https://0xgently.github.io/tags/obfuscation/Recent content in Obfuscation on 0xGentlyHugotr-TRContent is licensed under CC BY 4.0. © 0xGentlyTue, 27 Oct 2026 00:00:00 +0000https://0xgently.github.io/posts/custom_getprocaddress/Tue, 27 Oct 2026 00:00:00 +0000https://0xgently.github.io/posts/custom_getprocaddress/<h2 id="giriş">Giriş</h2> <p>Windows sistemlerinde C veya C++ ile geliştirme yaparken, bir DLL içindeki fonksiyonu çağırmak için genellikle <code>GetProcAddress</code> kullanırız. Süreç temelde basittir: <code>LoadLibrary</code> ile DLL belleğe alınır, ardından <code>GetProcAddress</code>&lsquo;e DLL&rsquo;in handle değeri ve aranan fonksiyonun adı verilir. Peki bu işlem arka planda tam olarak nasıl işliyor? İşletim sistemi, verdiğimiz string değerini büyük bir bellek bloğu içinde nasıl bulup bize adresini dönüyor? Bu yazıda, standart Windows API&rsquo;lerini kullanmak yerine bir PE dosyasının bellek yapısını çözümleyerek kendi <code>GetProcAddress</code> fonksiyonumuzu yazıyoruz.</p>https://0xgently.github.io/posts/custom_getmodulehandle/Sun, 25 Oct 2026 00:00:00 +0000https://0xgently.github.io/posts/custom_getmodulehandle/<h2 id="giriş">Giriş</h2> <p>Windows API&rsquo;lerinin arka planda tam olarak nasıl çalıştığını incelemek Zararlı yazarken bize çok sayıda yeni teknik ve taktik kazandırır. Bu yazıda, en sık kullanılan API&rsquo;lerden biri olan <code>GetModuleHandle</code> fonksiyonunu, hiçbir Windows API&rsquo;si çağırmadan sıfırdan nasıl implemente edebileceğimizi inceleyeceğiz. Tabiki bunu yapma sebeplerimizden en büyüğü sürekli kullanmış olduğumuz bu fonksiyonu IAT(Import Address Table) içerisinden gizlemek.</p> <p>Bildiğiniz gibi <code>GetModuleHandle</code>, verdiğiniz bir DLL ismine karşılık o modülün bellekte yüklü olduğu base adresini döner. Yaptığı işlem aslında gayet nettir: OS loader tarafından her process için tutulan ve yüklü modülleri barındıran bir listeyi taramak. Bu liste, Process Environment Block (PEB) yapısının içinde yer alır. Bu yazının odak noktası da PEB&rsquo;e manuel olarak ulaşıp bu listeyi nasıl parse edeceğimizi adım adım göstermek olacak.</p>https://0xgently.github.io/posts/%C4%B1pv4_deobf/Fri, 10 Apr 2026 00:00:00 +0000https://0xgently.github.io/posts/%C4%B1pv4_deobf/<h2 id="ipv4v6-deobfuscation">IPv4/v6 DeObfuscation</h2> <p>Bu yazıda, dışarıdan bakıldığında son derece sıradan görünen bir ağ yapılandırma fonksiyonunun, nasıl bir shellcode decoder&rsquo;a dönüştürüldüğünü inceleyeceğiz. Amacımız, saldıran tarafın zihniyetini anlayarak savunma sistemlerimizi bu tür &ldquo;normal görünen anormallikleri&rdquo; yakalayacak şekilde kurgulamak.</p> <p><strong>Not</strong>: Bu metinde anlattığım kodun tamamını <a href="https://github.com/0xGently/malware-development-library/tree/main/Payload-Encryption-and-Obfuscation/06-IPv4_IPv6_DeObf">malware-development-library</a> adresinde bulabilirsiniz. Ayrıca bu konunun mantığını oturtup kodun tam halini incelediğinizde diğer tekniklere uygulanan DeObfuscation işlemlerinide oluşturabilirsiniz. Zaten hemen hemen aynı ya sadece birkaç değişiklik yapmanız gerekmektedir o kadar.</p>https://0xgently.github.io/posts/%C4%B1pv4_obf/Thu, 05 Feb 2026 00:00:00 +0000https://0xgently.github.io/posts/%C4%B1pv4_obf/<h2 id="ipv4ipv6-obfuscation">IPv4/IPv6 Obfuscation</h2> <p>Siber güvenlik dünyasında bir veriyi saklamak istediğimizde önümüzde genellikle iki temel yol olur: Ya veriyi doğrudan şifreleriz (AES, RC4 veya XOR gibi) ya da onu karmaşıklaştırırız (obfuscation).</p> <p>Yazılım geliştirirken kodu zorlaştırmak bazen sadece fikri mülkiyeti korumak için değil, güvenlik mekanizmalarını aşmak için de kritik bir rol oynar. Örneğin elimizde bir shellcode var ve bunu gizlemek istiyoruz. İlk akla gelen çözüm şifreleme olsa da bu her zaman en akıllıca yol olmayabilir. Çünkü şifrelenmiş veriler, dosyanın o bölümündeki <strong>entropiyi (rastgelelik oranını)</strong> tavan yaptırır ve bu durum güvenlik analizcilerinin ya da AV/EDR çözümlerinin hemen radarına takılır. İşte bu noktada, dikkat çekmeden karmaşıklaştırmak çok daha mantıklı bir seçeneğe dönüşüyor.</p>