برای دانشجویان به زبان ساده
شنود سیستم کال
سیستم کال و نه API اپلیکیشن تحت وب، شنود تماس‌های API بین اجزای سیستم‌عامل، سرویس‌ها، یا حتی بین برنامه و کرنل هست؛ مثلاً:
شنود System Call API در لینوکس یا ویندوز (مثلاً NtCreateFile, ReadFile, socket, execve)
تحلیل رفتار بدافزار یا برنامه از طریق API Monitoring
استفاده از ابزارهایی مثل strace, sysdig, procmon, یا API Monitor
🎯 هدف: آموزش شنود APIهای سیستم به دانشجویان
🔹 ۱. تعریف ساده و کاربردی
«در سیستم‌عامل‌ها، وقتی برنامه‌ای می‌خواد کاری انجام بده مثل خوندن یک فایل، باز کردن اینترنت، یا اختصاص دادن حافظه، درخواستش رو از طریق یک API یا System Call به سیستم‌عامل می‌فرسته. شنود این APIها یعنی بررسی اینکه چه برنامه‌ای چه دستوری به سیستم‌عامل داده.»
🟣 مثال ساده:
وقتی Notepad رو باز می‌کنی و یک فایل رو ذخیره می‌کنی، پشت صحنه سیستم از CreateFile, WriteFile, CloseHandle استفاده می‌کنه. ما می‌تونیم این APIها رو ببینیم.
🔹 ۲. چرا لازمه API Callهای سیستم شنود بشن؟
تحلیل رفتار برنامه‌ها:
آیا برنامه بدون اجازه شما به فایل یا شبکه دسترسی داره؟
کشف بدافزارها:
بدافزارها با APIها رفتار خودشون رو نشون می‌دن، مثلاً VirtualAlloc برای رزرو حافظه جهت shellcode
مهندسی معکوس:
این API Callها قدم به قدم به شما می‌گن برنامه داره چه‌کار می‌کنه
شناسایی رفتار مشکوک:
اگر برنامه‌ای پشت صحنه keylogger اجرا کنه، APIهای GetAsyncKeyState یا SetWindowsHookEx ظاهر می‌شن
تست امنیتی:
فهمیدن اینکه یه برنامه از چه System Callهایی استفاده می‌کنه، می‌تونه به تست نفوذ کمک کنه
🔹 ۳. ابزارهای پیشنهادی (بسته به سیستم‌عامل):
✅ ویندوز:
ابزار Process Monitor (Procmon) – از Sysinternals. برای دیدن File, Registry, Network, و API Calls.
ابزار API Monitor – برای رصد کردن دقیق APIهای ویندوز (user-mode و kernel-mode).
ابزار WinDbg + Sysinternals – برای سطح پایین‌تر، مخصوص دانشجویان پیشرفته‌تر.
✅ لینوکس:
ابزار strace – برای دیدن System Callهای سطح پایین مثل open, read, write
ابزار lsof, dstat, iotop – برای مشاهده منابع درگیر
ابزار sysdig – تحلیل و شنود عمیق‌تر از kernel space
ابزار auditd – برای مانیتور کردن دقیق سیاست‌محور از system callها
این API Callها مثل گفت‌وگوی مخفی بین نرم‌افزار و سیستم‌عامل هستند. شنیدن این مکالمه‌ها یعنی اینکه بفهمیم برنامه‌ها واقعاً چی کار می‌کنند، نه فقط اون چیزی که در ظاهر نشون می‌دن. این یک سلاح کلیدی برای شکار تهدید، مهندسی معکوس، و تحلیل امنیتی هست.
🔆🔆مثال تمرینی در پستهای آتی
#آکادمی_روزبه
مرکز تخصصی CISSP
شنود سیستم کال
سیستم کال و نه API اپلیکیشن تحت وب، شنود تماس‌های API بین اجزای سیستم‌عامل، سرویس‌ها، یا حتی بین برنامه و کرنل هست؛ مثلاً:
شنود System Call API در لینوکس یا ویندوز (مثلاً NtCreateFile, ReadFile, socket, execve)
تحلیل رفتار بدافزار یا برنامه از طریق API Monitoring
استفاده از ابزارهایی مثل strace, sysdig, procmon, یا API Monitor
🎯 هدف: آموزش شنود APIهای سیستم به دانشجویان
🔹 ۱. تعریف ساده و کاربردی
«در سیستم‌عامل‌ها، وقتی برنامه‌ای می‌خواد کاری انجام بده مثل خوندن یک فایل، باز کردن اینترنت، یا اختصاص دادن حافظه، درخواستش رو از طریق یک API یا System Call به سیستم‌عامل می‌فرسته. شنود این APIها یعنی بررسی اینکه چه برنامه‌ای چه دستوری به سیستم‌عامل داده.»
🟣 مثال ساده:
وقتی Notepad رو باز می‌کنی و یک فایل رو ذخیره می‌کنی، پشت صحنه سیستم از CreateFile, WriteFile, CloseHandle استفاده می‌کنه. ما می‌تونیم این APIها رو ببینیم.
🔹 ۲. چرا لازمه API Callهای سیستم شنود بشن؟
تحلیل رفتار برنامه‌ها:
آیا برنامه بدون اجازه شما به فایل یا شبکه دسترسی داره؟
کشف بدافزارها:
بدافزارها با APIها رفتار خودشون رو نشون می‌دن، مثلاً VirtualAlloc برای رزرو حافظه جهت shellcode
مهندسی معکوس:
این API Callها قدم به قدم به شما می‌گن برنامه داره چه‌کار می‌کنه
شناسایی رفتار مشکوک:
اگر برنامه‌ای پشت صحنه keylogger اجرا کنه، APIهای GetAsyncKeyState یا SetWindowsHookEx ظاهر می‌شن
تست امنیتی:
فهمیدن اینکه یه برنامه از چه System Callهایی استفاده می‌کنه، می‌تونه به تست نفوذ کمک کنه
🔹 ۳. ابزارهای پیشنهادی (بسته به سیستم‌عامل):
✅ ویندوز:
ابزار Process Monitor (Procmon) – از Sysinternals. برای دیدن File, Registry, Network, و API Calls.
ابزار API Monitor – برای رصد کردن دقیق APIهای ویندوز (user-mode و kernel-mode).
ابزار WinDbg + Sysinternals – برای سطح پایین‌تر، مخصوص دانشجویان پیشرفته‌تر.
✅ لینوکس:
ابزار strace – برای دیدن System Callهای سطح پایین مثل open, read, write
ابزار lsof, dstat, iotop – برای مشاهده منابع درگیر
ابزار sysdig – تحلیل و شنود عمیق‌تر از kernel space
ابزار auditd – برای مانیتور کردن دقیق سیاست‌محور از system callها
این API Callها مثل گفت‌وگوی مخفی بین نرم‌افزار و سیستم‌عامل هستند. شنیدن این مکالمه‌ها یعنی اینکه بفهمیم برنامه‌ها واقعاً چی کار می‌کنند، نه فقط اون چیزی که در ظاهر نشون می‌دن. این یک سلاح کلیدی برای شکار تهدید، مهندسی معکوس، و تحلیل امنیتی هست.
🔆🔆مثال تمرینی در پستهای آتی
#آکادمی_روزبه
مرکز تخصصی CISSP
Comments
Be the first to add a comment
Log in to comment