Résumé : Uhooker permet de procéder à l'interception (hooking) et à la manipulation d'un programme sur un système d'exploitation de type Microsoft Windows. Les interceptions s'effectuent notamment au niveau des appels vers les fonctions API (ou pas) des librairies présentes sur le système d'exploitation ciblé.

Poster un commentaire

Promo interne : Certificats annuels SSL ( Voir les détails ) 128/256 bits à racine unique. Installables en 30 secondes, 99% des navigateurs compatibles ! Disponibles en ligne en 10 minutes : RapidSSL ( 62 EUR - Voir ), RapidSSL Pro réémission gratuite ( 98 EUR - Voir ) & QuickSSL Premium, réémission gratuite, compatible PDA, sceau de validité ( 129 EUR - Voir ) - Promo spéciale 20 % sur les certificats SSL VeriSign jusqu'au 31 mai 2008 ( Voir ) 1 Year VPN Unlimited Who needs VPN4U Services ? Hotspot Wireless Users at risk of having personal datas stolen like passwords ! Home Internet Users, Cable and DSL providers don't filtering exploits ! International Internet Users living where Governments prevent users from enjoying Internet, USA IP = no controls ! 36 USD - Buy

Universal Hooker (Uhooker - lien http externe url:[click] ) est un outil Open Source de la société Core Security ( lien http externe url:[click] ), basée en Argentine et éditrice de la plateforme d'audits de sécurité Core Impact ( lien http interne url:[click] ).

La réalisation de scripts de hooking ( lien http externe url:[click] ) est simplifié avec Uhooker par l'utilisation du langage Python ( lien http externe url:[click] ) ; le caractère interprété de ce langage présente l'avantage d'écarter les opérations de recompilation qui peuvent être nécessaires avec des langages comme le C ou le C++.

Uhooker se présente en fait sous la forme d'une extension (uhooker.dll) pour le debugger OllyDbg ( lien http externe url:[click] ), les interceptions sont ici réalisées à l'aide de points d'arrêt logiciels ( int 3h - lien http externe url:[click] ), de nombreux scripts sont disponibles prêts à l'emploi sur le site du projet.

Une fois l'extension installée, il suffit de charger l'application ciblée sous TheOllyDbgDebugger puis de choisir un des scripts d'interception avant l'exécution du processus.

Le script Proxy Hooker ( lien http externe url:[click] ) permet par exemple de mettre en place un proxy afin de capturer le trafic réseau d'une application utilisant le protocole de transport TCP ( script tcpnet - lien http externe url:[click] ). Chaque paquet de données peut ensuite être visualisé à l'aide d'un éditeur héxadécimal puis réinjecté dans le trafic légitime après avoir été modifiés ( script hooks - lien http externe url:[click] ).

Une vidéo de la preuve de concept Visual Fuzzing est disponible en téléchargement sur le site dédié aux produits Open Source de Core Security ( lien http externe url:[click] ).

Le script Change Connect ( lien http externe url:[click] ) est aussi digne d'intêret puisqu'il permet d'intercepter l'ensemble des appels d'un programme vers la fonction connect() ( lien http externe url:[click] ).

Il est alors possible de changer l'adresse IP et le port de destination de la connexion afin de rediriger le trafic vers un serveur tiers, un serveur Socat ( lien http externe url:[click] ) par exemple. Une vidéo, faisant office de preuve de concept de la redirection d'une connexion MSN LIVE Messenger est également disponible en téléchargement ( lien http externe url:[click] ).

Il est par ailleurs possible grâce à Uhooker de surveiller l'ensemble des modifications opérées sur la base de registre du système d'exploitation à l'aide du script regmonitor ( lien http externe url:[click] ) prévu à cet effet et son fichier de configuration ( lien http externe url:[click] ).

Le script Genhooks ( lien http externe url:[click] ) consiste quant à lui à effectuer de manière automatisée une analyse de la structure d'un fichier DLL ( Dynamic-Link Libraries - lien http externe url:[click] ) donné afin d'y rechercher toutes les fonctions exportées puis de créer automatiquement les interceptions correspondantes.

Ce script s'avére notamment pratique en cas de librairies présentant de nombreuses fonctions à intercepter ; pour fonctionner il nécessite impérativement le programme dumpbin ( lien http externe url:[click] ).

Dumpbin est un outil Microsoft prévu pour obtenir des informations sur des fichiers objets COFF (et des bibliothèques standard d'objets COFF ( Common Object File Format - lien http externe url:[click] ) ainsi que sur des fichiers exécutables et des bibliothèques de liens dynamiques DLL..

La version 1.3 au format tgz ( lien http externe url:[click] )
La version 1.3 au format zip ( lien http externe url:[click] )
La documentation de Uhooker ( lien http externe url:[click] )
ChangeLog Version 1.3 17/12/2007 ( lien http externe url:[click] ).
Moteur et langage d'ingénierie inverse ERESI ( lien http interne url:[click] )
Environnement de reverse engineering en Python Paimei/PyDbg ( lien http interne url:[click] )
High-Level Reverse engineering ( lien http externe url:[click] )

Poster un commentaire