mcpField
A
analyzing-heap-spray-exploitation

analyzing-heap-spray-exploitation

github.com/mukul975セキュリティ35.2k373 回インストール8 週間前に更新
リポジトリ

analyzing-heap-spray-exploitation について

インシデント対応担当者やメモリフォレンジック分析者向けに、メモリダンプ内のヒープスプレー攻撃を調べるセキュリティ分析スキルです。Volatility3で不審な割り当て、NOP sled、埋め込まれたシェルコードを特定し、JSONレポートを作成します。

主な機能

  1. 01不審なプロセスの注入メモリをスキャン
  2. 02大規模な連続メモリ割り当てを分析
  3. 03NOP sledの特徴を検索
  4. 04シェルコードを抽出・分析
  5. 05JSON分析レポートを生成

活用シーン

  1. 01メモリダンプ内のヒープスプレーを調査
  2. 02不審な実行可能メモリ領域を特定
  3. 03後続分析用にシェルコードを抽出

インストール

コマンドをコピーしてターミナルで実行します。

$npx skills add https://github.com/mukul975/anthropic-cybersecurity-skills --skill analyzing-heap-spray-exploitation

インストール後、Claude Code で/analyzing-heap-spray-exploitationを入力して読み込まれたか確認します。

同梱ファイル

SKILL.md と一緒にインストールされる参考資料やスクリプト。

LICENSE
references/
api-reference.md
scripts/
agent.py

詳細

ヒープスプレーの悪用を分析する

概要

ヒープスプレーは、プロセスのヒープの広い領域を攻撃者が制御するデータ（通常はシェルコードに続く NOP スレッド）で埋め、コード実行エクスプロイトの信頼性を高める手法です。このスキルでは、Volatility3 の malfind、vadinfo、memmap プラグインを使ってメモリダンプ内のヒープスプレーの痕跡を検出し、不審な連続メモリ割り当てを特定し、NOP スレッドのパターン（0x90、0x0c0c0c0c）をスキャンして、埋め込まれたシェルコードを抽出し分析する方法を説明します。

使用する場面

  • ヒープスプレーの悪用を分析する必要があるセキュリティインシデントの調査
  • この分野の検出ルールや脅威ハンティングクエリの作成
  • SOC アナリストがこの種の分析に関する体系的な手順を必要とする場合
  • 関連する攻撃手法に対するセキュリティ監視の対応範囲の検証

前提条件

  • volatility3 フレームワークをインストールした Python 3.9 以降
  • メモリダンプファイル（.raw、.vmem、.dmp 形式）
  • 仮想メモリレイアウトと VAD（仮想アドレス記述子）ツリーに関する理解
  • 一般的なシェルコードパターンと NOP スレッドのエンコーディングに関する知識

手順

ステップ 1：不審なプロセスを特定する

Volatility3 の windows.malfind を使って、実行可能なインジェクション済みメモリ領域を持つプロセスをスキャンします。

ステップ 2：VAD エントリを分析する

windows.vadinfo を使って VAD ツリーのエントリを調べ、RWX 権限を持つ大規模な連続割り当てを探します。

ステップ 3：NOP スレッドのパターンをスキャンする

不審なメモリ領域で NOP スレッドのシグネチャ（0x90 の連続や 0x0c0c0c0c のパターン）を検索します。

ステップ 4：シェルコードを抽出して分析する

不審なメモリ領域をダンプし、バイトパターン分析でシェルコードを特定します。

期待される出力

不審なプロセス、ヒープスプレーの兆候、NOP スレッドの位置、メモリ領域のサイズ、抽出したシェルコードのハッシュを含む JSON レポート。

コメント

Markdown 対応