搜索

[12913] 2018-07-06_如何利用DCOM实现横向渗透

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2018-07-06_如何利用DCOM实现横向渗透 如 何 利 用 D C O M 实 现 横 向 渗 透 A l p h a _ h 4 c k   F r e e B u f   2 0 1 8 - 0 7 - 0 6 长 话 短 说 长 话 短 说 这 篇 文 章 主 要 讨 论 的 是 D C O M 横 向 渗 透 以 及 P a y l o a d 执 行 方 法 ， 当 目 标 系 统 的 t a r g e t a d m i n $ s y s t e m 3 2 中 不 包 含 m o b s y n c . e x e 时 ， 本 文 所 介 绍 的 方 法 才 可 行 。 如 果 你 能 获 取 到 目 标 系 统 的 管 理 员 权 限 （ 通 过 P o w e r S h e l l ） ， 你 将 能 做 到 如 下 所 示 的 东 西 ： 介 绍 介 绍 在 这 篇 文 章 中 ， 我 们 将 介 绍 如 何 利 用 D C O M （ 分 布 式 构 件 对 象 模 型 ） 来 实 现 横 向 渗 透 并 远 程 执 行 P a y l o a d 。 本 文 主 要 讨 论 的 内 容 如 下 ： 1 .   引 言 ； 2 .   研 究 动 机 ； 3 .   简 单 的 D C O M 横 向 渗 透 方 法 论 ； 4 .   缓 解 方 案 ； 引 言 引 言 在 此 之 前 ， 关 于 D C O M 横 向 渗 透 技 术 的 内 容 讨 论 了 已 经 有 一 年 半 载 了 ， M a t t   N e l s o n   ( e n i g m a 0 x 3 ) 此 前 也 介 绍 过 多 种 利 用 D / C O M 对 象 （ 例 如 M M C 2 0 、 S h e l l W i n d o w s , S h e l l B r o w s e r W i n d o w 、 E x c e l 和 O u t l o o k ） 实 现 的 横 向 渗 透 技 术 。 相 应 的 ， P h i l i p   T s u k e r m a n   ( @ P h i l i p T s u k e r m a n ) 也 发 现 过 一 种 有 趣 的 W M I 横 向 渗 透 技 术 ， 他 的 【   这 篇 文 章 】 可 以 帮 助 大 家 更 好 地 了 解 D C O M 功 能 、 横 向 渗 透 技 术 以 及 相 应 的 缓 解 方 案 。 在 继 续 阅 读 本 文 之 前 ， 我 强 烈 建 议 大 家 阅 读 一 下 这 些 资 料 。 -   d i r t a r g e t s y s t e m 3 2 m o b s y n c . e x e       / / s h o u l d n o t   e x i s t - c o p y   e v i l . e x e   t a r g e t a d m i n $ s y s t e m 3 2 m o b s y n c . e x e - [ a c t i v a t o r ] : : C r e a t e I n s t a n c e ( [ t y p e ] : : G e t T y p e F r o m C L S I D ( " C 9 4 7 D 5 0 F - 3 7 8 E - 4 F F 6 - 8 8 3 5 - F C B 5 0 3 0 5 2 4 4 D " , " t a r g e t " ) )
研 究 动 机 研 究 动 机 几 周 之 前 ， 我 打 算 对 我 的 笔 记 本 系 统 进 行 虚 拟 化 分 析 ， 虽 然 转 换 过 程 非 常 痛 苦 ， 但 最 终 还 是 在 相 关 工 具 的 帮 助 下 成 功 了 。 但 是 考 虑 到 安 全 问 题 ， 我 需 要 确 定 原 本 的 物 理 设 备 中 是 否 还 存 有 遗 留 数 据 ， 我 手 上 没 有 什 么 标 准 可 以 遵 循 ， 而 且 我 对 数 字 取 证 方 面 有 额 不 感 兴 趣 。 所 以 我 打 算 研 究 一 下 注 册 表 ， 然 后 我 很 快 就 找 到 了 一 个 有 趣 的 C L S I D 注 册 表 路 径 ， 它 引 用 了 一 份 二 进 制 文 件 ， 而 这 个 文 件 很 可 能 是 笔 记 本 上 为 某 个 程 序 提 供 实 用 功 能 或 者 诊 断 功 能 的 一 个 程 序 ： 通 过 D I R 命 令 查 询 后 ， 我 们 发 现 磁 盘 中 并 没 有 C : W I N D O W S s y s t e m 3 2 I n t e l C p H D C P S v c . e x e ： 我 的 脑 海 里 瞬 间 出 现 了 下 面 三 个 想 法 ： 1 .   I n t e l C p H D C P S v c . e x e 是 什 么 鬼 ？ 2 .   软 件 卸 载 工 具 并 没 有 完 全 删 除 旧 软 件 遗 留 在 注 册 表 里 的 东 西 。 3 .   这 似 乎 是 一 个 D C O M 应 用 （ 使 用 G e t - C i m I n s t a n c e W i n 3 2 _ D C O M A p p l i c a t i o n 查 询 语 句 进 行 验 证 ） 。 通 过 搜 索 引 擎 得 知 ， I n t e l C p H D C P S v c . e x e 跟 英 特 尔 的 内 容 保 护 H D C P 服 务 有 关 ， 但 是 最 有 意 思 的 是 ， L o c a l S e r v e r 3 2 和 I n P r o c S e r v e r 3 2 这 两 个 注 册 表 键 值 指 向 的 是 本 应 该 存 在 的 二 进 制 文 件 路 径 ， 而 这 些 不 存 在 的 文 件 很 可 能 会 带 来 严 重 的 安 全 风 险 。 由 于 在 真 实 的 攻 击 中 我 们 很 少 能 够 看 到 I n t e l C p H D C P S v c 的 身 影 ， 因 此 我 想 看 看 能 否 可 以 利 用 D C O M 来 做 些 什 么 。 D C O M 横 向 渗 透 方 法 论 横 向 渗 透 方 法 论 定 位 二 进 制 文 件 定 位 二 进 制 文 件 首 先 ， 我 们 需 要 在 D C O M 应 用 中 定 位 相 应 的 二 进 制 文 件 路 径 。 这 里 我 们 可 以 利 用 下 面 的 命 令 从 W i n d o w s   2 0 1 2 中 导 出 L o c a l S e r v e r 3 2 可 执 行 程 序 和 I n P r o c S e r v e r 3 2   D L L ： g w m i W i n 3 2 _ C O M S e t t i n g   - c o m p u t e r n a m e   1 2 7 . 0 . 0 . 1   |   f t   L o c a l S e r v e r 3 2   - a u t o s i z e   | O u t - S t r i n g   - w i d t h   4 0 9 6   |   o u t - f i l e d c o m _ e x e s . t x t
g w m i W i n 3 2 _ C O M S e t t i n g   - c o m p u t e r n a m e   1 2 7 . 0 . 0 . 1   |   f t   I n P r o c S e r v e r 3 2   - a u t o s i z e   | O u t - S t r i n g   - w i d t h   4 0 9 6   |   o u t - f i l e d c o m _ d l l s . t x t 我 们 得 到 了 下 列 信 息 ： 对 数 据 进 行 拼 接 和 过 滤 之 后 ， 我 们 可 以 使 用 下 列 命 令 查 询 这 些 文 件 ： $ f i l e =   g c   C : U s e r s t e s t d e s k t o p d c o m _ t h i n g s . t x t f o r e a c h ( $ b i n p a t h   i n   $ f i l e )   { $ b i n p a t h c m d . e x e   / c   d i r   $ b i n p a t h   >   $ n u l l } 查 询 结 果 如 下 ： % S y s t e m R o o t % s y s t e m 3 2 m o b s y n c . e x e F i l e N o t   F o u n d 如 下 图 所 示 ， 文 件 确 实 不 存 在 ： 实 际 上 ， m o b s y n c 是 M i c r o s o f t 同 步 中 心 和 脱 机 文 件 功 能 中 的 一 个 进 程 ， 因 此 m o b s y n c . e x e 又 开 始 变 得 更 加 有 趣 了 。 验 证 验 证 A p p I D 和 和 C L S I D 之 前 我 在 枚 举 A p p I D 和 C L S I D 方 面 没 有 做 得 很 好 ， 所 以 我 重 新 查 看 了 注 册 表 并 查 找 这 些 信 息 ：
具 体 说 来 ， 在 下 个 阶 段 中 我 们 需 要 利 用 [ C 9 4 7 D 5 0 F - 3 7 8 E - 4 F F 6 - 8 8 3 5 - F C B 5 0 3 0 5 2 4 4 D ] 这 个 C L S I D 来 创 建 D C O M 对 象 实 例 。 远 程 远 程 P a y l o a d 执 行 和 横 向 渗 透 执 行 和 横 向 渗 透 首 先 我 们 需 要 满 足 以 下 条 件 ： 1 .   在 远 程 实 例 化 D C O M 对 象 之 前 ， 我 们 需 要 拿 到 管 理 员 权 限 。 2 .   为 了 发 挥 P a y l o a d 的 作 用 ， 我 们 将 尝 试 渗 透 目 标 主 机 所 在 域 环 境 。 假 设 已 经 拿 到 了 管 理 员 账 号 凭 证 ， 我 们 将 以 W i n d o w s   1 0 作 为 攻 击 端 ， 然 后 在 W i n d o w s   2 0 1 2 域 控 制 器 （ D C ） 上 尝 试 实 现 远 程 命 令 执 行 。 首 先 是 P a y l o a d ， 并 确 保 目 标 系 统 中 不 包 含 m o b s y n c . e x e ： 非 常 好 ！ 由 于 m o b s y n c . e x e 不 存 在 ， 所 以 我 们 的 P a y l o a d （ e v i l . e x e ） 就 能 够 绕 过 主 机 保 护 机 制 了 ， 然 后 将 其 拷 贝 到 D C 上 ： d i r   C : e v i l . e x e d i r   a c m e d c a d m i n $ s y s t e m 3 2 m o b s y n c . e x e c o p y   C : e v i l . e x e   a c m e d c a d m i n $ s y s t e m 3 2 m o b s y n c . e x e d i r   a c m e d c a d m i n $ s y s t e m 3 2 m o b s y n c . e x e
由 于 我 们 的 二 进 制 文 件 无 法 识 别 D C O M ， 因 此 实 例 化 操 作 将 无 法 成 功 ， 但 P a y l o a d 还 是 可 以 成 功 触 发 的 ： W i n d o w s 1 0 域 成 员 ： W i n d o w s 2 0 1 2 域 控 制 器 ： 非 常 好 ， 我 们 的 “ m o b s y n c . e x e ” 生 成 了 恶 意 的 “ n o t e p a d . e x e ”   P a y l o a d 。 缓 解 方 案 缓 解 方 案 厂 商 ： 1 .   当 软 件 工 具 被 卸 载 之 后 ， 确 保 没 有 D C O M 注 册 表 项 遗 留 。 2 .   不 要 在 注 册 表 中 创 建 指 向 并 不 存 在 的 二 进 制 文 件 的 D C O M 程 序 路 径 。 网 络 防 御 端 ： 1 .   认 真 阅 读 e n i g m a 0 x 3 以 及 @ P h i l i p T s u k e r m a n 在 各 自 文 章 中 给 出 的 建 议 ， 有 针 对 性 地 收 集 相 关 I o C 。 2 .   避 免 重 复 使 用 主 机 账 号 凭 证 。 [ a c t i v a t o r ] : : C r e a t e I n s t a n c e ( [ t y p e ] : : G e t T y p e F r o m C L S I D ( " C 9 4 7 D 5 0 F - 3 7 8 E - 4 F F 6 - 8 8 3 5 - F C B 5 0 3 0 5 2 4 4 D " , " t a r g e t " ) )
3 .   部 署 深 度 防 御 策 略 以 及 安 全 监 控 产 品 。 4 .   监 控 文 件 系 统 及 注 册 表 。 5 .   监 控 网 络 环 境 中 的 异 常 P o w e r S h e l l 操 作 ， 尽 量 强 制 启 用 P o w e r S h e l l 的 受 限 语 言 模 式 （ C L M ） 。 6 .   当 D C O M 调 用 失 败 时 ， 主 机 的 系 统 日 志 中 会 生 成 I D 为 1 0 0 1 0 的 错 误 事 件 信 息 ， 其 中 将 包 含 C L S I D 信 息 。 *   参 考 来 源 ： 参 考 来 源 ： b o h o p s ， ， F B 小 编 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理