帖子 یه پست دیدم که ادعا می‌کرد اجرای Post-Ex با استفاده از یک VM می‌تونه از BOFها از نظر OpSec مناسب‌تر باشه، چون در این روش…

یه پست دیدم که ادعا می‌کرد اجرای Post-Ex با استفاده از یک VM می‌تونه از BOFها از نظر OpSec مناسب‌تر باشه، چون در این روش رفتار مربوط به تخصیص و تغییر permission حافظه متفاوت خواهد بود. اما این مقایسه به این سادگی نیست. در هر دو رویکرد، رفتارهای مربوط به حافظه و اجرای کد وجود دارن و صرفاً انتخاب VM به‌تنهایی تضمین نمی‌کنه که ردپای کمتری ایجاد بشه. از طرف دیگه، استفاده از VM خودش می‌تونه کد و اجزای بیشتری رو وارد فضای اجرای Beacon کنه. بنابراین علاوه بر رفتار حافظه، باید حجم و نوع کد موجود در پروسه و روش‌های تشخیص سمت دفاع رو هم در نظر گرفت. در نتیجه نمی‌شه صرفاً بر اساس یک شاخص مثل تغییر permission حافظه گفت VM الزاماً از BOF امن‌تر یا stealthier هست. مقایسه واقعی باید کل رفتار اجرا و سطح قابل مشاهده بودن هر روش رو در نظر بگیره.