Привет! Меня зовут Александр Калинин, я занимаюсь разработкой средств обеспечения безопасности контейнерных сред в МТС RED, дочерней компании МТС в сфере кибербезопасности. Сегодня расскажу о том, как я обнаружил в отладчике WinDbg уязвимость, которая позволяет запускать произвольный вредоносный код на хосте разработчика и подменять библиотеки. Также поговорим о реакции Microsoft на мой репорт.
Рубрика «windbg»
Неполадки в отладке: как уязвимость в WinDbg позволяет атаковать разработчиков
2023-09-26 в 7:00, admin, рубрики: windbg, уязвимостиГоловоломка «Test My Patience» от Check Point Security Academy
2018-11-18 в 20:34, admin, рубрики: capture the flag, check point, cyber security, postmortem debugging, timing attack, windbg, Занимательные задачки, информационная безопасность, Карьера в IT-индустрии, отладка, реверс-инжинирингЯ несколько раз упоминал на Хабре программу «Check Point Security Academy»: суть её в том, что фирма Check Point летом объявила конкурс в формате «Capture the Flag», где не важен прошлый опыт участника, а важны только его способности к распутыванию кибер-головоломок. По результатам этого конкурса фирма набрала двадцать участников на трёхмесячный профессиональный курс по кибер-безопасности, и все участники с самого начала курса получают полную зарплату специалиста по КБ, под обязательство отработать в фирме два года после окончания курса.
В соревновании CTF флаг может быть даже картинкой, например такой.
Отбор участников завершился в августе, но сайт конкурса продолжит действовать до следующего лета, и я приглашаю желающих зарегистрироваться и попробовать свои силы ради спортивного интереса. Конкурс состоит из 12 головоломок различной сложности, оцененных от 10 до 150 очков.
Здесь я хочу разобрать головоломку «Test My Patience» из категории «Surprise». Она средней сложности (50 очков), и вот её полный текст:
Hi there,
We found This executable on the local watchmaker's computer.
It is rumored that somehow the watchmaker was the only person who succeeded to crack it.
Think you're as good as the watchmaker?
Note: This file is not malicious in any way
По ссылке — 32-битный бинарник для Windows, на который ругаются некоторые антивирусы, но если его всё же запустить, то выглядит он так:
Внутри бинарник зашифрован; запускаться под отладчиком он отказывается; если к нему к запущенному попытаться подключить отладчик — он моментально завершается. Вероятно, специалисты из Check Point обернули свою головоломку в крипто-пакер, позаимствованный у какой-то малвари.
Как же будем угадывать число, загаданное часовщиком?
Читать полностью »
Почему процессоры Skylake иногда работают в 2 раза медленнее
2018-06-24 в 19:54, admin, рубрики: .net, .net core, jit, Skylake, windbg, Windows Performance Analyzer, WPA, отладка, ПроцессорыМне сообщили, что на новых компьютерах некоторые регрессиионные тесты стали медленнее. Обычное дело, такое бывает. Неправильная конфигурация где-то в Windows или не самые оптимальные значения в BIOS. Но в этот раз нам никак не удавалось найти ту самую «сбитую» настройку. Поскольку изменение значительное: 9 против 19 секунд (на графике синий — это старое железо, а оранжевый — новое), то пришлось копать глубже.
Упрощение анализа дампов памяти windows или Очередной твик контекстного меню
2018-01-10 в 8:59, admin, рубрики: Blue, bsod, kd, reg, regedit, screen, windbg, windows, Компьютерное железо, реестр, синий, старое железо, твик, экранМногие пользователи операционных систем windows рано или поздно сталкиваются с необходимостью выяснить почему же любимая операционка «падает в бсод».
О том что это, как искать причину и как её (в зависимости от ситуации) устранять в интернете написано уже немало, но что делать, если нужно выяснить причину максимально быстро и делать это приходится регулярно как, например, работникам сервисов или завсегдатаям компьютерных форумов?
Упростить задачу могут пресловутые твики контекстного меню, благо делаются они довольно просто.Читать полностью »
12 инструментов для отладки .NET-приложений по производительности и по памяти
2017-05-10 в 7:31, admin, рубрики: .net, C#, dotnext, PerfView, windbg, Блог компании JUG.ru Group, высокая производительность, отладкаВ недавнем интервью с Джоном Скитом мы пришли к выводу, что профессиональная работа с любой технологией подразумевает умение диагностировать проблемы и понимать, как ваши приложения работают под капотом. Вдогонку к тому разговору, я узнал у Саши goldshtn Гольдштейна, одного из лучших в мире экспертов по производительности .NET, автора книги «Pro .NET Performance», на какие инструменты следует обратить внимание .NET-разработчикам.
Какие-то из них относительно просты, другие потребуют времени и сил для освоения. Под катом вы найдете краткий обзор 12 инструментов, которые будут полезны перфоманс-инженерам, специалистам поддержки вернего уровня и вообще разработчикам, пекущимся о производительности своих приложений.
Как удалённо отлаживать через WinDbg не включая отладочный режим Windows
2017-05-02 в 5:37, admin, рубрики: qemu, windbg, информационная безопасность, отладка, разработка под windows, реверс-инжиниринг, системное программирование
Иногда при анализе какой-нибудь платной программы малвари случается так, что она не хочет нормально работать, если в памяти есть отладчик или включён отладочный режим Windows.
В таких ситуациях помогает использование виртуальной машины с подключённым к ней отладчиком (например, GDB или IDA). Это если программа не пытается «сломаться» и в виртуальной машине тоже.
Читать полностью »
Поиск неисправностей с помощью WinDbg, Sos и Sosex
2017-04-28 в 11:49, admin, рубрики: .net, C#, sos, sosex, windbg, Блог компании Positive Technologies, отладка
Изображение: Julien Dumont, Flickr
К сожалению, иногда случаются ситуации, когда система перестает работать или начинает безудержно потреблять ресурсы, а логи и системные метрики не могут помочь. Ситуация еще усугубляется тем, что на системе в продакшене нет Visual Studio или какого-либо отладчика, невозможно поотлаживаться уладенно. Чаще всего даже нет возможности получить доступ этой машине. В данном случае единственным решением является анализ дампа памяти процесса. Я хочу описать несколько общих сценариев поиска проблем на таких дампах. Это поиск взаимоблокировок, утечек памяти и высокого потребления процессорных ресурсов.
Суперсилы WinDbg для .NET-разработчиков
2017-04-14 в 7:25, admin, рубрики: .net, C#, windbg, Блог компании JUG.ru Group, доклады, мониторинг производительности, отладка, Программирование, разработкаПродолжая серию публикаций по докладам на конференциях, мы остановились на лучшем докладе DotNext 2016 Moscow, в которой Саша goldshtn Гольдштейн рассказывает о возможностях WinDbg для отладки .NET приложений. Этот действительно мощный инструмент позволяет решать задачи, с которыми не справляется встроенный отладчик Visual Studio.
Особенно этот материал будет полезен тем, кому сложно смотреть доклады на английском языке, так как расшифровка переведена на великий и могучий!
Эксперимент: ищем int i = 0xDEADBEEF в дампе физической памяти
2017-02-27 в 10:17, admin, рубрики: kd, windbg, адресация, виртуальная память, отладка, разработка под windows, системное программирование, метки: адресация
Изучение виртуального адресного пространства и алгоритма преобразования адресов заметно упростится, если начать с несложного практического примера. Для этого напишем простую программу, выводящую адрес локальной переменной:
int main()
{
unsigned i = 0xDEADBEEF;
std::cout << "address of i is " << std::hex << &i;
std::cin.get(); //Чтобы процесс не завершился
return 0;
}Затем попробуем найти физический адрес и просмотреть значение по этому адресу.
Митап сообщества MSK.NET в «Лаборатории Касперского»
2016-11-10 в 13:00, admin, рубрики: .net, windbg, xperf, Блог компании «Лаборатория Касперского»Как известно, платформа .NET активно используется множеством программистов по всему миру. Есть у нее немало поклонников и в Москве. В частности, это сообщество MSK .NET, которое проводит регулярные встречи, где участники обсуждают новые подходы, хинты и практики разработки для этой платформы.
Среди участников сообщества есть и наши сотрудники — ведь в наших проектах .NET также активно используется. Поэтому очередную встречу MSK .NET было решено провести у нас, в штаб-квартире «Лаборатории Касперского».
На встрече, которая состоится 14 ноября в 19:00, вместе с экспертами мы поговорим о приёмах оптимизации desktop-приложений и диагностике проблем в .NET.