Posts on 0xGently

Custom GetProcAddress

Tue, 27 Oct 2026 00:00:00 +0000

Giriş

Windows sistemlerinde C veya C++ ile geliştirme yaparken, bir DLL içindeki fonksiyonu çağırmak için genellikle GetProcAddress kullanırız. Süreç temelde basittir: LoadLibrary ile DLL belleğe alınır, ardından GetProcAddress‘e DLL’in handle değeri ve aranan fonksiyonun adı verilir. Peki bu işlem arka planda tam olarak nasıl işliyor? İşletim sistemi, verdiğimiz string değerini büyük bir bellek bloğu içinde nasıl bulup bize adresini dönüyor? Bu yazıda, standart Windows API’lerini kullanmak yerine bir PE dosyasının bellek yapısını çözümleyerek kendi GetProcAddress fonksiyonumuzu yazıyoruz.

Custom GetModuleHandle

Sun, 25 Oct 2026 00:00:00 +0000

Giriş

Windows API’lerinin arka planda tam olarak nasıl çalıştığını incelemek Zararlı yazarken bize çok sayıda yeni teknik ve taktik kazandırır. Bu yazıda, en sık kullanılan API’lerden biri olan GetModuleHandle fonksiyonunu, hiçbir Windows API’si çağırmadan sıfırdan nasıl implemente edebileceğimizi inceleyeceğiz. Tabiki bunu yapma sebeplerimizden en büyüğü sürekli kullanmış olduğumuz bu fonksiyonu IAT(Import Address Table) içerisinden gizlemek.

Bildiğiniz gibi GetModuleHandle, verdiğiniz bir DLL ismine karşılık o modülün bellekte yüklü olduğu base adresini döner. Yaptığı işlem aslında gayet nettir: OS loader tarafından her process için tutulan ve yüklü modülleri barındıran bir listeyi taramak. Bu liste, Process Environment Block (PEB) yapısının içinde yer alır. Bu yazının odak noktası da PEB’e manuel olarak ulaşıp bu listeyi nasıl parse edeceğimizi adım adım göstermek olacak.

Local APC Injection

Wed, 21 Oct 2026 00:00:00 +0000

Apc Injection

Günümüzde birtakım zararlılar yazma konusunda payload’umuzu çalıştırmak için kullandığımız birçok teknik var. Bu yazıda, işletim sisteminin doğal işleyişini kendi lehimize kullandığımız, en temel ve etkili yöntemlerden biri olan APC Injection tekniğine odaklanacağız. İşin bellek ayırma gibi her enjeksiyonda tekrarlanan standart kısımlarıyla vakit kaybetmeden doğrudan tekniğe odaklanacağız.

APC Nedir ? (Asynchronous Procedure Call)

En basit haliyle APC, belirli bir thread bağlamında asenkron olarak çalıştırılmak üzere sıraya alınmış bir fonksiyondur. Windows işletim sisteminde çalışan her thread’in kendine ait bir APC kuyruğu bulunur.

Process Enumeration-1

Sat, 17 Oct 2026 00:00:00 +0000

Bu yazımızda CreateToolhelp32Snapshot fonksiyonunu kullanarak nasıl process’ler veya thread’ler hakkında bilgi toplarız onu anlatacağım.

Geliştirdiğimiz araçlarda veya yazdığımız zararlılarda hedef aldığımız bir process’e müdahale etmek istiyorsak, öncelikle sistemde o process‘in nerede durduğunu tam olarak tespit etmemiz gerekiyor. Operasyonumuzu iki temel aşamaya böleceğiz. İlk olarak, elimizdeki düz bir metinden (örneğin notepad.exe gibi bir process isminden) yola çıkarak sistemdeki tüm process’leri tarayacak ve hedefimizin benzersiz kimlik numarasını, yani PID‘sini çekeceğiz. İkinci aşamada ise elde ettiğimiz bu PID üzerinden hedef process‘in içerisine girip, üzerinde manipülasyon yapabileceğimiz ya da ele geçirebileceğimiz geçerli bir thread yakalayacağız.

Thread Hijacking

Fri, 09 Oct 2026 00:00:00 +0000

Remote_Thread_Creation

Bu yazımızda; meşru bir procesesi askıya alıp, bellek alanına shellcode enjekte ettikten sonra mevcut thread’in RIP/EIP registerlarını manipüle ederek çalışan bir teknikten bahsedeceğim.

Siber güvenlik dünyasında, hedef bir proses içerisinde kod çalıştırmak için genellikle CreateRemoteThread gibi API’ler tercih edilir. Ancak bu fonksiyonlar güvenlik mekanizmaları (AV/EDR) tarafından çok sıkı izlenir ve anında engellenir. Thread Hijacking ise sıfırdan yeni ve şüpheli bir thread oluşturmak yerine, halihazırda var olan meşru bir thread’in rotasını “çalmayı” hedefler.

Process Enumeration-3

Mon, 05 Oct 2026 00:00:00 +0000

Process Enumeration

Hedefin PID Değerini Bulmak (NtQuerySystemInformation)

Zararlı yazılım geliştirirken (malware dev), payload’umuzu bellekte saklamak veya Birçok Execute tekniklerini stabil bir şekilde çalıştırabilmek için genellikle sistemde zaten var olan meşru bir process’e (örneğin notepad.exe, explorer.exe veya svchost.exe) ihtiyaç duyarız.

İşte tam bu noktada, sistemde o an aktif olan süreçleri listeleyip hedefimizin PID değerini koparmaya veya süreçler hakkında telemetry toplamaya genel olarak Process Enumeration diyoruz. Bir önceki yazımızda, Windows’un standart EnumProcesses API’sini kullanarak bu işlemi sıfırdan nasıl yapacağımıza adım adım bakmıştık. Ancak siber güvenlik dünyasında her zaman daha karmaşık daha öğrenilmesi zor yollar var…

RC4 Şifreleme

Mon, 20 Apr 2026 00:00:00 +0000

RC4 Şifrelemesi

RC4, veriyi bloklar halinde değil, bayt bayt şifreleyen simetrik bir akış şifrelemesi (stream cipher) algoritmasıdır. Arka planda iki temel aşamadan oluşur: Anahtarın bellekte karıştırıldığı KSA (Key-Scheduling Algorithm) ve şifrelenecek verinin üzerine yazılacak rastgele baytların üretildiği PRGA (Pseudo-Random Generation Algorithm). Simetrik yapısı sayesinde aynı fonksiyon hem şifreleme hem de deşifreleme için kullanılır.

Zararlı yazılım geliştirmede RC4’ü koda entegre etmek için temelde 3 yöntem kullanılır:

SystemFunction032: Advapi32.dll içerisinde bulunan, Windows tarafından belgelenmemiş (undocumented) RC4 API’sidir.

XOR Şifreleme

Wed, 15 Apr 2026 00:00:00 +0000

XOR Şifrelemesi

Malware geliştirme dünyasında, yazdığınız zararlı yazılımın ömrünü belirleyen en kritik faktörlerden biri payload’unuzu ne kadar iyi gizleyebildiğinizdir. Eğer bir shellcode’u veya PE dosyasını belleğe açık (plain-text) bir şekilde gömerseniz, statik analiz araçları ve Antivirüs (AV) imzaları saniyeler içinde sizi yakalayacaktır.

İşte tam bu noktada Payload Encryption devreye girer. Bu yazımızda, zararlı yazılım dünyasının en temel ama en çok modifiye edilen şifreleme mantıklarından birini, XOR algoritmasını inceleyeceğiz. İşi temelden alıp kompleks (Rolling/Position-Dependent) yapılara doğru evrilteceğiz.

IPv4/IPv6 DeObfuscation

Fri, 10 Apr 2026 00:00:00 +0000

IPv4/v6 DeObfuscation

Bu yazıda, dışarıdan bakıldığında son derece sıradan görünen bir ağ yapılandırma fonksiyonunun, nasıl bir shellcode decoder’a dönüştürüldüğünü inceleyeceğiz. Amacımız, saldıran tarafın zihniyetini anlayarak savunma sistemlerimizi bu tür “normal görünen anormallikleri” yakalayacak şekilde kurgulamak.

Not: Bu metinde anlattığım kodun tamamını malware-development-library adresinde bulabilirsiniz. Ayrıca bu konunun mantığını oturtup kodun tam halini incelediğinizde diğer tekniklere uygulanan DeObfuscation işlemlerinide oluşturabilirsiniz. Zaten hemen hemen aynı ya sadece birkaç değişiklik yapmanız gerekmektedir o kadar.

Chacha20 Şifreleme

Wed, 01 Apr 2026 00:00:00 +0000

ChaCha20 Şifrelemesi

Bu metinde Chacha20 den bahsedeceğim.

Dosya boyutu ve basitlik her şeydir. ChaCha20’yi tercih etmemizin tek sebebi var: Küçük, hızlı ve ekstradan deşifre bloğu yazmanıza gerek bırakmıyor.

Peki neden ChaCha20’yi seçiyoruz? Çünkü inanılmaz derecede hızlıdır, işlemcinin özel şifreleme donanımlarına (AES-NI gibi) ihtiyaç duymaz ve C/C++ ile sıfırdan yazması (implementasyonu) çok daha zahmetsizdir. Ayrıca, şifreleme ve deşifreleme (encrypt/decrypt) işlemleri için birebir aynı kodu kullanırız, bu da yazdığımız zararlı yazılımın boyutunu (stub size) küçültür.

IPv4/IPv6 Obfuscation

Thu, 05 Feb 2026 00:00:00 +0000

IPv4/IPv6 Obfuscation

Siber güvenlik dünyasında bir veriyi saklamak istediğimizde önümüzde genellikle iki temel yol olur: Ya veriyi doğrudan şifreleriz (AES, RC4 veya XOR gibi) ya da onu karmaşıklaştırırız (obfuscation).

Yazılım geliştirirken kodu zorlaştırmak bazen sadece fikri mülkiyeti korumak için değil, güvenlik mekanizmalarını aşmak için de kritik bir rol oynar. Örneğin elimizde bir shellcode var ve bunu gizlemek istiyoruz. İlk akla gelen çözüm şifreleme olsa da bu her zaman en akıllıca yol olmayabilir. Çünkü şifrelenmiş veriler, dosyanın o bölümündeki entropiyi (rastgelelik oranını) tavan yaptırır ve bu durum güvenlik analizcilerinin ya da AV/EDR çözümlerinin hemen radarına takılır. İşte bu noktada, dikkat çekmeden karmaşıklaştırmak çok daha mantıklı bir seçeneğe dönüşüyor.

Process Enumeration-2

Tue, 03 Feb 2026 00:00:00 +0000

Process Enumeration

Hedefin PID Değerini Bulmak (EnumProcesses)

Zararlı yazılım geliştirirken payload’umuzu saklamak veya çalıştırmak gibi teknikleri uygulayabilmek için genellikle sistemde çalışan meşru bir process’e (örneğin notepad.exe veya explorer.exe) ihtiyaç duyarız. Windows’un dilinden konuşup o process’in PID (Process ID) değerini bulmamız gerekir.

İşte sistemdeki süreçleri listeleyip hedefimizin PID değerini bulma veya buna benzer processler ile ilgili bilgi toplama işlemlerine genel olarak Process Enumeration diyoruz. Bu yazıda, Windows’un standart EnumProcesses API’sini kullanarak bunu sıfırdan nasıl yapacağımıza adım adım bakacağız.

Assembly’de Prologue ve Epilogue Nedir?

Thu, 03 Jul 2025 00:00:00 +0000

High-level dillerde program yazarken, arka planda otomatik yapılan ama low-level dillerde (özellikle Assembly) manuel olarak yönetmemiz gereken pek çok işlem vardır. Bunların en önemlilerinden birisi de prologue ve epilogue işlemleridir.

İşlemin Assembly dilindeki görüntüsü

Bu konuya başlamadan önce birkaç temel kavrama değineceğim:

Register: CPU’nun en hızlı veri depolama alanıdır; işlem yapılacak veriler burada tutulur.
Stack: LIFO (Last In, First Out) mantığıyla çalışan, fonksiyon çağrılarında geçici veri tutan bellek alanıdır.
Stack Frame: Her fonksiyon çağrıldığında stack üzerinde ayrılan, argümanlar ve yerel değişkenleri barındıran bellek bloğudur.
ESP/RSP: Stack pointer; stack’in en üstünü gösterir. x86’da ESP, x64’te RSP olarak adlandırılır.
EBP/RBP: Base pointer; stack frame’in taban adresini tutar, değişkenlere erişimde referans noktasıdır.
Calling Convention: Fonksiyonlara argümanların nasıl aktarıldığını ve dönüş değerlerinin nasıl alındığını belirleyen kurallar bütünüdür.
Push: Bir değeri stack’e ekler, stack pointer’ı aşağı kaydırır.
Pop: Stack’in en üstündeki değeri alır, stack pointer’ı yukarı kaydırır.

Bu kavramların hepsi prologue ve epilogue işlemlerini anlamanın temelini oluşturur. Zira bu iki işlem, stack frame’i oluşturup kaldırmaktan ibarettir.

Packet Crafting with Scapy

Wed, 21 May 2025 00:00:00 +0000

Ağ güvenliği ve siber güvenlik dünyasında, bir paketin nasıl oluştuğunu, nasıl manipüle edilebileceğini ve özel paketler oluşturmayı bilmek çok kritik bir beceridir. Python programlama dili ve Scapy kütüphanesi, bu becerileri öğrenmek için mükemmel bir platform sunar. Bu yazıda, Scapy kullanarak ağ paketlerini oluşturmanın ve analiz etmenin temellerini aşama aşama detaylandıracağım.

1. Scapy Nedir ve Neden Önemlidir?

Scapy, Python ile yazılmış güçlü bir ağ paket manipülasyon kütüphanesidir. Temel olarak şunları yapmamıza olanak sağlar: