מעקב אחר הליבה של וונדוס - Kernel
SilkETW

תמלול ההרצאה: מעקב אחר הליבה של וונדוס - Kernel SilkETW

הטקסט המלא של הדקות הראשונות בהרצאה «מעקב אחר הליבה של וונדוס - Kernel SilkETW» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

1. 00:02

   שלום לכולם, בסרטון זה אני רוצה להראות לכם כלים נוספים שעובדים עם ETW, מערכת מעקב אחרי הקרנל של Windows. הכלים האלו סופר חשובים, כי הם היחידים שנותנים לנו להציץ בתוך הליבה של מערכת ההפעלה.

2. 00:19

   איזה אירועים קורים שם, איזה תוכנה פתאום מתנהגת בצורה מוזרה וחשודה. מעקב אחרי הליבה של ה-Windows זה כלי סופר חשוב, זאת היכולת שאנחנו חייבים שתהיה לנו, כי כל תוכנה שרצה בווינדוס עוברת בפועל דרך הקרנל, דרך הליבה.

3. 00:39

   כי הליבה היא היחידה שמבצעת פעולות באמת, כמו לשלוח משהו ברשת, כמו לשמור משהו בדיסק, כמו להפעיל פקודות במעבד. היא זאתי שאומרת למעבד איזה פקודות לבצע עבור איזה תוכנה.

4. 00:54

   הליבה היא זאתי ששולטת על המעבד. ולכן המעקב אחר הליבה, אחר הקרנל, תן לנו מידע אמיתי מה קורה בפועל עם איזושהי תוכנה, מה היא עושה שם, וכך נוכל לעלות על התנהגות חשודה.

5. 01:09

   לפני שאנחנו נכנסים לעומק, אני רוצה שתכירו את הכלים שיש, כי הם ממש לא ברורים מאליהם, הם ממש לא טריוויאליים, קשה ללמוד להשתמש בהם.

6. 01:19

   בגלל זה אני רוצה לעזור לכם. אז בואו נתחיל לראות כלים של קוד פתוח שאנחנו אמורים ללמוד עליהם, ונתחיל ב-Silk ETW. למעשה זאת מעטפת שכתבו אותה בשפת c-sharp והמעטפת הזאת סביב מנגנון של etw מכה לנו על עבודה ומייצר לנו קבצי ג'ייסון שאפשר לשלוח אותם נניח לאלסטיק סורץ' לסים שלנו, מערכת ניטור מרכזית בכל הארגון.

7. 01:47

   זאת אומרת אני יודע לשלוף אירועים מתוך הקרנל ולהעביר אותם לשרת מרכזי שמנתח את ההתנהגות. אנחנו נחפש פה בצד ימין ריליס, בלי זו גרסה סופית מקומפלת, זה קוד המקור שלה, אפשר לקמפל לבד.

8. 02:04

   לקמפל זה להפוך לשפת מכונה את הפקודות היפות ב-C-Sharp, אבל אין לי כוח להתעסק בזה, אנחנו ניקח כבר גרסה מקומפלת, מקווה שהם לא דחפו לי פה וירוס, אבל לא אכפת לי כי זה גם ככה מכונה וירטואלית.

9. 02:18

   באמצעיות עדיף להוריד קוד מקור, לבדוק מה כתוב שם, לראות שאין שם וירוסים ואז לקמפל אותו לבד, אבל אני עושה הכל במכונה וירטואלית אז לא אכפת לי פה בדאונלודס זה הקובץ שהורדנו נעשה לו right click extract all נחלץ את כל הקבצים מתוך הזיפ שלנו ניכנס לתיקייה ונחפש פה silk etw עכשיו התוכנה הזאת היא לא גרפית זאת אומרת אם

10. 02:42

    תעשו עליה double click חוץ מאזהרה שהוא אומר שאין פה חתימה דיגיטלית אף אחד לא חתם על האקזה הזה אז אף אחד לא אחראי עליו אני עושה לו run anyway והוא מריץ אותו בחלון השחור מסיים להריץ וסוגר אותו אנחנו צריכים לפתוח חלון פקודות cnd משלנו אחרי שאני פותח אותו אני נכנס לתוך התיקייה שלו cd change directory והתיקייה ופה בתוך התיקייה שלו אני עושה

11. 03:10

    d רואה את כל הקבצים וזה הקובץ שמעניין אותי silk etw exit אם אני אריץ אותו הוא ייתן לי הסבר איך משתמשים בתוכנה הנה זאת ההרצה שלי זה הבחור שכתב אותה מה שמעניין אותי פה