關於我


簡介 Bio

馬聖豪（@aaaddress1）目前為 TXOne Networks Inc. 產品資安事件應變暨威脅研究團隊 Team Lead 專研逆向工程分析超過十五年經驗並熱愛與涉略 漏洞技巧、Symbolic Execution、AI/ML、自然語言處理、編譯器實務 與 作業系統原理 等領域。同時他亦為台灣資安社群 CHROOT 成員，並曾任 Black Hat USA、Black Hat MEA、DEFCON、CODE BLUE、S4、SECTOR、HITB、VXCON、HITCON、AVTOKYO、ROOTCON、CYBERSEC 等各個國內外年會講者與授課培訓，並著有全球熱銷中英資安書籍《Windows APT Warfare：惡意程式前線戰術指南》

Sheng-Hao Ma (@aaaddress1) is a team lead of TXOne Networks PSIRT and threat research team, responsible for coordinating product security and threat research. With over 15 years of expertise in reverse engineering, symbolic execution, malware analysis, and machine-learning, he is also part of CHROOT, a cybersecurity community in Taiwan.

As a frequent speaker, trainer, and instructor, Sheng-Hao has contributed to numerous international conferences and organizations, including Black Hat USA, Black Hat MEA, DEFCON, CODE BLUE, S4, SECTOR, HITB, VXCON, HITCON, AVTOKYO and ROOTCON, as well as the Ministry of National Defense and the Ministry of Education. He is the author of "Windows APT Warfare: The Definitive Guide for Malware Researchers," a well-regarded cybersecurity book about reverse engineering of Windows.

聯繫方式 Contact 

  1. CHROOT 資安社群成員
  2. TXOne Networks Inc. 資深威脅研究員
  3. 工業技術研究院、資訊工業策進會、奧義智慧科技 實習生
  4. CODE BLUE 2024: 意味検出に必要なのは注意力だけ：ニューラル・シンボリック・アプローチによる新しい変換器
  5. CODE BLUE 2022: ブルーチームの新潮流 - 実用的なシンボリックエンジンによる巧妙なマルウェア・ランサムウェアの検知
  6. Black Hat USA 2024: Attention Is All You Need for Semantics Detection: A Novel Transformer on Neural-Symbolic Approach
  7. Black Hat MEA 2024: Attention Is All You Need for Semantics Detection: A Novel Transformer on Neural-Symbolic Approach
  8. Black Hat USA 2022: A New Trend for the Blue Team - Using a Practical Symbolic Engine to Detect Evasive Forms of Malware/Ransomware
  9. SECTOR 2023: Advancing BYOVD to A New Era - Lateral Movement on Microsoft Layer Kernel Virtualized Mitigation
  10. S4x24:  Attack Surface Analysis On Satellites
  11. AVTOKYO 2024: 衛星のアタックサーフェスの分析 - 脆弱な低軌道衛星 (LEO) を悪用してサイバーフィジカルシステムを掌握する
  12. DEFCON 26: Playing Malware Injection with Exploit thoughts
  13. HITB (Hack In The Box) 2021 AMS: Rebuild The Heaven's Gate: from 32 bit Hell back to Heaven Wonderland
  14. DEFCON 31: (ICS-Village) The War is Coming: Why Securing OPC-UA is more critical than ever
  15. OT-ISAC 2023: The War is Coming: Why Securing OPC-UA is more critical than ever
  16. HITCON 2023: 現代內核漏洞戰爭 - 越過所有核心防線的系統/晶片虛實混合戰法
  17. HITCON Enterprise 2023: 濫用企業通訊與公務平台之社交工程戰略
  18. COSCUP 2022: 跨國投稿從入門到精通：那些投稿大師必備的小技巧
  19. iThome CYBERSEC 2024: 系統核心防護組合拳：從晶片原理綜觀 Windows 11 核心既有防禦手段是否有效？
  20. iThome CYBERSEC 2024: 更新爭霸戰：你的防毒軟體，是防毒還是軟體？
  21. iThome CYBERSEC 2024: EDR × FAMILY： AI 歸因家家酒
  22. iThome CYBERSEC 2024: Star Wars X: Might the Space Force won't be with you
  23. iThome CYBERSEC 2023: 笑死，能關防毒幹嘛要做免殺呢？從令牌偽造到把防毒關進沙箱隔離
  24. iThome CYBERSEC 2023: OPC-UA 汽車製造的數位轉型新曙光？攻擊者正潛伏在下一波新攻擊 ;)
  25. iThome CYBERSEC 2023: 從黑箱程式語義以污點分析對抗無限變種的在野勒索攻擊
  26. iThome CYBERSEC 2022: 現代攻擊者免殺心法：以時間鉗形戰術打穿即時防護
  27. iThome CYBERSEC 2022: 文件格式混用在野技巧：從防守盲點到惡意利用
  28. iThome CYBERSEC 2022: 從反組譯建立次世代語意感知特徵碼引擎
  29. iThome CYBERSEC 2022: 我識破你的識破：LSALSASSUSELESS
  30. iThome CYBERSEC 2021: 重建天堂之門：從 32bit 地獄一路打回天堂聖地
  31. iThome CYBERSEC 2020: 唉唷，你的簽章根本沒在驗啦。
  32. ROOTCON 2021: Skrull Like A King: From File Unlink to Persistence
  33. HITCON 2022: 藍隊新曙光 - 以語意感知之的啟發式符號引擎挫敗在野勒索軟體
  34. HITCON CMT 2021: Skrull Like A King: 從重兵看守的天眼防線殺出重圍
  35. HITCON CMT 2020: Reversing In Wonderland: Neural Network Based Malware Detection Techniques
  36. HITCON CMT 2019: Duplicate Paths Attack: Get Elevated Privilege from Forged Identities
  37. IEEE S&P (Co-located with Oakland) 2019: Demo: An Emulator-based Active Protection System against IoT Malware
  38. Black Hat Asia Arsenal 2018: PUZZCODE, MAKE BACKDOORS GREAT AGAIN!
  39. VXCON 2018 Speaker: Implementing Software Packer
  40. 果核數位 2022: 在野軍火提權戰略：攻破 Windows 11 再次奪下主控權
  41. SITCON 2020: Playing Win32 Like a K!NG ;)
  42. HITCON CMT 2015 Speaker: Android AIDS:Automatic Intelligence De-advertisement Scheme In CSharproid
  43. HITCON CMT 2015 Speaker: 欺騙IDA Pro Hex Rays插件！讓逆向分析者看見完全不同的結果 IDA Pro Hex-Rays Decompiler Cheat
  44. HITCON CMT 2016 Lightning Talk: PokemonGo Hacking without Jailbreak
  45. HITCON CMT 2017 Speaker: Windows Injection 101: from Zero to ROP
  46. HITCON CMT 2018 Speaker: Malware Sandbox Emulation in Python
  47. HoneyCon 2018: 加密與保護：揭秘程式保護殼如何防止駭客破解你的產品
  48. SITCON 2016 Speaker: 防毒擋不住？勒索病毒猖獗與實作
  49. SITCON 2017 Speaker: 開發學校雲端服務的奇技淫巧
  50. iThome#Chatbot Day 2017 Speaker: 孫子廣播電台
  51. ICNC'17 IEEE Workshop 論文: Advertisement Removal of Android Applications by Reverse Engineering

教育訓練 Training

  1. HITCON Training 2021/2020/2019: Windows APT Warfare
  2. HITCON Training 2018: from Zero to Windows Shellcode Expert
  3. 資安卓越中心計畫（CCoE）頂尖資安人才培育專案 2021, 2022
  4. 教育部資訊安全人才培育計畫: Windows 惡意程式分析實務 
  5. 教育部資安實務攻防研習營 (Pwn, Reversing)
  6. 教育部資訊安全基礎技術工作坊 (Pwn, Reversing)

留言

  1. 匿名2024年1月4日 晚上10:45

    網誌管理員已經移除這則留言。

    回覆刪除
  2. 匿名2024年1月4日 晚上10:46

    網誌管理員已經移除這則留言。

    回覆刪除

張貼留言

這個網誌中的熱門文章

[C#] Lambda花式應用噁爛寫法（跨UI委派秒幹、多線程處理...etc）

為啥會有這篇呢...因為最近寫太多C# 突然發現Lambda對程式碼減化太有幫助了=...= 為了怕哪天老人癡呆忘了這些噁心的花式寫法，就開一篇Blog文紀錄了 以前在寫多線程,可能得這麼寫： void Func() {/*多線程要做的事情*/} //接著呼叫： Thread nThread = new Thread(Func); nThread.Start(); 但今天用Lambda可以改寫： Thread nThread = new Thread(() => {/*多線程要做的事情*/}); nThread.Start(); 甚至在噁心點寫的寫法： new Thread(() => {/*多線程要做的事情*/}).Start(); 簡單來說Lambda的形式可拆解成： ()是指你的函數參數列、然後可用=>代表你要接的Lambda陳述句/塊，最後用{}把事情包起來。 在來就是比較討厭的C#內要做跨UI線程操控UI上物件，會有跨UI安全性線程問題， 所以一般會額外寫個委派函數，然後請求UI Thread去處理這個委派函數請求，才能控制 這樣往往可能只用一兩次的委派函數，卻要占用一個篇幅去寫委派函數 先看看正常的跨UI委派寫法： private delegate void nCallback(string ContentText); public void n(string ContentText) { if (this.InvokeRequired) { nCallback obj = new nCallback(n); this.Invoke(obj, new object[] { ContentText }); return; } this.Text = ContentText; } //調用時呼叫n("str") 就可以改寫成： this.Invoke(new Action(() => { this.Text = "Str"; })); 又因為=>後面可接陳述塊或者陳述句，所...
閱讀完整內容

[Windows] 逆向工程 C++ 中入口函數參數 main(argc, argv) 與如何正確的進行參數劫持

圖片
前言 我在 Github 上三年前開源了精簡的以 C/C++ 撰寫的 Windows 執行程式裝載器： aaaddress1/RunPE-In-Memory  用以從記憶體執行以 C/C++ 開發的 *.exe 程式不必以 CreateProcess() 來叫起，算是一種概念性 PoC 啦畢竟這種手段在惡意程式和殼上經常使用，所以寫一寫就丟出來給大家玩 XD 不過有人在我的專案發起了 Issue：既然能從記憶體中執行 *.exe 那能否偽造 *.exe 取得的參數呢？嗯好問題XD 正逢去年蠻忙的所以一直懶得弄，這個月比較閒於是就決定在專案中新增 參數偽造 的功能，這邊簡單提一下 C++ 中 main() 入口所收的 argc 與 argv 來的。 [附註] 以下逆向工程內容以 MinGW 生產的程式為例， 系統逆向工程為 Win10 企業版 1809版  CRTStartup 在 Windows 下通常取得參數通常分為兩種狀況：  WINAPI GetCommandLineW() 系統函數返回字串指針指向當前完整應用程式參數 從 main(argc, argv) 拿回來的參數，那麼第二種狀況在編譯器是怎麼吐參數給開發者 main 入口的呢？ 在編譯器吐出執行程式後，連結器會生產一段 CRTStartup 的函數用於做一些基礎的例如像是 Security Cookies、Control Flow Guard 保護的初始化，在一系列初始化之後 .data 段的全域變數 _argv、argc 紀錄著要傳入給開發者入口函數的 參數陣列 與 數量，就以參數形式呼叫 main() 函數 好問題，那這兩個全域變數是在哪裡被初始化的？ 你會發現以 MinGW 為例的話，會去呼叫 msvcrt!__getmainargs() 來取得參數資訊保存到 .data 全域變數上，後續再傳遞給 main() 函數；如果是 VC++ 吐出來的則是直接呼叫 GetCommandLineW() 在做文字切割取出參數 MSVCRT MSVCRT.dll 有導出一系列 C 函數是引用 #include <stdio.h> 時會用到的，例如 printf, sprintf, gets 等等。...
閱讀完整內容

重建天堂之門：從 32 位元地獄一路打回天堂聖地（上）深度逆向工程 WOW64 設計

圖片
前言 這份研究是從去年底開始摸的，主因是一直對 Windows 如何實作 WOW64 兼容架構覺得有意思，並且坊間蠻多開源的天堂之門專案都死掉了 QQ 所以才打算自己完全重新逆向工程分析過一次。 逆向整個 WOW64 架構可以發現很多蠻有意思的問題，比方說 Intel 晶片指令集模式切換、記憶體模擬分配、WOW64 偽造的原生 32-bit 環境，例如 System32 在 32-bit 下會被重導向至 SysWOW64 到底在哪一層實作重導向的呢 ;)  此研究也運氣不錯分別被國內研討會 CYBERSEC 收錄為 《重建天堂之門：從 32bit 地獄一路打回天堂聖地》 與 HITB（Hack In The Box Security Conference）收錄為  《WoW Hell: Rebuilding Heavens Gate》 若對線上演講內容有興趣可以參考 Youtube 上 HITB 的直撥串流  HITB2021AMS D1T2 - WoW Hell: Rebuilding Heavens Gate - ShengHao Ma   不過我英文很破能不看就不看啦 由於整份演講內容想提的細節太多了，所以本部落格文拆成上下兩集。 當前本文是上集，會講述完整逆向工程整套微軟設計的 WOW64 架構怎麼設計的 。而下集《 重建天堂之門：從 32 位元地獄一路打回天堂聖地（下）攻擊篇：x96 Shellcode、天堂聖杯 ＆ 天堂注入器 》會著重在我今年發表出來的幾個有趣的攻擊點 :) 如果對天堂之門技術已經很熟的大佬，可以跳過本文看下一集了 <(_ _)> ＊注意＊ 本份研究在 2021/06/11 是基於 Windows 10 Enterprise 最新版本逆向工程結果所紀錄， 可能與讀者電腦中反編譯出來的結果有所出入是正常的 。筆者實測了同樣是 Windows 10 但不同組建版本在組合語言層級皆有些許差異，不過各個函數設計用途是固定且規律的、不會因版本而有所差異。 而整份研究不限但至少涉及了以下已知文獻，蠻值得一看的 2011 -  Mixing x86 with x64 code by ReWolf 2012 -  Knockin’ on Heaven’s Gate by georg...
閱讀完整內容