搜索

[27054] 2020-08-03_权限维持之打造不一样的映像劫持后门

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-19
2020-08-03_权限维持之打造不一样的映像劫持后门 0 x 0 1   前 言 前 言 0 x 0 2   实 验 环 境 实 验 环 境 0 x 0 3   传 统 传 统 “ 映 像 劫 持 映 像 劫 持 ” S h i f t 后 门 后 门 权 限 维 持 之 打 造 不 一 样 的 映 像 劫 持 后 门 M s 0 8 0 6 7 安 全 实 验 室   2 0 2 0 - 0 8 - 0 3 以 下 文 章 来 源 于 贝 塔 安 全 实 验 室   ， 作 者 x i a o Y a n “ 映 像 劫 持 ” ， 也 被 称 为 “ I F E O ” （ I m a g e   F i l e   E x e c u t i o n   O p t i o n s ） ， 在 W i n d o w s N T 架 构 的 系 统 里 ， I F E O 的 本 意 是 为 一 些 在 默 认 系 统 环 境 中 运 行 时 可 能 引 发 错 误 的 程 序 执 行 体 提 供 特 殊 的 环 境 设 定 。 当 一 个 可 执 行 程 序 位 于 I F E O 的 控 制 中 时 ， 它 的 内 存 分 配 则 根 据 该 程 序 的 参 数 来 设 定 ， 而 W i n d o w s N   T 架 构 的 系 统 能 通 过 这 个 注 册 表 项 使 用 与 可 执 行 程 序 文 件 名 匹 配 的 项 目 作 为 程 序 载 入 时 的 控 制 依 据 ， 最 终 得 以 设 定 一 个 程 序 的 堆 管 理 机 制 和 一 些 辅 助 机 制 等 。 出 于 简 化 原 因 ， I F E O 使 用 忽 略 路 径 的 方 式 来 匹 配 它 所 要 控 制 的 程 序 文 件 名 ， 所 以 程 序 无 论 放 在 哪 个 路 径 ， 只 要 名 字 没 有 变 化 ， 它 就 运 行 出 问 题 。 下 面 呢 ， 我 们 聊 一 聊 如 何 打 造 不 一 样 下 面 呢 ， 我 们 聊 一 聊 如 何 打 造 不 一 样 “ 映 像 劫 持 映 像 劫 持 ” 后 门 。 后 门 。 目 标 机 - W i n d o w s   7 （ 1 9 2 . 1 6 8 . 4 3 . 9 4 ） 攻 击 机 - K a l i   L i n u x     （ 1 9 2 . 1 6 8 . 4 3 . 9 ）         传 统 “ 映 像 劫 持 ” ， 当 用 户 双 击 对 应 的 程 序 后 ， 操 作 系 统 就 会 给 外 壳 程 序 （ 例 如 ” e x p l o r e r . e x e ” ） 发 布 相 应 的 指 令 ， 其 中 包 含 有 执 行 程 序 的 路 径 和 文 件 名 ， 然 后 由 外 壳 程 序 来 执 行 该 程 序 。 事 实 上 在 该 过 程 中 ， W i n d o w s 还 会 在 注 册 表 的 上 述 路 径 中 查 询 所 有 的 映 像 劫 持 子 键 ， 如 果 存 在 和 该 程 序 名 称 完 全 相 同 的 子 键 ， 就 查 询 对 应 子 健 中 包 含 的 ” d u b u g g e r ” 键 值 名 ， 并 用 其 指 定 的 程 序 路 径 来 代 替 原 始 的 程 序 ， 之 后 执 行 的 是 遭 到 ” 劫 持 ” 的 虚 假 程 序 。 简 单 点 说 ， 当 你 打 开 的 是 程 序 简 单 点 说 ， 当 你 打 开 的 是 程 序 A ， 而 运 行 的 却 是 程 序 ， 而 运 行 的 却 是 程 序 B 。 。 大 家 一 定 都 知 道 映 像 劫 持 后 门 ， 在 以 下 注 册 表 中 的 s e t h c . e x e 项 添 加 一 个 D e b u g g e r 字 符 值 （ R E G _ S Z ） ， 并 且 赋 值 为 c m d . e x e 的 执 行 路 径 为 C : w i n d o w s s y s t e m 3 2 c m d . e x e ， 如 图 ： I F E O 注 册 表 项 ： 注 册 表 项 ： 贝 塔 安 全 实 验 室 贝 塔 安 全 实 验 室   . 致 力 于 网 络 安 全 攻 防 研 究 ！ H K E Y _ L O C A L _ M A C H I N E S O F T W A R E M i c r o s o f t W i n d o w s   N T C u r r e n t V e r s i o n I m a g e   F i l e   E x e c u t i o n   O p t i o n s
0 x 0 4   如 何 打 造 不 一 样 的 如 何 打 造 不 一 样 的 “ 映 像 劫 持 映 像 劫 持 ” 后 门 呢 ？ 后 门 呢 ？ 执 行 命 令 添 加 ： 执 行 命 令 添 加 ： 如 上 文 所 述 ， 修 改 I F E O 中 的 “ d e b u g g e r ” 键 值 ， 用 来 替 换 原 有 程 序 的 执 行 ， 键 入 五 下 S h i f t 执 行 s e t h c . e x e 程 序 时 会 执 行 c m d . e x e 程 序 。         与 上 文 对 比 ， 不 一 样 的 “ 映 像 劫 持 ” 后 门 是 怎 样 的 呢 ？ 0 x 0 3 中 所 讲 述 的 传 统 “ 映 像 劫 持 ” 后 门 是 修 改 I F E O 中 的 “ d e b u g g e r ” 键 值 ， 用 来 替 换 原 有 程 序 的 执 行 。 而 不 一 样 的 “ 映 像 劫 持 ” 后 门 ， 实 现 的 效 果 是 ： 程 序 程 序 A 静 默 退 出 结 束 后 ， 会 执 行 程 序 静 默 退 出 结 束 后 ， 会 执 行 程 序 B 。 怀 揣 着 0 x 0 4 的 目 标 我 们 开 始 筹 备 。 在 网 上 收 集 资 料 时 发 现 ，   I m a g e   F i l e   E x e c u t i o n   O p t i o n s 下 可 以 设 置 以 下 值 项 ， 其 中 G l o b a l F l a g 是 本 次 测 试 的 关 键 点 ： R E G   A D D   " H K L M S O F T W A R E M i c r o s o f t W i n d o w s   N T C u r r e n t V e r s i o n I m a g e   F i l e   E x e c u t i o n   O p t i o n s s e t h c . e x e "   / v   D e b u g g e r   / t   R E G _ S Z   / d   " C : w i n d o w s s y s t e m 3 2 c m d . e x e " D e b u g g e r D i s a b l e H e a p L o o k a s i d e S h u t d o w n F l a g s M i n i m u m S t a c k C o m m i t I n B y t e s E x e c u t e O p t i o n s G l o b a l F l a g D e b u g P r o c e s s H e a p O n l y . . . . . .
0 x 0 5   来 看 一 看 它 的 原 理 来 看 一 看 它 的 原 理 在 M S D N 的 博 客 上 进 一 步 发 现 G l o b a l F l a g 由 g f l a g s . e x e 控 制 ， 文 章 地 址 ： h t t p s : / / b l o g s . m s d n . m i c r o s o f t . c o m / j u n f e n g / 2 0 0 4 / 0 4 / 2 8 / i m a g e - f i l e - e x e c u t i o n - o p t i o n s / 下 载 g f l a g s . e x e 开 始 研 究 ， 在 S i l e n t   P r o c e s s   E x i t 这 个 选 项 卡 中 发 现 了 挺 有 趣 的 东 西 。 根 据 微 软 官 方 介 绍 ， 从 W i n d o w s 7 开 始 ， 可 以 在 S i l e n t   P r o c e s s   E x i t 选 项 卡 中 ， 可 以 启 用 和 配 置 对 进 程 静 默 退 出 的 监 视 操 作 。 在 此 选 项 卡 中 设 定 的 配 置 都 将 保 存 在 注 册 表 中 。 填 写 如 上 图 配 置 后 点 击 应 用 ， 开 始 测 试 。 使 用 P r o c e s s   E x p l o r e r 进 行 检 测 进 程 的 变 化 发 现 键 入 五 下 S h i f t 执 行 时 ， 先 执 行 s e t h c . e x e 程 序 ， 当 s e t h c . e x e 程 序 静 默 退 出 时 ， 执 行 c m d . e x e 程 序 ， 运 行 效 果 如 下 ： 进 一 步 分 析 ， 发 现 其 实 是 工 具 帮 我 们 添 加 并 修 改 了 I F E O 目 录 下 s e t h c . e x e 的 G l o b a l F l a g 值 ， 如 图 ： . . . . . .
0 x 0 6   接 下 来 ， 看 下 最 终 效 果 接 下 来 ， 看 下 最 终 效 果 以 及 S i l e n t P r o c e s s E x i t 下 R e p o r t i n g M o d e 和 M o n i t o r P r o c e s s 两 个 项 值 ， 如 图 ： 那 么 ， 我 们 只 需 要 需 改 对 应 的 注 册 表 即 可 ： 那 么 ， 我 们 只 需 要 需 改 对 应 的 注 册 表 即 可 ： 那 么 ， 我 们 可 以 修 改 上 文 中 M o n i t o r P r o c e s s 值 来 放 我 们 的 后 门 ， 例 如 P y t h o n 反 弹 s h e l l ， 配 合 五 下 S h i f t 就 可 以 神 不 知 鬼 不 觉 的 进 行 反 连 。 键 入 五 下 键 入 五 下 S h i f t 后 正 常 弹 粘 滞 键 ， 关 闭 之 后 执 行 我 们 的 后 正 常 弹 粘 滞 键 ， 关 闭 之 后 执 行 我 们 的 r e g   a d d   " H K L M S O F T W A R E M i c r o s o f t W i n d o w s   N T C u r r e n t V e r s i o n I m a g e   F i l e   E x e c u t i o n   O p t i o n s s e t h c . e x e "   / v   G l o b a l F l a g   / t   R E G _ D W O R D   / d   5 1 2 r e g   a d d   " H K L M S O F T W A R E M i c r o s o f t W i n d o w s   N T C u r r e n t V e r s i o n S i l e n t P r o c e s s E x i t s e t h c . e x e "   / v   R e p o r t i n g M o d e   / t   R E G _ D W O R D   / d   1 r e g   a d d   " H K L M S O F T W A R E M i c r o s o f t W i n d o w s   N T C u r r e n t V e r s i o n S i l e n t P r o c e s s E x i t s e t h c . e x e "   / v   M o n i t o r P r o c e s s   / t   R E G _ S Z   / d   " C : w i n d o w s s y s t e m 3 2 c m d . e x e "
0 x 0 7   如 何 如 何 “ 破 破 ” 这 种 权 限 维 持 手 法 这 种 权 限 维 持 手 法 P y t h o n 代 码 ， 代 码 ， 如 图 ： 我 们 来 看 下 我 们 来 看 下 G I F 动 图 效 果 ： 动 图 效 果 ： ( 1 )   流 量 方 面 ： 流 量 方 面 ： 服 务 器 主 动 请 求 攻 击 机 ， 如 图 ： 随 后 ， 三 次 握 手 建 立 连 接 ， 因 此 当 我 们 看 到 异 常 请 求 或 连 接 时 可 进 行 防 御 措 施 。
( 2 )   系 统 配 置 方 面 ： 系 统 配 置 方 面 ： 微 软 w i n d o w s 远 程 桌 面 服 务 为 我 们 提 供 了 两 个 配 置 （ S e c u r i t y L a y e r 、 U s e r A u t h e n t i c a t i o n ） ， 如 下 ： 其 中 U s e r A u t h e n t i c a t i o n 参 数 可 指 定 在 建 立 远 程 桌 面 连 接 之 前 如 何 对 用 户 进 行 身 份 验 证 ， 如 下 ： 翻 译 ： 翻 译 ： 用 户 鉴 权 即 U s e r A u t h e n t i c a t i o n 这 个 参 数 的 作 用 ， 官 方 文 档 说 明 如 下 ： 那 么 ， 当 我 们 将 该 参 数 设 置 为 1 时 则 可 防 止 黑 客 利 用 远 程 桌 面 界 面 键 入 S h i f t 从 而 达 到 防 御 效 果 ， 可 以 直 接 执 行 以 下 命 令 修 改 U s e r A u t h e n t i c a t i o n 注 册 表 值 ， 我 们 看 下 效 果 ： 0 ： 说 明 是 进 行 远 程 桌 面 前 不 需 要 用 户 身 份 验 证 。 1 ： 说 明 是 进 行 远 程 桌 面 前 需 要 进 行 用 户 身 份 验 证 。 r e g   a d d   " H K E Y _ L O C A L _ M A C H I N E S Y S T E M C u r r e n t C o n t r o l S e t C o n t r o l T e r m i n a l   S e r v e r W i n S t a t i o n s R D P - T c p "   / v   U s e r A u t h e n t i c a t i o n   / t   R E G _ D W O R D   / d   1   / f
0 x 0 8   参 考 文 章 参 考 文 章 发 现 我 们 必 须 密 码 输 入 正 确 才 能 弹 出 远 程 桌 面 。 最 后 ， 大 家 可 以 明 白 一 个 道 理 “ 不 知 攻 焉 知 防 ” ， 攻 击 者 通 过 改 变 U s e r A u t h e n t i c a t i o n 参 数 方 便 控 制 ， 我 们 也 可 以 通 过 它 提 高 防 御 。 h t t p s : / / b l o g s . m s d n . m i c r o s o f t . c o m / j u n f e n g / 2 0 0 4 / 0 4 / 2 8 / i m a g e - f i l e - e x e c u t i o n - o p t i o n s / h t t p s : / / b l o g . c s d n . n e t / j o h n s o n b l o g / a r t i c l e / d e t a i l s / 8 1 6 5 8 6 1 h t t p : / / d o w n l o a d . m i c r o s o f t . c o m / d o w n l o a d / A / 6 / A / A 6 A C 0 3 5 D - D A 3 F - 4 F 0 C - A D A 4 - 3 7 C 8 E 5 D 3 4 E 3 D / s e t u p / W i n S D K D e b u g g i n g T o o l s _ a m d 6 4 / d b g _ a m d 6 4 . m s i h t t p s : / / o d d v a r . m o e / 2 0 1 8 / 0 4 / 1 0 / p e r s i s t e n c e - u s i n g - g l o b a l f l a g s - i n - i m a g e - f i l e - e x e c u t i o n - o p t i o n s - h i d d e n - f r o m - a u t o r u n s - e x e / 扫 描 下 方 二 维 码 加 入 星 球 学 习 扫 描 下 方 二 维 码 加 入 星 球 学 习 加 入 后 会 邀 请 你 进 入 内 部 微 信 群 ， 内 部 微 信 群 永 久 有 效 ！ 加 入 后 会 邀 请 你 进 入 内 部 微 信 群 ， 内 部 微 信 群 永 久 有 效 ！       目 前 目 前 2 5 0 0 0 + 人 已 关 注 加 入 我 们 人 已 关 注 加 入 我 们
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理