Bir spoofun gerçekten uygulandığı nasıl doğrulanır
Kimlikleri önce ve sonra okuyup iki listeyi karşılaştırın, başarı penceresine güvenmeyin. Kısmi bir spoofun nasıl göründüğü ve yalnızca okuma yapan Windows komutları da içinde.
Kısa cevap
Kimlikleri spooftan önce ve bir kez de sonra okuyup listeleri karşılaştırın; başarı penceresi kanıt değildir. Değerlerin yalnızca bir kısmı değiştiyse spoof kısmidir ve değişmemiş tek bir seri numarası makineyi eski kimliğine bağlamaya yetebilir.
Bu sayfada9
- Başarı mesajı neden yeterli değil?
- Öncesi ve sonrası nasıl karşılaştırılır
- Kimliklerinizi kontrol etmek için yalnızca okuma yapan komutlar
- Karşılaştırmanız ne anlama geliyor?
- Hangi değerler aynı kalmalı?
- Kısmi bir spoofa ne yol açar?
- Herhangi bir şey açmadan önce nelere bakmalı
- Temiz bir karşılaştırma güvenlik garantisi midir?
- Doğrulama hakkında sık sorulan sorular
Başarı mesajı neden yeterli değil?
Bir spooferın başarı mesajı yalnızca kendi rutininin hatasız bittiğini bildirir; makinenizin diğer yazılımlara artık ne söylediğini değil. İkisi ayrışabilir: bir sürücü yüklenememiş olabilir veya araç o alanı kapsamıyor olabilir. Bir servis eski değeri çoktan önbelleğe almış olabilir ya da yeniden başlatma, her açılışta çalışan bir değişikliği geri almış olabilir. Dördü de neşeli bir pencere ve değişmemiş bir kimlik üretir. Ağırlığı olan tek kanıt, diğer yazılımların kullandığı yoldan, öncesinde ve sonrasında sizin kendi okuduğunuz değerdir.
Öncesi ve sonrası nasıl karşılaştırılır
Tek bir tur beş dakika sürer ve bir tahmini olguya çevirir. Bunu spooflanan makinede, yönetici yetkisiyle açılmış bir komut isteminde, oyun ve bütün başlatıcılar kapalıyken yapın.
- Makineyi temiz biçimde açın, başka hiçbir şey çalıştırmadan önce
- Aşağıdaki yalnızca okuma yapan komutları çalıştırın ve çıktıyı, ne zaman alındığını belli eden bir adla dosyaya kaydedin
- Spooferınızı belgelerinde yazdığı gibi çalıştırın, başka hiçbir şeyi değiştirmeyin
- Tam olarak aynı komutları bir kez daha çalıştırın ve çıktıyı ikinci bir dosyaya kaydedin
- İki dosyayı satır satır karşılaştırın ve hangi alanların değişip hangilerinin değişmediğini belirleyin
- Değişen değerlerin rastgele değil makul göründüğünü kontrol edin. Anakart seri numarası üreticisinin kendi biçimine, disk seri numarası da o üreticinin tarzına uymalı
- Ancak ondan sonra başlatıcıyı ve oyunu açın
Kimliklerinizi kontrol etmek için yalnızca okuma yapan komutlar
Aşağıdaki her komut yalnızca durumu okur: hiçbiri bir kimliği, bir kayıt defteri kütüğünü veya firmware'i değiştirmez. Son fc satırının üstündeki her şeyi inspect.cmd olarak kaydedin. Spooftan önce bir kez, sonra bir kez daha çalıştırın, ardından iki çıktıyı o fc satırıyla karşılaştırın.
REM Save a snapshot. Run the same block again after spoofing into after.txt
REM inspect.cmd > before.txt then inspect.cmd > after.txt
REM Motherboard
powershell -c "Get-CimInstance Win32_BaseBoard | Select-Object Manufacturer, Product, Version, SerialNumber"
REM System UUID and the OEM identifying number
powershell -c "Get-CimInstance Win32_ComputerSystemProduct | Select-Object Name, Vendor, UUID, IdentifyingNumber"
REM BIOS
powershell -c "Get-CimInstance Win32_BIOS | Select-Object Manufacturer, SMBIOSBIOSVersion, SerialNumber, ReleaseDate"
REM Physical disks and their serials
powershell -c "Get-CimInstance Win32_DiskDrive | Select-Object Index, Model, InterfaceType, SerialNumber"
REM Volume identifiers
powershell -c "Get-Volume | Select-Object DriveLetter, FileSystemLabel, UniqueId"
vol C:
REM MAC addresses for every adapter, not just the one you are using
getmac /v /fo list
powershell -c "Get-CimInstance Win32_NetworkAdapter -Filter 'PhysicalAdapter=true' | Select-Object Name, MACAddress"
REM TPM presence and manufacturer, read-only
powershell -c "Get-CimInstance -Namespace root\CIMV2\Security\MicrosoftTpm -ClassName Win32_Tpm | Select-Object ManufacturerIdTxt, ManufacturerVersion, SpecVersion, IsEnabled_InitialValue"
REM GPU, and the vendor UUID where the vendor tooling exposes one
powershell -c "Get-CimInstance Win32_VideoController | Select-Object Name, PNPDeviceID, DriverVersion"
nvidia-smi -L
REM The registry MachineGuid - a query, which only reads
reg query "HKLM\SOFTWARE\Microsoft\Cryptography" /v MachineGuid
REM Compare the two snapshots
fc before.txt after.txtKarşılaştırmanız ne anlama geliyor?
İki dosyanıza uyan satırı bulun. Kısmi spoof tehlikeli olan durumdur, çünkü araç yine de başarı bildirmiş olacaktır.
| Karşılaştırma ne gösteriyor | Ne anlama geliyor | Ne yapmalı |
|---|---|---|
| Aracın kapsadığını söylediği bütün kimlikler değişmiş ve yeni değerler makul görünüyor | Spoof amaçlandığı gibi uygulandı | Sıranızın kalanına devam edin. İki dosyayı da bir sonraki sefere örnek olarak saklayın |
| Bazı alanlar değişmiş, diğerleri “öncesi” dosyasıyla birebir aynı | Kısmi spoof. Değişmemiş tek bir seri numarası önceki kümeyle eşleşmeye yetebilir | Hiçbir şey açmayın. Aracın belgelerinde neyi kapsadığını yeniden okuyun ve kapsanmayan alanları desteğine bildirin |
| Hiçbir şey değişmemiş | Araç etkili olmadı: yönetici yetkisi gerekiyordu, bir sürücü yüklenemedi ya da bir şey onu engelledi | Yeniden başlatın, temiz bir açılışta başka hiçbir şey çalışmazken tekrar çalıştırın ve yeniden doğrulayın |
| Değerler değişmiş, sonra bir yeniden başlatmanın ardından eski hâline dönmüş | Her açılışta çalışan bir spoof tam da tasarlandığı gibi davranıyor | Açılışı, spoofu ve doğrulamayı her oturumda tek bir rutin sayın |
| Değerler değişmiş ama makul görünmüyor veya birbiriyle çelişiyor | Tutarsız kimlikler kendi başlarına bir sinyaldir ve orijinallerinden daha ayırt edicidir | Gelişigüzel değerler yerine aracın kendi ürettiği profilleri kullanın ve alanların nasıl görünmesi gerektiğini desteğine sorun |
| Aynı komutun her okumasında değerler değişiyor | Bir şey her çağrıda yeni bir yanıt üretiyor | Durun ve sorun; bu, bu kimlikleri okuyan yazılımların beklediği davranış değil ve fazlasıyla göze batıyor |
Not
Hangi değerler aynı kalmalı?
Doğrulama, aracınızın kapsadığını söylediği alanlarla ilgilidir; olabildiğince çok fark elde etmekle değil. Windows sürümünüzün, CPU modelinizin, GPU modelinizin ve takılı RAM'in aynı kalması beklenir. Yuvadaki yongadan farklı bir CPU modeli bildiren bir araç bir iyileştirme değil, bir tutarsızlık üretmiştir. TPM üretici satırının değişmesini de beklemeyin: onu, bir TPM'in var olup olmadığını ve etkin olup olmadığını öğrenmek için okuyorsunuz.
Kısmi bir spoofa ne yol açar?
Kısmi bir spoofun genelde dört sebebinden biri vardır. Birincisi, aracın o kimliği kapsamaması ve kapsadığını zaten hiç söylememesi. İkincisi, değerin aracın üstünde oturmadığı bir yoldan okunması; GPU kimliklerinde bu sık görülür. Üçüncüsü, spooftan önce başlamış ve eski değeri önbelleğe almış bir servis. Dördüncüsü, ardından her açılışta çalışan değişikliğin sessizce kaybolduğu bir yeniden başlatma. Dördü de öncesi ve sonrası karşılaştırmasında görünür, başarı penceresinde görünmez.
Herhangi bir şey açmadan önce nelere bakmalı
- “Öncesi” anlık görüntüsü temiz bir açılışta, hiçbir başlatıcı açılmadan alındı
- “Sonrası” anlık görüntüsü tam olarak aynı komutlarla alındı
- Aracın kapsadığını söylediği her alan farklı bir değer gösteriyor
- Yeni değerler rastgele dizeler gibi değil, gerçek donanıma yakışır biçimde makul görünüyor
- Windows sürümü, CPU modeli veya RAM miktarı gibi sabit kalması gereken hiçbir şey değişmedi
- Yalnızca o an bağlı olan değil, bütün ağ bağdaştırıcıları kontrol edildi
- Spoofunuzun yeniden başlatmayı aşıp aşmadığını biliyorsunuz ve bunu makineyi yeniden başlatıp değerleri tekrar okuyarak test ettiniz
- İki dosya da bir dahaki sefere bulabileceğiniz bir yere kaydedildi
Uyarı
Temiz bir karşılaştırma güvenlik garantisi midir?
Hayır. Temiz bir karşılaştırma, makinenizin artık farklı değerler bildirdiğini kanıtlar. Geride hiçbir kimlik kalmadığını, bir satıcının sizi başka bir yoldan ilişkilendiremeyeceğini veya bir banın gelmeyeceğini kanıtlamaz. Yalnızca aracın söylediğini yaptığını kontrol eder; bütün bu işte kendi başınıza ortaya koyabileceğiniz tek parça da budur. Bu kontrolün yapmaya değer olmasının sebebi tam olarak, ondan sonrasının tamamen sizin denetiminizin dışında olması.
Doğrulama hakkında sık sorulan sorular
Bu komutlar yönetici yetkisi ister mi?
CIM sorgularının çoğu standart kullanıcıyla çalışır ve hepsi yalnızca okuma yapar. Yine de yönetici yetkisiyle açılmış bir komut isteminde çalıştırın ki öncesi ve sonrası anlık görüntüleri birebir aynı koşullarda alınsın.
Get-CimInstance yerine wmic kullanabilir miyim?
Eski wmic karşılıkları aynı alanları döndürür, ama wmic kullanımdan kaldırıldı ve güncel Windows sürümlerinde yok. Aynı blok çalışmaya devam etsin diye CIM komutlarını kullanın.
Araç başarılı diyor ama hiçbir şey değişmedi. Hangisi doğru?
Sizin karşılaştırmanız doğru, çünkü pencere rutinin kendi dönüş değerini bildirir, makinenizin diğer yazılımlara ne söylediğini değil. Yeniden başlatın, aracı temiz bir açılışta çalıştırın ve bir şey açmadan önce yeniden doğrulayın.
Her oturumda doğrulamalı mıyım?
Spoofunuz her açılışta çalışıyorsa her oturumda doğrulayın, çünkü yeniden başlatmada geri alınır. Kalıcı bir spoofta ise uygulandıktan sonra, ayrıca her Windows güncellemesinden veya donanım değişikliğinden sonra doğrulayın.
HWID'mi gösteren tek bir komut var mı?
Hayır, çünkü tek bir HWID yok. Kümenin tamamını okumanız gerekir; inceleme komutlarının tek satır değil bir liste olmasının sebebi de bu.
Kaynaklar
Komutlar Windows'un standart komutları, doğrulama rutini ise ekibin kendi rutini. Kısmi bir spoofun nasıl göründüğü hiçbir yerde yayımlanmadı.
Sırada ne var
Hâlâ takıldınız mı? Discord'da destek talebi açın
Tüm rehberler