CrowdStrike的库加载和快速升级机制的分析笔记

文章预览

点击上方"蓝字" 关注我们吧！ 说明：针对CrowdStrike导致大规模Windows主机蓝屏事件，安天云安全中心、安天CERT、安天攻防实验室三部门于07月21日发布了长篇分析报告 《CrowdStrike 导致大规模系统崩溃事件的技术分析 ——暨对“猎鹰折羽”的沉思》（ 后文简称“猎鹰折羽”报告）。同时也推进了多点的分析验证工作，本报告披露其中部分内容。 1.1   CrowdStrike C-*.sys 系列通道文件（规则升级文件）加载机制 1.1.1   通道文件格式回顾 我们在“猎鹰折羽”报告中已分析了C-*.sys系列文件的格式。指出符合相关文件名的文件虽为Windows驱动文件后缀“.sys”，实际并非Windows PE格式文件，而是CrowdStrike自定义格式文件，该类文件文件头结构如我们上篇报告内格式分析结果所示，文件头内容与文件名强相关，程序会根据文件头信息校验文件名，文件内另包含hash校 ………………………………