Fire Wire总线的工作方式，并将其用于访问物理内存。由于现代操作系统和处理器使用虚拟地址（而不是物理地址），因此我们重建每个进程的虚拟空间，以便检索和理解内核结构。这样，我们现在就可以立即查看操作系统，而无需考虑处理器或内核提供的安全保护。我们将为此演示几种用法。首先，我们将展示只有解释内核结构（读取访问）才能完成的工作。例如，我们可以拥有所有进程的列表，即使对于SAM之类的受保护密钥，也可以不受控制地访问注册表。这用于转储凭据。然后，我们看到修改内存（写访问）时可以做什么。例如，我们显示了一个2字节的补丁程序，用于在不知道密码的情况下解锁工作站。最后但并非最不重要的一点是，代码执行不应通过Fire Wire进行，因为它只是提供对内存的读/写访问的总线。但是，稍微修改正在运行的内核可以让我们做任何我们想做的事情。我们将在进行任何身份验证之前说明如何拥有具有SYSTEM特权的shell。

著录项

相似文献

  • 外文文献
  • 中文文献
  • 专利
获取原文

客服邮箱：kefu@zhangqiaokeyan.com

京公网安备：11010802029741号 ICP备案号：京ICP备15016152号-6 六维联合信息科技 (北京) 有限公司©版权所有

  • 客服微信

  • 服务号