搜索

[18408] 2021-08-13_干货BypassUAC技术总结

文档创建者：s7ckTeam
浏览次数：12
最后更新：2025-01-18
2021-08-13_干货BypassUAC技术总结 干 货 | B y p a s s   U A C   技 术 总 结 C o n s T 2 7   H A C K 之 道   2 0 2 1 - 0 8 - 1 3 一 一 .   U A C 用 户 帐 户 控 制 （ U s e r   A c c o u n t   C o n t r o l ， 简 写 作 U A C ) 是 微 软 公 司 在 其 [ W i n d o w s   V i s t a ] ( h t t p s : / / b a i k e . b a i d u . c o m / i t e m / W i n d o w s   V i s t a ) 及 更 高 版 本 操 作 系 统 中 采 用 的 一 种 控 制 机 制 ， 保 护 系 统 进 行 不 必 要 的 更 改 ， 提 升 操 作 系 统 的 稳 定 性 和 安 全 性 。 管 理 员 在 正 常 情 况 下 是 以 低 权 限 运 行 任 务 的 ， 这 个 状 态 被 称 为 被 保 护 的 管 理 员 。 但 当 管 理 员 要 执 行 高 风 险 操 作 （ 如 安 装 程 序 等 ） ， 就 需 要 提 升 权 限 去 完 成 这 些 任 务 。 这 个 提 升 权 限 的 过 程 通 常 是 这 样 的 ， 相 信 各 位 都 眼 熟 过 。 点 击 “ 是 ” ， 管 理 员 就 会 提 升 到 高 权 限 再 去 运 行 该 任 务 。 二 二 .   a u t o E l e v a t e 与 与 r e q u e s t e d E x e c u t i o n L e v e l a u t o E l e v a t e 当 某 个 E X E 文 件 的 文 件 清 单 里 有 < a u t o E l e v a t e >   元 素 时 ， 当 执 行 该 文 件 时 会 默 认 提 权 执 行 。 我 们 劫 持 该 e x e 文 件 的 d l l ， 可 以 达 到 B y p a s s   U A C 提 权 的 目 的 。 适 用 范 围 : 管 理 员 权 限 以 获 得 ， 要 得 到 高 权 限 管 理 员 权 限 一 般 用 工 具 s i g c h e c k 检 测 网 上 常 拿 C : W i n d o w s S y s W O W 6 4 S y s t e m P r o p e r t i e s A d v a n c e d . e x e   举 列 子
这 个 东 西 很 有 用 ， 是 下 面 部 分 方 法 的 前 提 条 件 r e q u e s t e d E x e c u t i o n L e v e l 有 三 个 不 同 的 参 数 ： a s I n v o k e r   r e q u i r e A d m i n i s t r a t o r   h i g h e s t A v a i l a b l e   分 别 对 应 应 用 程 序 以 什 么 权 限 运 行 a s I n v o k e r ： 父 进 程 是 什 么 权 限 ， 此 应 用 程 序 就 是 什 么 权 限 r e q u i r e A d m i n i s t r a t o r ： 需 要 以 管 理 员 权 限 来 运 行 ， 此 类 应 用 程 序 图 标 右 下 方 会 有 个 盾 牌 标 记 h i g h e s t A v a i l a b l e ： 此 程 序 以 当 前 用 户 能 获 取 到 的 最 高 权 限 运 行 。 当 你 在 管 理 员 账 户 下 运 行 此 程 序 就 会 要 求 权 限 提 升 以 及 弹 出 U A C 框 。 当 你 在 标 准 账 户 下 运 行 此 程 序 ， 由 于 此 账 户 的 最 高 权 限 就 是 标 准 账 户 ， 所 以 双 击 便 运 行 三 三 .   白 名 单 程 序 白 名 单 程 序 除 了 刚 刚 说 的 a u t o e l e v a t e ， 还 有 一 类 叫 白 名 单 程 序 的 应 用 程 序 也 是 打 开 默 认 提 权 的 。 如 服 务 管 理 工 具 下 的 许 多 应 用 都 属 于 白 名 单 程 序 ， 而 其 中 又 有 些 程 序 执 行 时 需 要 依 赖 C L R 支 持 （ 如 事 件 查 看 器 ， 任 务 计 划 程 序 ） 四 四 .   B y p a s s   U A C 1 .   D L L 劫 持 劫 持 r e f e r e n c e : h t t p s : / / w w w . a n q u a n k e . c o m / p o s t / i d / 2 0 9 0 3 3 h t t p s : / / w w w . c n b l o g s . c o m / 0 d a y b u g / p / 1 1 7 1 9 5 4 1 . h t m l e x e 文 件 运 行 时 会 加 载 许 多 d l l 文 件 ， 这 些 d l l 文 件 的 加 载 顺 序 是 程 序 所 在 目 录 系 统 目 录 即 S Y S T E M 3 2
目 录 1 6 位 系 统 目 录 即 目 录 目 录 程 序 加 载 目 录 ( ) 环 境 变 量 中 列 出 的 目 录 同 时 ， d l l 加 载 也 遵 循 着 的 机 制 ： K n o w   D L L s 注 册 表 项 指 定 的 D L L 是 已 经 被 操 作 系 统 加 载 过 后 的 D L L ， 不 会 被 应 用 程 序 搜 索 并 加 载 。 在 注 册 表 H K E Y _ L O C A L _ M A C H I N E S Y S T E M C u r r e n t C o n t r o l S e t C o n t r o l S e s s i o n   M a n a g e r K n o w n D L L S 处 可 以 看 见 这 些 d l l 在 k n o w d l l s 表 项 中 的 d l l 是 预 先 就 加 载 进 内 存 空 间 的 ， 被 诸 多 应 用 调 用 着 ， 改 动 需 要 高 权 限 。 如 果 我 们 在 应 用 程 序 找 到 正 确 的 d l l 之 前 ， 将 我 们 自 己 创 造 的 d l l 放 入 优 先 级 更 高 的 搜 索 目 录 让 应 用 程 序 优 先 加 载 此 d l l 文 件 ， 这 就 造 成 了 d l l 劫 持 。 但 这 只 是 d l l 劫 持 的 其 中 一 种 途 径 ， 他 有 这 些 途 径 ： （ 1 ）   D L L 替 换 ： 用 恶 意 的 D L L 替 换 掉 合 法 的 D L L （ 2 ）   D L L 搜 索 顺 序 劫 持 ： 当 应 用 程 序 加 载 D L L 的 时 候 ， 如 果 没 有 带 指 定 D L L 的 路 径 ， 那 么 程 序 将 会 以 特 定 的 顺 序 依 次 在 指 定 的 路 径 下 搜 索 待 加 载 的 D L L 。 通 过 将 恶 意 D L L 放 在 真 实 D L L 之 前 的 搜 索 位 置 ， 就 可 以 劫 持 搜 索 顺 序 ， 劫 持 的 目 录 有 时 候 包 S Y S T E M W i n d o w s S e t C u r r e n t D i r e c c t o r y P A T H K n o w   D L L s 注 册 表 项
括 目 标 应 用 程 序 的 工 作 目 录 。 （ 3 ）   虚 拟 D L L 劫 持 ： 释 放 一 个 恶 意 的 D L L 来 代 替 合 法 应 用 程 序 加 载 的 丢 失 / 不 存 在 的 D L L （ 4 ）   D L L 重 定 向 ： 更 改 D L L 搜 索 的 路 径 ， 比 如 通 过 编 辑 % P A T H % 环 境 变 量 或   . e x e . m a n i f e s t / . e x e . l o c a l 文 件 以 将 搜 索 路 径 定 位 到 包 含 恶 意 D L L 的 地 方 。 （ 5 ）   W i n S x S   D L L 替 换 ： 将 目 标 D L L 相 关 的 W i n S x S 文 件 夹 中 的 恶 意 D L L 替 换 为 合 法 的 D L L 。 此 方 法 通 常 也 被 称 为 D L L 侧 加 载 （ 6 ）   相 对 路 径 D L L 劫 持 ： 将 合 法 的 应 用 程 序 复 制 （ 并 有 选 择 地 重 命 名 ） 与 恶 意 的 D L L 一 起 放 入 到 用 户 可 写 的 文 件 夹 中 。 在 使 用 方 法 上 ， 它 与 （ 签 名 的 ） 二 进 制 代 理 执 行 有 相 似 之 处 。 它 的 一 个 变 体 是 （ 有 点 矛 盾 地 称 为 ） “ 自 带 L O L b i n ” ， 其 中 合 法 的 应 用 程 序 带 有 恶 意 的 D L L （ 而 不 是 从 受 害 者 机 器 上 的 合 法 位 置 复 制 ） 。 实 践 出 真 知 实 践 出 真 知 1 这 里 我 们 先 用 第 一 种 方 法 来 进 行 实 验 ， 实 验 对 象 是 C : W i n d o w s S y s W O W 6 4 S y s t e m P r o p e r t i e s A d v a n c e d . e x e 和 L i s t a r y 。 L i s t a r y 是 一 个 很 好 用 的 检 索 小 工 具 ， 我 通 过 p r o c e s s m o n i t o r ， 设 置 好 过 滤 条 件 ， 查 看 S y s t e m P r o p e r t i e s A d v a n c e d . e x e 调 用 的 d l l 时 发 现 它 会 调 用 一 个 L i s t a r y 下 的 一 个 名 为 L i s t a r y H o o k . d l l 的 d l l 。 由 于 l i s t a r y 目 录 权 限 不 高 ， 我 们 可 以 直 接 替 换 该 d l l ， 换 成 d l l m a i n 为 打 开 c m d 的 d l l 。 然 后 点 击 运 行 S y s t e m P r o p e r t i e s A d v a n c e d . e x e ， 就 会 发 现 会 弹 出 高 权 限 c m d 窗 口
b y p a s s u a c 成 功 。 当 然 这 种 都 不 能 算 是 一 个 洞 ， l i s t a r y 并 不 是 人 人 电 脑 上 都 有 的 ， 而 且 这 个 软 件 装 机 量 应 该 是 极 少 数 少 的 ， 所 以 这 里 只 是 提 供 一 个 思 路 ， 这 种 洞 该 怎 么 去 找 。 实 践 出 真 知 实 践 出 真 知 2 这 里 使 用 第 三 种 方 法 进 行 实 验 ， 实 验 对 象 是 e v e n t v w r . m s c ， 它 是 管 理 工 具 中 的 事 件 查 看 器 ， 它 依 赖 于 m m c . e x e 来 运 行 。 比 如 ， 你 想 运 行 它 ， 就 得 通 过 m m c   e v e n t v w r . m s c 来 运 行 它 , 并 且 在 p r o c e s s   e x p l o e r 中 只 能 看 到 个 m m c . e x e 。 我 们 p r o c e s s   m o n i t o r 设 置 过 滤 如 下
c m d 运 行   m m c   e v e n t v w r . m s c , 查 看 调 用 d l l 搜 索 顺 序 确 实 是   程 序 目 录 - > S Y S T E M 3 2 - > S Y S T E M - > W I N D O W S - > 当 前 目 录 （ 这 里 也 是 S Y S T E M 3 2 目 录 ， 我 认 为 的 原 因 是 m m c 会 自 动 提 升 权 限 导 致 当 前 目 录 为 S y s t e m 3 2 导 致 的 ） - > P A T H 目 录 。 我 们 只 需 在 可 写 目 录 下 植 入 名 为 e l s e x t . d l l 的 恶 意 d l l ， 处 理 好 d l l 的 d l l m a i n 函 数 ， 就 能 让 d l l m a i n 里 的 指 令 被 高 权 限 执 行 但 是 无 奈 我 这 里 环 境 是 w i n 7   s p 1 , 但 是 这 个 洞 7 6 0 0 才 出 现 ， 所 以 复 现 不 了 了 。 但 大 概 思 路 就 是 这 样 的 2 .   C L R 加 载 任 意 加 载 任 意 D L L C L R 是 微 软 为 . n e t 运 行 时 提 供 的 环 境 ， 像 j a v a 的 虚 拟 机 一 样 ， 而 c l r 有 一 个 P r o f i l i n g 机 制 。 这 个 机 制 简 而 言 之 便 是 可 以 给 C L R 提 供 一 个 d l l ， 当 任 何 高 权 限 . N E T 运 行 时 都 会 主 动 加 载 该 D L L ， 我 们 可 以 构 造 恶 意 d l l 给 C L R 加 载 ， 从 而 获 得 高 权 限 的 进 程 如 c m d ， 从 而 b y p a s s u a c 。 至 于 这 个 d l l 如 何 给 C L R ， 是 通 过 修 改 以 下 环 境 变 量 实 现 的 C O R _ E N A B L E _ P R O F I L I N G   =   1 C O R _ P R O F I L E R = { C L S I D o r   P r o g I D } C L R 会 检 查 环 境 变 量 中 的 C O R _ E N A B L E _ P R O F I L I N G ， 若 为 1 则 检 查 通 过 ， 进 行 下 一 步 。 在 n e t 4 . 0 以 前 ， 若 检 查 通 过 ， 会 马 上 去 查 找 C O R _ P R O F I L E R 指 定 的 注 册 表 项 ， 找 到 其 d l l 路 径 并 加 载 n e t 4 . 0 后 ， 会 先 查 找 C O R _ P R O F I L E R _ P A T H 是 否 指 定 d l l 文 件 路 径 ， 若 没 有 再 去 查 找 C O R _ P R O F I L E R 指 定 的 注 册 表 项 ， 找 到 其 d l l 路 径 并 加 载 。 总 而 言 之 ， 我 们 设 置 好 C O R _ E N A B L E _ P R O F I L I N G 和 C O R _ P R O F I L E R 两 个 项 就 可 以 了 。 接 下 来 我 们 设 置 用 户 环 境 变 量 ， 设 置 用 户 环 境 变 量 时 不 需 要 高 权 限 （ w i n 1 0 似 乎 设 置 系 统 环 境 变 量 也 不 需 要 ） 。 以 及 在 注 册 表 ， 在 指 定 的 C L S I D 属 性 下 新 建 I n p r o c s e r v e r 3 2 项 ， 并 写 入 恶 意 d l l 路 径 .   然 后 通 过 m m c 调 用 一 下 g p e d i t . m s c 这 种 程 序 ， 即 可 以 高 权 限 执 行 d l l 。 如 果 d l l 执 行 命 令 为 s y s t e m ( “ c m d . e x e ” )   那 么 就 会 蹦 出 来 高 权 限 c m d 窗 口
R E G   A D D   " H K C U S o f t w a r e C l a s s e s C L S I D { F F F F F F F F - F F F F - F F F F - F F F F - F F F F F F F F F F F F } I n p r o c S e r v e r 3 2 "   / v e   / t   R E G _ E X P A N D _ S Z   / d   " C : t e s t c a l c . d l l "   / f R E G   A D D   " H K C U E n v i r o n m e n t "   / v   " C O R _ P R O F I L E R "   / t   R E G _ S Z   / d   " { F F F F F F F F - F F F F - F F F F - F F F F - F F F F F F F F F F F F } "   / f R E G   A D D   " H K C U E n v i r o n m e n t "   / v   " C O R _ E N A B L E _ P R O F I L I N G "   / t   R E G _ S Z   / d   " 1 "   / f m m c   g p e d i t . m s c 但 我 死 活 复 现 不 起 不 知 道 为 啥 ， 我 的 d l l 这 样 写 的 / /   d l l m a i n . c p p   :   定 义   D L L   应 用 程 序 的 入 口 点 。 # i n c l u d e   " p c h . h " # i n c l u d e   < i o s t r e a m > # i n c l u d e   < W i n d o w s . h > B O O L   W I N A P I   D l l M a i n ( H I N S T A N C E   h i n s t D L L ,   D W O R D   f d w R e a s o n ,   L P V O I D   l p R e s e r v e d ) {         c h a r   c m d [ ]   =   " c m d . e x e " ;         s w i t c h   ( f d w R e a s o n )         {         c a s e   D L L _ P R O C E S S _ A T T A C H :                 W i n E x e c ( c m d ,   S W _ S H O W N O R M A L ) ;                 E x i t P r o c e s s ( 0 ) ;                 b r e a k ;         c a s e   D L L _ T H R E A D _ A T T A C H :                 b r e a k ;         c a s e   D L L _ T H R E A D _ D E T A C H :                 b r e a k ;         c a s e   D L L _ P R O C E S S _ D E T A C H :                 b r e a k ;         }         r e t u r n   T R U E ; }
另 外 的 ， 你 还 可 以 为 C O R _ P R O F I L E R _ P A T H 设 置 为 如 s e r v e r s h a r e t e s t . d l l 的 s m b 的 路 径 ， 这 样 也 可 以 实 现 b y p a s s u a c （ 没 复 现 ） 3 .   白 名 单 程 序 白 名 单 程 序 o d b c a d 3 2 . e x e 这 个 方 法 很 简 单 。 打 开 C : W i n d o w s s y s t e m 3 2 o d b c a d 3 2 . e x e ， 然 后 通 过 以 下 方 法 打 开 p o w e r s h e l l 或 者 c m d 成 功 b y p a s s 管 理 工 具 管 理 工 具
之 前 说 过 ， 管 理 工 具 有 很 多 白 名 单 程 序 ， 如 果 一 个 白 名 单 程 序 有 浏 览 文 件 目 录 的 功 能 ， 就 可 以 以 此 来 创 建 高 权 限 c m d 窗 口 。 这 里 拿 事 件 查 看 器 举 例 操 作 - 》 打 开 保 存 的 目 录 - 》 文 件 目 录 路 径 处 输 入 p o w e r s h e l l - 》 弹 出 高 权 限 p o w e r s h e l l   以 此 内 推 ， 还 有 很 多 相 似 的 管 理 工 具 可 以 这 样 利 用 4 .   注 册 表 劫 持 注 册 表 劫 持 F o d h e l p e r . e x e F o d h e l p e r . e x e   w i n 1 0 才 有 ， 所 以 只 有 w i n 1 0 能 通 过 这 个 办 法 b y p a s s u a c ， 他 是 一 个 a u t o e l e v a t e 元 素 程 序 我 们 使 用 p r o c e e m o n i t o r 查 看 事 件 查 看 器 启 动 的 时 候 执 行 了 什 么 。 我 们 通 过 排 查 发 现 了 此 处 发 现 程 序 试 图 打 开 H K C U S o f t w a r e C l a s s e s m s - s e t t i n g s s h e l l o p e n c o m m a n d ， 但 是 这 个 项 没 有 找 到 ， 因 为 这 个 项 并 不 存 在 ， 于 是 它 查 询   H K C R m s - s e t t i n g s S h e l l O p e n , 查 询 成 功 便 打 开 其 下 的 C o m m a n d 键 进 行 查 询 。 我 们 可 以 劫 持 注 册 表 ， 往 H K C U S o f t w a r e C l a s s e s m s - s e t t i n g s s h e l l o p e n c o m m a n d 写 入 恶 意 指 令 从 而 达 到 b y p a s s u a c 的 目 的 。 r e g   a d d   H K E Y _ C U R R E N T _ U S E R S o f t w a r e C l a s s e s m s - s e t t i n g s s h e l l o p e n c o m m a n d   / d   C : W i n d o w s S y s t e m 3 2 c m d . e x e   / f   r e g   a d d   H K E Y _ C U R R E N T _ U S E R S o f t w a r e C l a s s e s m s - s e t t i n g s s h e l l o p e n c o m m a n d   / v   D e l e g a t e E x e c u t e   / t   R E G _ D W O R D   / d   0 0 0 0 0 0 0 0   / f 我 们 写 入 如 下 命 令 ， 就 能 让 F o d h e l p e r . e x e   执 行 时 自 动 高 权 限 执 行 c m d 窗 口 了 然 后 消 除 痕 迹 r e g   d e l e t e   " H K E Y _ C U R R E N T _ U S E R S o f t w a r e C l a s s e s m s - s e t t i n g s s h e l l o p e n c o m m a n d " s d c l t W i n 1 0 后 这 个 程 序 才 有 自 动 提 升 权 限 的 能 力
r e g   a d d   " H K C U S o f t w a r e C l a s s e s F o l d e r s h e l l o p e n c o m m a n d "   / d   C : W i n d o w s S y s t e m 3 2 c m d . e x e   / f   r e g   a d d   " H K C U S o f t w a r e C l a s s e s F o l d e r s h e l l o p e n c o m m a n d "   / v   " D e l e g a t e E x e c u t e "   / f e v e n t v m r r e g   a d d   " H K C U S o f t w a r e C l a s s e s m s c f i l e s h e l l o p e n c o m m a n d "   / d   C : W i n d o w s S y s t e m 3 2 c m d . e x e   / f w i n 1 0 ， w i n 7 均 无 效 , 不 知 道 是 哪 个 版 本 的 事 了 ， 反 正 记 录 下 来 吧 。 5 .   C O M 劫 持 劫 持 和 d l l 劫 持 类 似 ， 应 用 程 序 在 运 行 时 也 会 去 加 载 指 定 C L S I D 的 C O M 组 件 ， 其 加 载 顺 序 如 下 H K C U S o f t w a r e C l a s s e s C L S I D H K C R C L S I D H K L M S O F T W A R E M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n S h e l l C o m p a t i b i l i t y O b j e c t s 以 e v e n t v w r 为 例 执 行 该 程 序 时 会 去 寻 找 { 0 A 2 9 F F 9 E - 7 F 9 C - 4 4 3 7 - 8 B 1 1 - F 4 2 4 4 9 1 E 3 9 3 1 } 这 个 组 件 ， 这 个 组 件 又 需 要 加 载 I n P r o c S e r v e r 3 2 指 定 的 D L L ， 而 这 个 D L L 的 路 径 可 由 用 户 定 义 。 而 e v e n t v w r 的 这 个 组 件 一 般 在 H K C R C L S I D 找 到 ， 所 以 可 以 搜 索 路 径 劫 持 。 利 用 以 下 方 法 可 以 劫 持 （ 搜 索 路 径 劫 持 ）
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理