PracticU

מעקב אחר הליבה של וונדוס - Kernel
xperf

בלי כתוביותעם כתוביות
PracticU › קורס SOC - מיישם הגנת סייבר › מעקב אחר הליבה של וונדוס - Kernel xperf
מילון מושגים:
קרנל - ליבת מערכת ההפעלה, שמנהלת את החומרה, הזיכרון והתהליכים ומתווכת בינם לבין התוכנות.
SDK - ערכת כלים לפיתוח: אוסף ספריות, כלים ותיעוד שמאפשרים לבנות תוכנה לפלטפורמה או שירות מסוימים.
Sysmon - כלי של מיקרוסופט שמתעד פעילות מפורטת במערכת Windows ביומן האירועים, לצורכי ניטור ואבחון אבטחה.
Event Viewer - כלי ב-Windows שמציג את יומני האירועים של המערכת והתוכנות, לצורך מעקב ואבחון תקלות.
ipconfig - פקודת Windows שמציגה ומנהלת את הגדרות הרשת של המחשב, כמו כתובת ה-IP ושער ברירת המחדל.
Ping - פקודה שבודקת אם מכשיר ברשת מגיב ומודדת את זמן התגובה אליו.
ETL - תהליך של חילוץ נתונים ממקורות, עיבודם והטענתם ליעד כמו מחסן נתונים (Extract, Transform, Load).
תהליכון - יחידת ביצוע בתוך תהליך, המאפשרת להריץ כמה מהלכים במקביל ולחלוק את אותו זיכרון.
מעקב אחר הליבה של וונדוס - Kernel xperf
xperf הוא כלי שורת פקודה של מיקרוסופט שמתחבר ל-ETW, מערכת התיעוד של ליבת Windows. הוא חלק מ-Windows SDK, בתיקיית Windows Performance Toolkit.
איך זה עובד
1. הכנה: הכלי לא גרפי, ולכן פותחים CMD כמנהל (Run as administrator), נכנסים לתיקייה ובודקים עם dir שהקובץ xperf.exe קיים.
2. התחלת מעקב: מריצים xperf עם start, שם מעקב, קובץ פלט ופרובידר, כאן DNS. בלי מסנן, ולכן הוא מתעד הכול.
3. אימות בממשק הגרפי: ב-Performance Monitor רואים את הסשן עם פרובידר אחד וללא מסנן, ואת מיקום הקובץ. כלים גרפיים וכלי שורת פקודה מסתכלים על אותו API של Windows, וגם Sysmon ו-Event Viewer משתמשים ב-ETW.
4. יצירת אירוע: ipconfig /flushdns ואז ping לאתר, כדי לכפות פנייה ל-DNS.
5. עצירה: xperf -stop עוצר את המעקב ומציין היכן הקובץ נשמר. הסשן נמחק גם מ-Performance Monitor.
6. קריאה ב-Trace View: פותחים את קובץ ה-ETL עם Open log file וקוראים את האירועים. אפשר לראות איזה תהליך עשה אותם. את ה-Process ID משווים לעמודת PID ב-Task Manager בלשונית Details, ובמקרה כאן זה היה שירות. רואים גם את ה-Thread.
7. המרה לטקסט: tracefmt, גם הוא מ-SDK, מדפיס את הקובץ למסך. כאן יצאו 94 אירועים, כולל שאילתת ה-DNS ופענוח כתובת ה-IP.
שימו לב
- יש הרבה כלים שמבינים ETL. הכלי המרכזי, logman, יוסבר בהרצאה נפרדת.
- אחרי שמתרגלים, אפשר להתקדם לדוגמאות עם תוכנות זדוניות.
עכשיו אפשר להפעיל מעקב ETW מ-xperf, לעצור אותו ולקרוא את הקובץ.
השיעור הבא בקורס: מעקב אחר הליבה של וונדוס - Kernel Logman

פרקי ההרצאה: מעקב אחר הליבה של וונדוס - Kernel xperf

  1. 00:00

    הכרת הכלי Xperf

  2. 00:37

    הרצת Xperf מ-Command Line

  3. 01:14

    התחלת Trace של DNS

  4. 01:54

    כלים גרפיים מול שורת פקודה

  5. 02:29

    אילוץ שאילתת DNS ותיעודה

תמלול ההרצאה: מעקב אחר הליבה של וונדוס - Kernel xperf

הטקסט המלא של הדקות הראשונות בהרצאה «מעקב אחר הליבה של וונדוס - Kernel xperf» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

  1. 00:02

    שלום לכולם, בסרטון זה נכיר את הכלי של מייקרוסופט שנקרא Xperth שהוא גם יודע להתחבר למערכת תיעוד של הקרנל, של הליבה של הווינדוס שנקראת ETW, Event Tracing for Windows והכלי הזה הוא חלק מ-SDK, כבר הורדנו והתקנו את ה-SDK של מייקרוסופט בסרטונים קודמים פשוט נכנסים לאתר של מייקרוסופט,

  2. 00:27

    מתקינים את ה-SDK, ברירת מחדל הכל ואז בתיקייה שנקראת Performance Toolkit שזה ערכה לשיפור הביצועים אנחנו יכולים למצוא פה את הכלי שהותקן שנקרא Experts הכלי הזה הוא לא גרפי, בגלל זה אם נריץ אותו ככה הוא יפעיל לי את החלון השחור של הדוס ויסגור אותו אז בשביל להשתמש בו חייבים לפתוח CMD

  3. 00:49

    אני עושה Start Run, כותב Command Prom CMD, Run as Administator, פותח שורת פקודה, נכנס לתוך התיקייה שלו וכשאני בתוך התיקייה אני יכול להריץ את הכלי הזה, בואו נבדוק שהוא באמת פה, נעשה דיר לראות את הקבצים שיש בתיקייה, xperf.exe, אני לא כותב עד הסוף, אני לוחץ תאב, הוא משלים לי אותו ואני רואה שהקובץ אכן

  4. 01:11

    קיים בתיקייה, זה הגודל שלו. הכל טוב, אנחנו במקום הנכון. אפשר לנקות מסך עם פקודת cls, ועכשיו אנחנו שוב מריצים מה הקו אחרי dns. הפקודה היא xperf start תתחיל trace, בוא נקרא לו פרקטי קיו טרייס או בוא נקרא לו פרקטי קיו די.אן.אס טרייס איך שאנחנו רוצים לאיזה קובץ אנחנו רוצים לשמור את הטרייס שלנו את המעקב שלנו נקרא לזה פי.או פרקטי קיו

  5. 01:42

    די.אן.אס מעקב טרייס מעקב פייל ואחרי זה פרוביידר לעקוב ברגע שאני עושה את זה אפשר לראות את זה פה בכלי הגרפי כי כולם מתחברים לאותה מערכת אפשר לראות פה בפרופרטיז שיש פרוביידר אחד ללא סינונים, ללא מסננת, אמרתי לו לתעד הכל, הוא מתעד הכל לתוך קובץ ואפשר לראות כאן את המיקום של הקובץ שכתבנו לו.

  6. 02:09

    אני בא להראות לכם שגם כלים גרפיים וגם כלים של Command Line, שורת פקודה, הכל מתנקז לאותו מקום וכולם מסתכלים על אותו API של Windows ושולפים משם המידע, וזה לא משנה אם זה כלי גרפי או לא גרפי.

  7. 02:25

    עכשיו אפשר לעשות IP Config Flash DNS, לנקות את ה-cash של ה-DNS ולעשות פינג ל-www.practicue.com כדי לאלץ אותו ללכת ל-DNS ולתעד לי את האירוע הזה.

  8. 02:37

    ועכשיו כשסיימנו בהצלחה את הניסוי שלנו אנחנו יכולים לעצור את המעקב.

לקורס המלא: קורס SOC אונליין – מיישם הגנת סייבר

ההרצאה הקודמת: מעקב אחר הליבה של וונדוס - Kernel - SilkETW

ההרצאה הבאה: מעקב אחר הליבה של וונדוס - Kernel - Logman

הרצאות קשורות מקורסים אחרים

  • הכספת של וונדוס
  • מיקרוסרביס שמשתמש במיקרוסרביס אחר
  • קימפול ידני של קרנל - kernel
  • התקנה של SQL על וונדוס 10

קורסים נוספים במסלול

  • קורס סייבר למתחילים - Hacking - בדיקות חוסן תשתיתי ופריצה ל-Windows 10/11 - קורס זה נדרש למבחן ההסמכה היוקרתי OSCP
  • קורס פריצה ומבדקי חדירה לתשתית ארגונית - בדיקות חוסן מתקדמות ל-Active Directory - קורס זה נדרש למבחן ההסמכה היוקרתי OSCP
  • קורס פריצה ומבדקי חדירה לאתרי אינטרנט - בדיקות חוסן לאתרים - Web Pentesting - קורס זה נדרש למבחן ההסמכה היוקרתי OSCP
  • קורס סייבר והאקינג ל-Android - פריצה לטלפונים ואפליקציות אנדרואיד - בודק חוסן - Mobile App Pentesting