搜索

[2086] 2018-08-02_探索基于.NET下妙用DLL处理映射实现后渗透权限维持

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-16
2018-08-02_探索基于.NET下妙用DLL处理映射实现后渗透权限维持 探 索 基 于 . N E T 下 妙 用 D L L 处 理 映 射 实 现 后 渗 透 权 限 维 持 原 创   I v a n   d o t N e t 安 全 研 究 僧   2 0 1 8 - 0 8 - 0 2 0 x 0 1   前 言 前 言 话 说 笔 者 在 探 索 . N E T 实 现 一 句 话 木 马 系 列 中 在 使 用 一 般 处 理 程 序 （ 当 然 也 不 限 于 a s h x ， a s m x 照 样 可 用 ） 的 时 候 发 现 一 处 功 能 点 可 以 自 定 义 文 件 类 型 映 射 ， 再 配 合 强 大 的 c s c 和 j s 编 译 器 就 可 以 完 美 的 生 成 D L L 并 且 作 为 W e b S h e l l 后 门 程 序 ， 这 就 给 攻 击 者 在 后 渗 透 阶 段 权 限 维 持 提 供 了 极 大 的 便 利 ， 此 后 门 可 以 实 现 任 意 后 缀 名 访 问 ， 可 以 绕 过 一 些 I D S 等 防 御 产 品 ， 笔 者 从 攻 防 的 视 角 总 结 出 一 点 姿 势 和 大 家 分 享 一 下 。 关 于 本 文 介 绍 到 的 权 限 维 持 的 方 法 和 步 骤 ， 笔 者 画 了 简 易 的 流 程 图 ， 如 下 大 致 分 解 一 下 权 限 维 持 的 流 程 ： 首 先 攻 击 者 选 择 权 限 维 持 的 方 式 ， 这 个 时 候 有 三 种 方 法 可 供 选 择 。 隐 藏 手 段 隐 藏 手 段 说 明 说 明 A p p _ C o d e 目 录 目 录 攻 击 者 创 建 类 文 件 并 且 在 代 码 中 写 入 一 句 话 木 马 ， 在 别 处 文 件 中 实 例 化 调 用 该 类 直 接 上 传 直 接 上 传 D L L 攻 击 者 本 地 制 作 一 个 D L L ， 可 以 选 择 性 的 加 壳 后 上 传 到 B i n 目 录 下 本 地 生 成 本 地 生 成 D L L 攻 击 者 利 用 W e b S h e l l 在 B i n 目 录 下 生 成 D L L 后 门 第 一 种 方 法 考 虑 在 A p p _ C o d e 目 录 下 创 建 类 文 件 且 在 代 码 中 写 入 一 句 话 木 马 ， 再 回 到 根 目 录 下 寻 找 可 追 加 代 码 的 文 件 或 者 创 建 新 的 文 件 来 调 用 类 ； 第 二 种 方 法 考 虑 在 本 地 创 建 好 一 个 D L L 最 好 加 上 壳 ， 再 上 传 到 B i n 目 录 下 后 修 改 w e b . c o n f i g 文 件 增 加 h a n d l e r s 节 点 追 加 映 射 关 系 ； 第 三 种 方 法 利 用 本 地 的 环 境 生 成 D L L 后 修 改 映 射 访 问 ； 这 样 的 好 处 显 而 易 见 ， 一 句 话 或   大 小 马 内 容 全 部 保 存 在 D L L 中 ， 传 统 的 文 本 查 杀 不 奏 效 ， 并 且 访 问 的 时 候 通 过 G I F 后 缀 名 访 问 回 显 的 是 一 个 图 片 验 证 码 这 样 也 能 逃 逸 一 些 基 于 流 量 特 征 检 测 的 I D S 产 品 ， 下 面 分 几 个 小 节 来 详 细 说 明 实 现 的 原 理 和 步 骤 。 0 x 0 2   D L L 型 型 W e b S h e l l 后 门 后 门 在 介 绍 D L L 后 门 之 前 需 要 介 绍 . N E T 应 用 中 两 个 特 殊 的 目 录 ， 一 个 是 A p p _ C o d e 目 录 、 还 有 一 个 是 B i n 目 录 ； 它 们 的 作 用 都 是 在 多 个 W e b   应 用 程 序 或 多 个 页 之 间 共 享 代 码 ， A p p _ C o d e   文 件 夹 可 以 包 含 . v b 、 . c s 等 扩 展 名 的 源 代 码 文 件 , ， 在 运 行 时 将 会 自 动 对 这 些 代 码 进 行 编 译 ， W e b 应 用 程 序 中 的 其 他 任 何 代 码 都 可 以 访 问 到 ， 笔 者 为 了 更 好 的 演 示 效 果 ， 新 建 了 一 个 A p p _ C o d e 目 录 ， 并 且 在 A b o u t . a s p x 里 实 现 了 下 面 代 码 ：
A p p t e s t . a s h x 中 代 码 如 下 ， 作 用 是 输 出 一 句 话 H e l l o W o r l d   ,   t h i s   i s   A p p _ C o d e   P r o c e s s R e q u e s t 输 出 的 结 果 如 下 图 若 W e b 应 用 里 存 在 A p p _ C o d e   目 录 ， 攻 击 者 将 一 句 话 木 马 隐 藏 在 该 目 录 下 的 某 个 文 件 的 方 法 里 ， 恰 好 该 方 法 可 以 被 外 界 的 其 它 的 文 件 调 用 到 ， 这 样 就 可 以 实 现 一 个 较 为 隐 蔽 的 后 门 程 序 ， 但 这 种 隐 蔽 依 旧 会 被 D 盾 或 者 安 全 狗 查 杀 到 ， 显 然 这 种 方 法 不 是 最 佳 的 选 择 ， 所 以 可 以 考 虑 放 到 B i n 目 录 下 的 D L L 文 件 中 。 至 于 . N E T 应 用 程 序 中 B i n 目 录 有 何 作 用 ， 先 来 段 介 绍 ： B i n 文 件 夹 中 存 放 着 已 经 编 译 的 程 序 集 ， 并 且 在 W e b   应 用 程 序 任 意 处 的 其 他 代 码 会 自 动 引 用 该 文 件 夹 。 典 型 的 示 例 是 您 为 自 定 义 类 编 译 好 的 代 码 。 您 可 以 将 编 译 后 的 程 序 集 复 制 到 W e b 应 用 程 序 的   B i n 文 件 夹 中 ， 这 样 所 有 页 都 可 以 使 用 这 个 类 。 B i n 文 件 夹 中 的 程 序 集 无 需 注 册 。 只 要 . d l l   文 件 存 在 于   B i n   文 件 夹 中 ， . N E T   就 可 以 识 别 它 。 如 果 您 更 改 了   . d l l   文 件 ， 并 将 它 的 新 版 本 写 入 到 了   B i n   文 件 夹 中 ， 则   . N E T   会 检 测 到 更 新 ， 并 对 随 后 的 新 页 请 求 使 用 新 版 本 的   . d l l   文 件 。 接 下 来 笔 者 假 定 服 务 器 上 已 经 存 在 一 个 W e b S h e l l ， 创 建 一 个 a s h x 的 小 马 ， 注 意 代 码 是 C # 的 即 可 ， 至 于 文 件 的 后 缀 名 可 以 任 意 指 定 ， 笔 者 指 定 为 C : i n e t p u b w w w r o o t A d m i n W e b . t x t 如 下 图
保 存 后 到 W e b S h e l l 的 C M D 窗 口 下 去 调 用 c s c . e x e 编 译 这 个 A d m i n W e b . t x t ， c s c . e x e 是   . N E T 提 供 的 可 以 在 命 令 行 下 编 译 c s 文 件 的 工 具 ， 安 装 了 . N e t 环 境 的 主 机 c s c . e x e 的 默 认 位 置 在 C : W i n d o w s M i c r o s o f t . N E T F r a m e w o r k [ . N E T 具 体 版 本 号 ] 目 录 下 ， 例 如 笔 者 装 了 V S 之 后 也 会 自 动 安 装 2 . 0 / 3 . 5 / 4 . 0 版 本 ， 在 命 名 行 下 输 入   / ?   看 到 所 有 的 帮 助 其 中   / t : l i b r a r y   表 示 生 成 d l l ， / r 参 数 表 示 引 用 D L L ， - o u t 参 数 表 示 生 成 d l l 的 位 置 ， 这 里 很 显 然 得 放 到 B i n 目 录 下 ， 完 整 命 令 如 下
看 到 下 列 内 容 的 输 出 ， 表 示 命 令 执 行 成 功 ！ W e b S h e l l 执 行 结 果 如 图 再 跳 转 到 站 点 B i n 目 录 下 看 到 成 功 创 建 了 想 要 的 A d m i n W e b . d l l 文 件 ， 至 此 D L L 版 本 的 后 门 程 序 已 经 制 作 完 成 。 到 了 这 步 攻 击 者 肯 定 会 想 到 在 一 个 已 经 存 在 的 文 件 中 去 调 用 这 个 D L L 里 的 方 法 ， 笔 者 新 建 了 c . a s p x 文 件 ， 里 面 写 上 一 段 代 码 去 实 例 化 D L L 里
的 A d m i n W e b 类 会 触 发 其 构 造 方 法 ， 代 码 如 下 预 览 后 得 到 下 图 结 果 ， 在 实 例 化 类 的 过 程 中 自 动 调 用 了 构 造 方 法 ， 执 行 了 D O S 下 的 s e t 命 令 。 按 照 这 样 的 思 路 在 服 务 器 上 已 经 找 不 到 A S P X 马 儿 的 任 何 特 征 ， 最 多 可 以 发 现 新 建 的 c . a s p x 文 件 可 疑 ， 但 调 用 的 方 法 名 看 上 去 很 平 常 ， 即 使 管 理 员 用 D 盾 或 者 安 全 狗 也 扫 不 出 任 何 的 蛛 丝 马 迹 ， 也 实 现 了 一 种 后 门 权 限 维 持 的 方 法 。 但 笔 者 还 不 满 足 ， 接 下 来 还 要 介 绍 一 种 更 加 隐 蔽 的 方 法 。 0 x 0 3   H t t p H a n d l e r 映 射 映 射 笔 者 在 第 一 篇 介 绍 a s h x 中 我 们 提 到 过   I S A P I ， 它 是 根 据 文 件 名 后 缀 把 不 同 的 请 求 转 交 给 不 同 的 处 理 程 序 。 几 乎 一 大 半 的 文 件 访 问 都 交 给 a s p n e t _ i s a p i . d l l   去 处 理 了 ， 很 明 显 a s p n e t _ i s a p i . d l l 对 不 同 的 请 求 采 取 不 同 的 处 理 方 式 ， 查 看 C : W i n d o w s M i c r o s o f t . N E T F r a m e w o r k v 4 . 0 . 3 0 3 1 9 C o n f i g w e b . c o n f i g 配 置 定 义 ， 可 以 知 道 a s h x 是 可 以 自 定 义 配 置 实 现 映 射 关 系 ， 例 如 下 面 的 配 置 ： 配 置 项 中 p a t h 属 性 是 必 选 的 ， 它 的 作 用 是 指 定 路 径 可 以 包 含 单 个 U R L 或 者 简 单 的 通 配 符 字 符 串 如   * . a s h x   ;     其 它 的 属 性 参 考 下 表 属 性 属 性 说 明 说 明 n a m e 处 理 映 射 程 序 的 名 称 t y p e 必 选 的 属 性 ， 指 定 逗 号 分 割 的 类 / 程 序 集 组 合 ， 一 般 对 应 的 就 是 B i n 目 录 下 的 D L L v e r b 必 选 的 属 性 ， 可 以 是 G E T / P O S T / P U T ； 也 可 以 是 脚 本 映 射 如 通 配 符 *
p r e C o n d i t i o n 可 选 属 性 ， 可 以 是 集 成 模 式 （ I n t e g r a t e d ） /   经 典 模 式 （ C l a s s i c ） v a l i d a t e 可 选 的 属 性 ， 一 般 为 t r u e 下 面 笔 者 演 示 将 通 过 浏 览 器 访 问 验 证 码 图 片 达 到 命 令 执 行 的 效 果 ： 首 先 n a m e 属 性 设 置 为 一 个 伪 装 成 正 常 处 理 程 序 的 名 字 P a g e H a n d l e r F a c t o r y - I S A P I - 2 . 0 - 3 2 ； p a t h 属 性 设 置 为 任 意 名 称 的 g i f 图 片 ， 这 里 是 实 现 的 验 证 码 ； v e r b 属 性 为 * 表 示 任 意 请 求 都 可 以 ； t y p e 是 最 重 要 的 命 名 空 间 . 类 名 ； p r e C o n d i t i o n 属 性 设 置 为 集 成 模 式 （ I I S 7 性 能 好 ） 笔 者 编 写 了 一 个 C # 的 小 马 ， 保 存 名 称 为 I s a p i M o d u l e s . H a n d l e r . c s   ， 实 现 三 个 功 能 ， 一 是 生 成 验 证 码 ， 二 是 创 建 一 个 a s p x 的 一 句 话 文 件 ， 三 是 执 行 c m d 命 令 ； 生 成 验 证 码 的 目 的 是 为 了 更 好 的 隐 藏 自 己 ， 从 H T T P 返 回 的 数 据 里 输 出 的 是 一 张 图 片 文 件 ， 代 码 片 段 如 下 图 再 在 命 令 行 下 生 成   I s a p i M o d u l e s . H a n d l e r . d l l ， 生 成 D L L 的 命 令 如 下 ：
最 后 只 需 要 在 站 点 根 目 录 下 的 W e b . c o n f i g 文 件 新 增 h a n d l e r s / h t t p H a n d l e r s 节 点   ;   注 意 在 I I S 6 添 加 如 下 配 置 配 置 好 了 之 后 ， I I S 7 服 务 管 理 器 映 射 列 表 中 就 会 注 册 笔 者 自 定 义 的 映 射 程 序   P a g e H a n d l e r F a c t o r y - I S A P I - 2 . 0 - 3 2 ， 名 字 和 系 统 的 P a g e H a n d l e r F a c t o r y - I S A P I - 2 . 0 很 接 近 ， 但 确 实 是 一 个 伪 装 者 打 开 浏 览 器 随 便 输 入 h t t p : / / i p / a n y t h i n g . g i f ? a = c & p = c m d . t x t & c = i p c o n f i g ， 这 个 时 候 界 面 是 一 个 验 证 码 图 片 ， 伪 装 的 很 好 ， I D S 也 不 好 检 测 。
这 个 时 候 已 经 在 服 务 器 上 生 成 了 c m d . t x t ， 得 到 I P 配 置 信 息 ！ 试 想 留 下 这 样 一 个 完 美 的 后 门 程 序 ， 参 数 加 不 加 的 时 候 都 会 输 出 验 证 码 图 片 ， 这 样 就 可 以 绕 过 一 些 终 端 产 品 和 流 量 检 测 ， 达 到 了 很 好 的 隐 藏 效 果 。 0 x 0 4   菜 刀 一 句 话 的 隐 藏 菜 刀 一 句 话 的 隐 藏 实 现 菜 刀 可 用 的 一 句 话 就 必 须 要 引 入 J s c r i p t . N e t ， 而 且 需 要 利 用 . N E T   F r a m e W o r k 自 带 的 j s c . e x e 去 编 译 j s 脚 本 。 有 关 j s c . e x e 的 命 令 可 以 参 考 h t t p s : / / d o c s . m i c r o s o f t . c o m / z h - c n / p r e v i o u s - v e r s i o n s / v i s u a l s t u d i o / v i s u a l - s t u d i o - 2 0 1 0 / 7 4 3 5 x t z 6 ( v = v s . 1 0 0 ) 笔 者 新 建 I s a p i M o d u 1 e . H a n d l e r . j s ， 实 现 代 码 如 下
在 W e b S h e l l 里 调 用 j s c . e x e 编 译 j s 脚 本 ， 输 入
修 改 W e b . c o n f i g 配 置 ， 添 加 新 的 D L L 映 射 关 系 ， 完 成 这 步 整 个 菜 刀 后 门 配 置 完 成 。 访 问 图 片 菜 刀 地 址   h t t p : / / i p / n e w s . g i f ， 看 到 下 图 表 示 菜 刀 马 运 行 成 功 ！ 0 x 0 5   小 结 小 结 1 .       这 样 实 现 的 后 门 非 常 隐 蔽 ， 管 理 员 很 难 发 觉 ， 可 以 长 期 权 限 维 持 ； 2 .       生 成 的 D L L 也 可 以 在 本 地 ， 或 者 再 进 一 步 可 以 混 淆 或 者 加 壳 等 等 对 抗 服 务 端 杀 软 ； 3 .       文 章 的 代 码 片 段 和 D L L 下 载 请 参 考 h t t p s : / / g i t h u b . c o m / I v a n 1 e e ；
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理