搜索

[1163] 2020-12-31_[翻译]CobaltStrike使用BeaconObjectFiles(BOF)进行DirectSyscalls

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-16
2020-12-31_[翻译]CobaltStrike使用BeaconObjectFiles(BOF)进行DirectSyscalls [ 翻 译 ] C o b a l t S t r i k e   使 用 B e a c o n   O b j e c t   F i l e s ( B O F ) 进 行   D i r e c t   S y s c a l l s C h a B u g   C h a B u g   2 0 2 0 - 1 2 - 3 1 原 文 链 接 : h t t p s : / / o u t f l a n k . n l / b l o g / 2 0 2 0 / 1 2 / 2 6 / d i r e c t - s y s c a l l s - i n - b e a c o n - o b j e c t - f i l e s /   原 文 作 者 : C o r n e l i s   d e   P l a a 在 这 篇 文 章 中 ， 我 们 将 探 讨 在 C o b a l t   S t r i k e 使 用 B O F 进 行 直 接 系 统 调 用 ( d i r e c t   s y s t e m   c a l l s ) 。 具 体 来 说 ： 1 . 说 明 如 何 在 C o b a l t   S t r i k e   B O F 中 使 用 直 接 系 统 调 用 来 规 避 典 型 的 A V 和 E D R 检 测 。 2 . 发 布 I n l i n e W h i s p e r s ： 一 个 脚 本 ， 使 在 B O F 代 码 中 使 用 D i r e c t   S y s c a l l s 更 加 容 易 。 3 . 提 供 概 念 验 证 B O F 代 码 ， 该 代 码 可 用 于 通 过 修 补 L S A S S 进 程 内 存 来 启 用 W D i g e s t 凭 据 缓 存 和 规 避 凭 据 保 护 。 P o C 的 源 代 码 可 以 在 这 里 找 到 ： h t t p s : / / g i t h u b . c o m / o u t f l a n k n l / W d T o g g l e I n l i n e W h i s p e r s 的 源 代 码 可 以 在 这 里 找 到 ： h t t p s : / / g i t h u b . c o m / o u t f l a n k n l / I n l i n e W h i s p e r s B e a c o n   O b j e c t   F i l e s C o b a l t   S t r i k e 最 近 引 入 了 一 个 新 的 代 码 执 行 概 念 ， 叫 做   B e a c o n   O b j e c t   F i l e s [ 1 ] （ 以 下 简 称 为 B O F ） 。 这 使 C o b a l t   S t r i k e 可 以 在 B e a c o n 进 程 中 执 行 一 小 段 已 编 译 的 C 代 码 。 这 有 什 么 好 处 ？ 最 重 要 的 是 ， 我 们 摆 脱 了 名 为 的 概 念 。 在 B O F 出 来 之 前 ， 是 在 C o b a l t   S t r i k e 中 运 行 作 业 的 默 认 机 制 。 这 意 味 着 为 了 执 行 大 多 数 开 发 后 功 能 ， 将 启 动 一 个 牺 牲 进 程 （ 使 用 s p a w n t o 参 数 指 定 ） ， 随 后 将 攻 击 的 p a y l o a d 作 为 反 射 D L L 注 入 该 过 程 。 从 A V 、 E D R 的 角 度 来 看 ， 它 具 有 可 以 检 测 到 的 各 种 特 征 ， 例 如 进 程 产 生 ， 进 程 注 入 和 内 存 中 的 反 射 D L L 。 在 许 多 现 代 环 境 中 ， 很 容 易 演 变 成 O P S E C ( 行 动 安 全 O p e r a t i o n s   s e c u r i t y ) 的 灾 难 。 使 用 B O F ， 我 们 可 以 在 B e a c o n 当 前 过 程 的 上 下 文 中 运 行 与 位 置 无 关 的 已 编 译 代 码 ， 这 更 加 隐 蔽 。 尽 管 B O F 概 念 的 引 入 对 于 在 后 渗 透 开 发 中 绕 过 A V 、 E D R 迈 出 了 重 大 一 步 ， 但 我 们 仍 然 需 要 面 对 A V 、 E D R 产 品 H O O K 系 统 A P I 的 问 题 。 在 2 0 1 9 年 6 月 ， 我 们 发 布 了 有 关 D i r e c t   S y s c a l l s 的 博 客 文 章 [ 2 ] ， 并 展 示 了 一 个 如 何 使 用 它 绕 过 A V 、 E D R 软 件 的 示 例 。 到 目 前 为 止 ， 我 们 还 没 有 看 到 D i r e c t   S y s c a l l s 在 B O F 的 利 用 ， 因 此 我 们 决 定 编 写 自 己 的 实 现 并 在 此 博 客 文 章 中 分 享 我 们 的 经 验 。 D i r e c t   s y s c a l l s 和 和 B O F 的 实 用 性 的 实 用 性 现 在 很 多 红 队 都 熟 悉 关 于 D i r e c t   S y s c a l l s 对 绕 过 A P I   H O O K 的 概 念 。 在 我 们 以 前 对 D i r e c t   S y s c a l l s [ 3 ] 的 文 章 中 ， 我 们 展 示 了 如 何 在 V i s u a l   S t u d i o 中 利 用 M i c r o s o f t 汇 编 程 序 （ M A S M ） 在 C / C + + 项 目 中 包 含   D i r e c t S y s c a l l s 。 当 我 们 构 建 一 个 包 含 汇 编 代 码 的 V i s u a l   S t u d i o 项 目 时 ， 它 将 使 用 汇 编 器 和 C 编 译 器 生 成 两 个 目 标 文 件 ， 并 将 所 有 片 段 链 接 在 一 起 以 形 成 一 个 可 执 行 文 件 。 要 创 建 B O F 文 件 ， 我 们 使 用 C 编 译 器 来 生 成 单 个 目 标 文 件 。 如 果 要 在 B O F 项 目 中 包 含 汇 编 代 码 ， 则 需 要 进 行 内 联 汇 编 以 生 成 单 个 目 标 文 件 。 不 幸 的 是 ， V i s u a l   S t u d i o 不 支 持 x 6 4 处 理 器 的 内 联 汇 编 ， 因 此 我 们 需 要 另 一 个 C 编 译 器 ， 它 支 持 x 6 4 处 理 器 的 内 联 汇 编 。 M i n g w - w 6 4 和 内 联 和 内 联 A S M M i n g w - w 6 4   是 G C C 编 译 器 的 W i n d o w s 版 本 ， 可 用 于 创 建 3 2 位 和 6 4 位 W i n d o w s 应 用 程 序 。 它 可 以 在 W i n d o w s ， L i n u x 或 任 何 其 他 基 于 U n i x 的 操 作 系 统 上 运 行 。 最 重 要 的 是 ， 它 甚 至 对 于 x 6 4 处 理 器 也 支 持 内 联 汇 编 。 因 此 ， 现 在 我 们 需 要 了 解 如 何 在 B O F 源 代 码 中 包 含 汇 编 代 码 。 如 果 我 们 看 一 下 M i n g w - w 6 4 或 G C C 编 译 器 的 手 册 页 ， 我 们 会 注 意 到 它 支 持 使 用 语 法 进 行 汇 编 。 使 用 i n t e l 语 言 ， 我 们 能 够 像 在 V i s u a l   S t u d i o 中 使 用 M i c r o s o f t   A s s e m b l e r 一 样 通 过 相 同 的 语 言 编 写 汇 编 代 码 。 要 将 内 联 汇 编 包 含 在 我 们 的 代 码 中 ， 我 们 可 以 简 单 地 使 用 以 下 汇 编 器 模 板 语 法 ： 1 . 起 始 a s m 关 键 字 是 或 2 . 指 令 必 须 用 换 行 符 分 隔 。 有 关 G C C 汇 编 程 序 语 法 的 更 多 信 息 ， 请 参 见 以 下 指 南 ： h t t p s : / / w w w . f e l i x c l o u t i e r . c o m / d o c u m e n t s / g c c - a s m . h t m l # a s s e m b l e r - t e m p l a t e 从 从 到 到 B O F 下 面 的 示 例 显 示 使 用 内 联 汇 编 ( i n l i n e - a s s e m b l y ) 的 的 自 定 义 版 本 。 这 个 例 子 可 用 于 返 回 指 向 当 前 线 程 的 T h r e a d   E n v i r o n m e n t   B l o c k   ( T E B ) 的 指 针 ， 然 后 可 将 其 用 于 解 析 为 指 向 P r o c e s s E n v i r o n m e n t B l o c k （ P E B ） 的 指 针 ： f o r k ＆ r u n f o r k ＆ r u n f o r k ＆ r u n - m a s m = d i a l e c t                 a s m ( " n o p   n     "                         " n o p   n     "                         " n o p " ) a s m _ _ a s m _ _ _ _ a s m _ _ N t C u r r e n t T e b ( )
为 了 使 此 汇 编 函 数 在 我 们 的 C 代 码 中 可 用 并 声 明 其 名 称 ， 返 回 类 型 和 参 数 ， 我 们 使 用 关 键 字 。 该 预 处 理 程 序 宏 指 定 该 函 数 在 其 他 位 置 定 义 ， 具 有 C 链 接 并 使 用 C 语 言 调 用 约 定 。 这 种 方 法 还 可 以 用 于 在 我 们 的 代 码 中 包 括 汇 编 系 统 调 用 函 数 。 只 需 将 以 汇 编 形 式 编 写 的 系 统 调 用 转 换 为 汇 编 器 模 板 语 法 ， 使 用 E X T E R N _ C 关 键 字 添 加 函 数 定 义 ， 然 后 将 其 保 存 在 头 文 件 中 即 可 ， 该 文 件 可 以 包 含 在 我 们 的 项 目 中 。 尽 管 在 头 文 件 中 实 现 函 数 是 完 全 有 效 的 ， 但 这 并 不 是 最 佳 实 践 。 然 而 ， 使 用 选 项 编 译 目 标 文 件 只 允 许 我 们 使 用 一 个 源 文 件 ， 因 此 为 了 不 使 我 们 的 主 源 文 件 带 有 汇 编 函 数 ， 我 们 将 它 们 放 在 单 独 的 头 文 件 中 。 要 编 译 包 含 内 联 汇 编 的 B O F 源 代 码 ， 我 们 使 用 以 下 编 译 器 语 法 ： W d T o g g l e 为 了 演 示 整 个 概 念 ， 我 们 编 写 了 概 念 验 证 代 码 ， 其 中 包 括 使 用 内 联 汇 编 的 D i r e c t   S y s c a l l s ， 并 且 可 以 编 译 为 B O F 文 件 。 此 代 码 显 示 了 如 何 通 过 在 L s a s s 进 程 （ w d i g e s t . d l l 模 块 ） 中 将 g _ f P a r a m e t e r _ U s e L o g o n C r e d e n t i a l 全 局 参 数 切 换 为 1 来 启 用 W D i g e s t 凭 据 缓 存 。 此 外 ， 可 以 通 过 在 l s a s s 进 程 中 将 g _ I s C r e d G u a r d E n a b l e d 变 量 切 换 为 0 来 绕 过 凭 据 保 护 （ 如 果 启 用 ） 。 这 两 个 技 巧 都 使 我 们 能 够 在 L S A S S 中 使 纯 文 本 密 码 再 次 可 见 ， 因 此 可 以 使 用 M i m i k a t z 抓 取 它 们 。 使 用   补 丁 后 ， 您 只 需 要 用 户 锁 定 和 解 锁 其 会 话 即 可 使 明 文 密 码 凭 据 再 次 可 用 。 此 P o C 基 于 H y d r a 团 队 E X T E R N _ C - o x 8 6 _ 6 4 - w 6 4 - m i n g w 3 2 - g c c   - o   b o f . o   - c   b o f . c   - m a s m = i n t e l U s e L o g o n C r e d e n t i a l @ _ x p n _
和 的 以 下 精 彩 博 客 文 章 。 这 些 博 客 是 必 读 且 包 含 所 有 必 要 的 详 细 信 息 ： 1 . 探 索 M i m i k a t z   – 第 1 部 分 –   W D i g e s t [ 4 ] 2 . 绕 过 凭 据 守 卫 [ 5 ] 这 两 个 博 文 都 包 含 用 于 p a t c h   L S A S S 的 P o C 代 码 ， 因 此 从 这 个 角 度 来 看 ， 我 们 的 代 码 并 不 是 什 么 新 东 西 。 我 们 的 P o C 以 此 工 作 为 基 础 ， 并 且 仅 演 示 了 如 何 利 用 B O F 中 的 D i r e c t   S y s c a l l s 来 提 供 一 种 更 安 全 的 与 L S A S S 流 程 进 行 交 互 并 绕 过 C o b a l t   S t r i k e 的 A P I   h o o k 的 O P S E C 安 全 方 式 。 补 丁 程 序 限 制 补 丁 程 序 限 制 此 P O C 是 内 存 补 丁 ， 因 此 重 启 后 必 须 重 新 运 行 代 码 。 此 外 ， w d i g e s t . d l l 模 块 中 和 全 局 变 量 的 内 存 偏 移 量 可 能 会 在 W i n d o w s 版 本 和 修 订 版 之 间 发 生 变 化 。 我 们 为 代 码 中 的 不 同 内 部 版 本 提 供 了 一 些 偏 移 ， 但 是 这 些 偏 移 会 在 将 来 的 版 本 中 更 改 。 您 可 以 添 加 自 己 的 版 本 偏 移 量 ， 可 以 使 用 W i n d o w s 调 试 器 工 具 找 到 该 偏 移 量 。 （ 译 者 注 ： 不 同 版 本 的 W i n d o w s 需 要 p a t c h 的 偏 移 量 不 同 ） 防 御 防 御 为 了 通 过 L S A S S 内 存 访 问 来 检 测 凭 证 盗 窃 ， 我 们 可 以 使 用 S y s m o n 之 类 的 工 具 来 监 视 打 开 L S A S S 句 柄 的 处 理 。 我 们 可 以 监 视 访 问 L S A S S 进 程 的 可 疑 进 程 ， 从 而 创 建 遥 测 来 检 测 可 能 的 凭 证 转 储 活 动 。 当 然 ， 还 有 更 多 选 项 可 用 于 检 测 凭 据 盗 用 ， 例 如 ， 使 用 W i n d o w s   D e f e n d e r   A T P 之 类 的 高 级 检 测 平 台 。 但 是 ， 如 果 您 没 有 使 用 这 些 新 颖 平 台 的 预 算 ， 那 么 S y s m o n 是 可 以 帮 助 填 补 空 白 的 免 费 工 具 。 I n l i n e W h i s p e r s 在 发 布 直 接 系 统 调 用 博 客 文 章 几 个 月 后 ， @ J a c k s o n _ T 发 布 了 一 个 名 为 S y s W h i s p e r s 的 出 色 工 具 。 这 是 一 个 很 棒 的 工 具 ， 它 可 以 自 动 为 任 何 系 统 调 用 生 成 标 头 /   A S M 对 ， 然 后 可 以 在 定 制 的 R e d   T e a m i n g 工 具 中 使 用 它 。 该 工 具 生 成 的 . a s m 输 出 文 件 可 以 在 M i c r o s o f t   S t u d i o 中 使 用 M i c r o s o f t 宏 汇 编 器 使 用 。 如 果 要 在 B O F 项 目 中 使 用 从 S y s W h i s p e r s 输 出 生 成 的 D i r e c t   S y s c a l l s ， 则 需 要 某 种 转 换 ， 以 便 它 们 与 汇 编 器 模 板 语 法 匹 配 。 我 们 的 同 事 @ _ D a W o u w   编 写 了 一 个 P y t h o n 脚 本 ， 可 用 于 将 S y s W h i s p e r s 生 成 的 . a s m 输 出 文 件 转 换 为 适 合 B O F 项 目 的 输 出 文 件 。 它 转 换 输 出 以 匹 配 汇 编 模 板 语 法 ， 因 此 可 以 从 您 的 B O F 代 码 中 使 用 这 些 函 数 。 我 们 可 以 手 动 输 入 在 B O F 中 使 用 了 哪 些 系 统 调 用 ， 以 防 止 包 括 未 使 用 的 系 统 功 能 。 该 脚 本 可 在 G i t h u b 页 面 上 的 I n l i n e W h i s p e r s 存 储 库 中 找 到 ： h t t p s : / / g i t h u b . c o m / o u t f l a n k n l / I n l i n e W h i s p e r s 概 要 概 要 在 此 博 客 中 ， 我 们 展 示 了 如 何 在 C o b a l t   S t r i k e   B O F 中 使 用 。 要 使 用   ， 我 们 需 要 使 用 汇 编 程 序 模 板 语 法 编 写 汇 编 程 序 ， 因 此 我 们 可 以 将 汇 编 函 数 包 括 在 内 联 汇 编 中 。 V i s u a l   S t u d i o 不 支 持 x 6 4 处 理 器 的 内 联 汇 编 ， 但 是 幸 运 的 是 M i n g w - w 6 4 支 持 。 为 了 演 示 在 B O F 中 进 行 D i r e c t   S y s c a l l s 的 用 法 ， 我 们 编 写 了 概 念 验 证 代 码 ， 可 用 于 启 用 W D i g e s t 凭 据 缓 存 。 此 外 ， 我 们 编 写 了 一 个 名 为 I n l i n e W h i s p e r s 的 脚 本 ， 该 脚 本 可 用 于 将 S y s W h i s p e r s 生 成 的 . a s m 输 出 转 换 为 适 合 B O F 项 目 的 内 联 汇 编 头 文 件 。 我 们 希 望 该 博 文 有 助 于 理 解 如 何 在 B O F 项 目 中 实 施 D i r e c t   S y s c a l l s 以 提 高 O P S E C 安 全 性 。 R e f e r e n c e s   B e a c o n   O b j e c t   F i l e s :   h t t p s : / / w w w . c o b a l t s t r i k e . c o m / h e l p - b e a c o n - o b j e c t - f i l e s   有 关 D i r e c t   S y s c a l l s 的 博 客 文 章 :   h t t p s : / / o u t f l a n k . n l / b l o g / 2 0 1 9 / 0 6 / 1 9 / r e d - t e a m - t a c t i c s - c o m b i n i n g - d i r e c t - s y s t e m - c a l l s - a n d - s r d i - t o - b y p a s s - a v - e d r /   D i r e c t   S y s c a l l s :   h t t p s : / / o u t f l a n k . n l / b l o g / 2 0 1 9 / 0 6 / 1 9 / r e d - t e a m - t a c t i c s - c o m b i n i n g - d i r e c t - s y s t e m - c a l l s - a n d - s r d i - t o - b y p a s s - a v - e d r /   探 索 M i m i k a t z   – 第 1 部 分 –   W D i g e s t :   h t t p s : / / b l o g . x p n s e c . c o m / e x p l o r i n g - m i m i k a t z - p a r t - 1 /   绕 过 凭 据 守 卫 :   h t t p s : / / t e a m h y d r a . b l o g / 2 0 2 0 / 0 8 / 2 5 / b y p a s s i n g - c r e d e n t i a l - g u a r d / 分 享 、 点 赞 、 在 看 就 是 对 我 们 的 一 种 支 持 ！ @ N 4 k e d T u r t l e g _ f P a r a m e t e r _ U s e L o g o n C r e d e n t i a l g _ I s C r e d G u a r d E n a b l e d “ S y s W h i s p e r s   h e l p s   w i t h   e v a s i o n   b y   g e n e r a t i n g   h e a d e r / A S M   f i l e s   i m p l a n t s   c a n   u s e   t o   m a k e   d i r e c t   s y s t e m   c a l l s ” .   “ S y s W h i s p e r s 通 过 生 成 植 入 程 序 可 用 来 进 行 直 接 系 统 调 用 的 h e a d e r / A S M 文 件 来 帮 助 规 避 A V ” 。 D i r e c t   S y s c a l l s D i r e c t   S y s c a l l s

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理