クリアまでの3ステップ
-
演習環境を起動
-
ターミナルで探す
-
見つけたフラグを提出
チャレンジ一覧
挑戦中
プロセスホロウイング攻撃を検出せよ
Detect Process Hollowing Attack
今回のミッション
`process_list.txt` と `image_regions.txt` を照合して、プロセスホロウイングの痕跡を検出してください。イメージベースがPRIVATEかつRWXで、ディスク上のハッシュと常駐ハッシュが不一致のプロセスが対象です。
ヒント
ヒント 1 見る
image_regions.txt で各プロセスのイメージベース領域を確認します。正常はファイルバックの MAPPED かつ実行のみです
ヒント 2 見る
ホロウイングされたプロセスはイメージベースが PRIVATE かつ PAGE_EXECUTE_READWRITE(RWX) になっています
ヒント 3 見る
その1行にフラグがあり、裏付けとして PEB の on-disk ハッシュと resident ハッシュが不一致です