وضع الدكتور ويب جيد فقط فى الجدار لانه من اذكى الجدار الناريه المتصله مع البرامج بشكل عام
دفاع الدكتور ويب اثناء التشغيل لا باس به ويفى بالغرض
هممممم
تحدى صعب وقد قبله
هل تريد ان اقوم بالتخطى بنفس الملف ام باستخدام فكره جديده
للعلم اغلب برامج الحمايه تقوم بوضع قواعد اساسيه خاصه بملفات ميكروسوفت الاساسيه زاتيه التنفيذ
اقصد القابله للتنفيذ حتى لا تسبب للمستخدم مشاكل
whitelist يتم وضع فيها كل الملفات الموثوقه من قبل برنامج الحمايه التابعه لاغلب البرامج المشهوره والموثوقه لدى الشركه
القصه باختصار
ان الجدار على الوضع الاتوماتيكى كما وضحت فى الفديو وكما بينت فى قائمه البرامج التى سمح لها البرنامج بالاتصال وانشاء قواعد لها
هو ان فى الحاله الاولى التى جربت فيها الملف صد الملف وقال انه غير موقع رقميا وكما الحال مع اى ملف مجهول وهذا دعانى الى التفكير
هل اذا وقعت الملف هل سيكشفه
لذلك قمت بتجربه استخدام اسلوبى المفضل powershell وكما ظهر فى الملف ايضا ان الجدار الذكى صنف الملف انه يحاول ان يعمل من خلال برنامج موقع رقميا كما اظهرت فى الفديو
ولكنه اخبرنى برساله ان powershell يريد ان يعمل من خلال ملف مجهول وايضا اظهر رساله بمنع او اتصال الملف
اخير فى النهايه استخدام msbuild الذى وكما ذكرت لصدقى العزيز buust ان هناك ملفات ضمن القائمه البيضاء لبرامج الحمايه لا تعترض عليها برامج الحمايه
+ توضيح بسيط msbuild هو المشغل الاساسى فى مكتبه net framework باى اصدار كان لذلك برامج الحمايه تصنف كما ذكرت برامج موثوقه
اومر ال CMD هى محض فقط اوامر انفذ بها الكود ( توثيق الملف المنفذ )
الفكره بسيطه
اعمل مشروع جديد عادى جدا بال #C
حط متغير من نوع byte لل shellcode
وضيف مكتبتين مهمين جدا
using Microsoft.Build.Framework;
using Microsoft.Build.Utilities;
وبدل لمه تعمل كوميل للملف
اثناء تشغيل الملف خليه يعمل كومبايل ويشتغل من خلال msbuild اى وضيعه debug mode
فكره خبيثه ( طبعا ملف cmd هو المشغل لكل ده )
البرنامج ليس له شعبيه ومن البرامج المهضوم حقها لكنه اصنفه من اذكى البرامج فى الجدار
وهذه ليست مبالغه حيث اننى عانيت كثير مع هذا الجدار لكن فى النهايه تبقى حمايه وقابل للكسر
عليك فقط تفكر دائما خارج الصندوق
----------------
حابب اوضح شى مهم جدا وهو هناك فرق بين الحقن فى ملف موثوق والتشغيل من خلال ملف موثوق
الامر يعتمد على انى استعين بمكتبه اساسيه فى الويندوز
وليس حقنى للكود داخلها لان اغلب برامج الحمايه تكشف الحقن مهما كان
المصيبه الكبرى التى احاول تنفيزها هى اضافه بيتات byte الشل كود shellcode ( الملف الخبيث مع برنامج اخر ) ليس دمج معتاد عادى
بل اضافه الملف ك byte ولا يمكن كشف هذا النوع على الرغم من تغيير الهاش للملف
نفس الفكره التى اتبعها اشخاص مجهولون عندما تم حقن ملفات ccleaner ببيلود اختراق
