Windowsツール開発
セクション1では、攻撃用ツールの開発に向けたWindowsの内部構造（Windows Internals）とプログラミングの基礎を学びます。受講者は、LinuxとWindowsの主な違い、Windowsのデータ型、呼び出し規約（Calling Conventions）、そしてWindows APIプログラミングの主要なテクニックについて学習します。
取り上げられるトピック
- 攻撃用ツールの開発
- 開発環境の構築
- Windowsと*Nixでの開発の違い
- Windowsのデータ型
- 呼び出し規約
ラボ
- プロセスインジェクションの検知
- Windowsブートシーケンスの調査
- Hello World DLLの作成
- 呼び出し規約の特定
- SALv2の理解
概要
本コースは、Windowsの内部構造（Windows Internals）の概要を学ぶことから始まり、OSを機能させている中核的なメカニズムについて段階的に理解を深めていきます。攻撃用ツールと防御用ツールの主な違いや、それらの必要性についても解説します。Windowsプログラミングに関する確かな知識を身につけた上で、受講者はWindows向けの攻撃用ツールまたは防御用ツールのいずれかを作成することを選択できます。ただし、本コースではC/C++言語を用いた攻撃用サイバー機能の作成に焦点を当てます。
inuxとWindowsの主な違いを理解することは重要であり、LinuxからWindowsへの移行を円滑にする助けとなります。C言語には基本的なデータ型が存在しますが、Windowsでは独自のデータ型が導入されており、本セクションでそれらについて解説します。またcalling conventionsや、Windowsがプログラミングの世界に導入した独自の規約についても紹介します。セクションの締めくくりとして、主要なWindows APIを実際に使用する演習を行い、これまでの学習内容を統合しながら、Windows APIについてより本格的に学びます。
ラボの詳細
-
PE-Sieveによるプロセスインジェクションの検出
-
Process Monitorを使用したWindowsブートシーケンスの調査
-
Hello World DLLの作成
-
Calling Conventionsの特定
-
SALv2の理解と活用
-
オブジェクト作成のためのWindows APIの調査
トピックの詳細
-
攻撃用ツールの開発
-
防御用ツールの開発
-
開発環境の構築
-
*Nix環境での開発との類似点と相違点
-
Windowsのデータ型
-
関数の呼び出し（Call Me Maybe）
-
SALアノテーション
-
Windows API
ターゲットの把握
セクション2では、ターゲット環境を包括的にマッピングするためのプログラムによる偵察手法について解説します。具体的には、システム情報の収集、プロセスの列挙、ファイルシステムの調査、およびネットワークに関する情報の収集を取り上げます。
取り上げられるトピック
- OS情報の収集
- Service Pack/パッチの追跡
- プロセスの列挙
- ソフトウェアインベントリ
- ユーザーとネットワークの関連付け
ラボ
- OS情報の収集
- プロセスの列挙
- ディレクトリの探索
- ユーザー情報の取得
概要
本コースのセクションでは、標的を対象とした偵察の技術について学びます。レッドチームのオペレーターが初期アクセスを確立した直後に行う最初の行動の一つに、標的環境に対する詳細な列挙があります。この工程は時間がかかるうえ、ゼロデイ脆弱性を利用した攻撃のような派手さがないため、見落とされがちです。しかし、自身がどのような環境に置かれているのか、そして次に何ができるのかを把握することは極めて重要です。受講者は、詳細なアプローチを用いてプログラム的に環境を調査する方法を学び、OSのバージョン・ビルド、パッチ、プロセス、インストール済みアプリケーション、ファイルシステム、ユーザーとグループ、ネットワーク、サービス、タスク、レジストリなどの情報を収集・整理する手順を習得します。
ラボの詳細
- OS情報の取得
- 実行中プロセスの列挙手法の検討
- ディレクトリ列挙手法の実装
トピックの詳細
- OS情報の収集
- サービスパック／ホットフィックス／パッチ
- プロセスの列挙
- インストール済みソフトウェア
- ディレクトリ・ウォーク
- ユーザー情報
- サービスとタスク
- ネットワーク情報
- レジストリ情報
運用上のアクション
セクション3では、高度なシステム操作を行うための手法に焦点を当てます。具体的には、プロセスインジェクション、PEヘッダーの解析、スレッド操作、特権昇格の手法などが含まれます。
取り上げられるトピック
- PEフォーマットの理解
- カスタムWin32 APIの作成
- スレッドの内部構造
- プロセスインジェクションの手法
- 特権昇格ツール
ラボ
- PEヘッダーの解析
- DLLインジェクション
- プロセスインジェクション技術
- Token Stealing
- サービスの作成
概要
このセクションでは、初期アクセスの段階に続くアクションに焦点を当てます。レッドチームのオペレーターは、目的のアクションを実行するために、一般的にプロセスインジェクションの手法を活用します。受講者は、Portable Executable (PE) ヘッダーの構造に関する詳細な学習を皮切りに、これらの機能をプログラムで実装する方法を学びます。また、PEヘッダーの重要なセクションを解析する方法も習得します。これは、GetProcAddressのようなWindows APIの独自実装を作成する際に役立つ重要なスキルです。PEフォーマットを理解した後は、スレッドの内部構造や生成の仕組みについて学習します。さらに、プロセスインジェクションを支援するために、非同期プロシージャコール（APC）をスレッドのキューに追加する方法についても探求します。ここでは、標的プロセス内のスレッドに悪意のあるDLLを強制的に読み込ませる「クラシックなDLLインジェクション」を含む、いくつかのプロセスインジェクション手法を取り上げます。アクセス後の別のアクションとして、標的システム上での活動をより効果的に行うための権限昇格があります。そのため、受講者は自身のインプラント向けの権限昇格モジュールをプログラムで作成し、標的システムでテストを行います。
ラボの詳細
- PEヘッダーの解析
- クラシックなDLLインジェクション
- 非同期プロシージャコール（APC）を使用したプロセスインジェクション
- スレッド実行のハイジャック
- トークンの窃取
- サービスの作成
トピックの詳細
- PEフォーマットの理解
- Win32 APIの独自実装の作成
- スレッド内部構造の探求
- プロセスインジェクション手法の探求
- リモートプロセスとのプログラムによる対話
- 権限昇格用カスタムツールの作成
永続化：Die Another Day
セクション4では、Windowsの様々なシステムメカニズムを利用し、再起動や予期せぬ中断が発生してもシステムへのアクセスを維持するための、複数の永続化手法について解説します。
取り上げられるトピック
-
インメモリ実行
-
バイナリパッチング
-
レジストリによる永続化
-
サービスの操作
-
ポートモニター
ラボ
概要
本セクションでは、再起動後もアクセスを維持する「永続化（Persistence）」を実現するための様々な手法に焦点を当てます。初期アクセスの確立は重要な第一歩ですが、電源喪失、予期せぬ再起動、初期アクセスプロセスの停止といった不測の事態が発生してもそのアクセスを維持できるよう、適切な措置を講じる必要があります。通常、オペレーターは既存のツールやフレームワークに組み込まれた永続化機能を利用しますが、それらのツールも何らかの形で開発されたものです。本セクションのブートキャンプ・チャレンジでは、受講生がプログラムによって永続化ツールを実装し、コンパイルされたツールをWindows 10のテスト用仮想マシン（VM）上でテストして、再起動後もアクセスが維持されるかを確認します。
ラボの詳細
トピックの詳細
インプラントの強化：シェルコード、回避技術、C2
本セクションでは、シェルコードの実行、アンチウイルス（AV）回避、およびC2（コマンド＆コントロール）通信に関する高度な手法を習得し、洗練された攻撃用ツールの開発を可能にします。
取り上げられるトピック
-
シェルコードの生成
-
AV回避技術
-
プロセスの隠蔽
-
フック操作
-
C2通信
ラボ
- ローカル／リモートでのシェルコード実行
- プロセスの隠蔽
- 関数フックの制御
- ペイロードのインジェクション
概要
本セクションでは、ツール開発者が成功を収めるために習得すべき、より高度なテクニックを扱います。インプラントの重要な機能の一つに、位置独立（position-independent）なシェルコードを実行する能力があります。このシェルコードは、msfvenom、donut、shelterといった既存のツールで生成することも、C言語を用いて手動で作成することも可能です。受講者は、自身のプロセス内でローカルにシェルコードを実行する方法に加え、プロセスのアドレス空間の境界を越えてリモートで実行する方法についても詳細に学びます。シェルコードは難読化や暗号化が施されていないと即座に検知されてしまうため、実行直前に復号する手法を習得します。インプラントのもう一つの機能として、AV製品の回避が挙げられます。回避には様々な手法がありますが、本セクションでは特に、関数のフック解除、システムコールの復元、そして独自のフックの実装に焦点を当てます。シェルコードの実行やAV検知率の低減は重要ですが、標的マシンから情報を収集する手段がなければ意味がありません。そこで、インプラントがオフライン分析用にオペレーターへ情報を送信し、次のタスク（指示）を受け取る仕組みについても学習します。
ラボの詳細
トピックの詳細
- シェルコードの生成と実行
- プロセスの隠蔽
- Doppelgänging
- フックの解除（Unhooking）
- コード・ケイブ（Code Caves）
- AV製品の回避
- C2通信（Calling Home）
- C言語によるシェルコード作成
キャプチャ・ザ・フラッグ
セクション6は、没入型の「Capture the Flag」形式の課題です。ここでは、学習したスキルを複雑な現実世界のシナリオ・シミュレーションに適用し、独自のツールを開発する能力が試されます。
取り上げられるトピック
- 標的の偵察
- AVの回避
- 権限昇格
- 永続化の仕組み
- システム・フック
概要
このCapture the Flagイベントでは、現実世界の事象を模した一連のハンズオン課題に取り組みます。受講者は国家レベルのチームに所属するシニア開発者という役割を担い、標的を攻撃するためのサイバー能力を構築します。課題を解決するには、その週に学んだすべての知識とスキルを駆使する必要があります。しかし、学んだスキルはあくまで出発点に過ぎません。標的ごとに状況が異なるため、受講者は標的への初期アクセスを足掛かりにし、その特定の標的に合わせて独自に開発したツールのみを使用してアクセスを拡大していく必要があります。
トピックの詳細
- 標的の調査と偵察
- AV回避
- 権限昇格
- 永続化
- フック
- コードインジェクション
