搜索

[26704] 2021-03-09_从项目中看BypassUAC和BypassAMSI

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-19
2021-03-09_从项目中看BypassUAC和BypassAMSI 1 2 从 项 目 中 看 B y p a s s U A C 和 B y p a s s A M S I 原 创   快 乐 鸡 哥   m o o n s e c   2 0 2 1 - 0 3 - 0 9 从 项 目 中 看 从 项 目 中 看 B y p a s s U A C 和 和 B y p a s s A M S I 一 、 概 述 在 日 常 渗 透 过 程 中 ， 无 论 执 行 e x e 程 序 还 是 执 行 p s 1 脚 本 ， 都 可 能 会 遇 到 U A C 或 A M S I 的 阻 挠 。 本 文 将 结 合 U A C M E 和 D o u n t 项 目 介 绍 B y p a s s U A C 与 B y p a s s A M S I 的 方 法 。 若 有 不 足 之 处 ， 请 大 家 指 出 。 二 、 B y p a s s U A C B y p a s s U A C 自 然 绕 不 开 U A C M E 这 个 项 目 h t t p s : / / g i t h u b . c o m / h f i r e f 0 x / U A C M E ， 项 目 里 包 含 了 很 多 不 同 种 类 的 方 法 ， 其 中 D l l H i j a c k 、 R e g i s t r y k e y   m a n i p u l a t i o n 、 E l e v a t e d C O M i n t e r f a c e 这 三 种 方 法 是 项 目 中 出 现 的 较 多 且 好 用 的 ， 对 应 2 3 、 3 3 、 4 1 这 三 个 方 法 号 ， 下 面 就 动 态 调 试 下 U A C M E 项 目 中 的 这 几 个 方 法 ， 有 坑 的 地 方 会 加 以 说 明 ： 调 试 前 要 修 改 两 步 ： 第 一 步 ： 增 加 方 法 号 参 数 ： 第 一 步 ： 增 加 方 法 号 参 数 ： 第 二 步 ： 第 二 步 ： g l o b a l . h 中 注 释 掉 中 注 释 掉 K U M A _ S T U B 2 . 1   调 试 调 试 D l l H i j a c k 可 见 2 3 这 个 方 法 从 W i n 7 到 w i n 1 0 各 版 本 都 还 没 修 复 ： 在 u c m I n i t ( ) 方 法 中 得 到 方 法 号 ， 后 面 也 会 获 得 第 二 个 参 数 即 需 要 执 行 的 命 令 ， 默 认 是 打 开 c m d ：
然 后 进 行 进 程 伪 装 ， 就 是 根 据 P E B 中 的 P r o c e s s P a r a m e t e r s 来 获 取 自 己 进 程 信 息 并 修 改 为 系 统 可 信 进 程 ： 然 后 进 行 进 程 伪 装 ， 就 是 根 据 P E B 中 的 P r o c e s s P a r a m e t e r s 来 获 取 自 己 进 程 信 息 并 修 改 为 系 统 可 信 进 程 ： 接 着 调 用 M e t h o d s M a n a g e r C a l l ( ) 方 法 ， 该 方 法 为 主 要 功 能 调 用 的 方 法 ， 参 数 为 对 应 的 方 法 号 ： 经 过 一 系 列 初 始 化 后 根 据 M e t h o d 号 在 u c m M e t h o d s D i s p a t c h T a b l e 结 构 体 数 组 找 到 对 应 调 用 方 法 和 所 需 资 源 ： 元 素 结 构 体 的 定 义 ， 第 一 个 为 调 用 方 法 函 数 指 针 和 第 三 个 为 所 需 资 源 号 ： 接 着 判 断 传 入 的 方 法 号 是 否 需 要 相 应 的 资 源 ， 如 果 需 要 则 加 载 并 执 行 解 密 操 作 ， 我 这 里 修 改 代 码 不 要 解 密 ， 直 接 加 载 ， 加 密 因 为 是 为 了 让 要 加 载 的 d l l 躲 避 查 杀 ： 加 载 的 d l l 内 容 ：
这 个 d l l 是 资 源 需 要 生 成 的 ， 注 意 这 里 需 要 I D R _ F U B U K I 6 4 的 d l l ， 所 以 用 F u b u b i 项 目 生 成 ， 并 存 放 在 b i n 目 录 下 ， 并 修 改 名 称 ： 接 着 根 据 U C M _ A P I _ D I S P A T C H _ E N T R Y 结 构 体 里 的 函 数 指 针 调 用 相 应 方 法 ： 2 3 号 调 用 的 是 M e t h o d D i s m ( ) ： 继 续 跟 入 u c m D i s m M e t h o d ( ) ， 先 进 行 版 本 判 断 后 ， 再 跟 入 u c m x G e n e r i c A u t o e l e v a t i o n ( ) 函 数 ， 在 该 方 法 中 主 要 实 现 对 F U B U K I 6 4 d l l 的 移 动 和 改 名 ： 该 函 数 内 先 调 用 s u p W r i t e B u f f e r T o F i l e ( ) 把 读 取 到 的 资 源 释 放 到 C : U s e r s k e n t A p p D a t a L o c a l T e m p d i s m c o r e . d l ! : 调 用 u c m M a s q u e r a d e d M o v e F i l e C O M ( ) 函 数 ， 该 函 数 中 用 c o m 接 口 { 3 A D 0 5 5 7 5 - 8 8 5 7 - 4 8 5 0 - 9 2 7 7 - 1 1 B 8 5 B D B 8 E 0 9 } 提 升 权 限 提 升 后 使 用 I F i l e O p e r a t i o n 对 象 将 其 移 动 到 C : W i n d o w s s y s t e m 3 2 ：
移 动 后 用 调 用 u c m M a s q u e r a d e d R e n a m e E l e m e n t C O M ( ) 修 改 名 字 ， 该 函 数 也 是 上 移 动 的 操 作 类 似 ： 上 述 对 劫 持 的 d l l 操 作 完 后 ， 开 始 执 行 相 应 的 命 令 ： 跟 入 u c m x D i s e m e r ( ) ， 函 数 中 拼 接 好 C : W i n d o w s s y s t e m 3 2 p k g m g r . e x e 要 执 行 的 程 序 和 / i p / m : p e 3 8 6   / q u i e t 参 数 ， 传 入 s u p R u n P r o c e s s 2 ( ) 调 用 : 构 造 S H E L L E X E C U T E I N F O 对 象 ， 传 入 S h e l l E x e c u t e E x ( ) 调 用 ： 后 面 会 执 行 些 清 理 方 法 ， 至 此 2 3 号 D l l H i j a c k 方 法 分 析 结 束 。 2 . 2     调 试 调 试 R e g i s t r y k e y   m a n i p u l a t i o n 可 见 3 3 这 个 方 法 只 支 持 w i n 1 0 ， 需 要 在 w i n 7 使 用 可 用 用 2 5 方 法 号 ， 方 式 是 一 样 的 。 该 方 法 的 原 理 就 是 ： f o d h e l p e r . e x e 进 程 会 启 动 时 ， 会 先 查 询 H K C U C l a s s e s m s - s e t t i n g s s h e l l o p e n c o m m a n d 注 册 表 中 的 数 据 ， 如 果 发 现 没 数 据 ， 则 查 询 H K C R C l a s s e s m s - s e t t i n g s s h e l l o p e n c o m m a n d 的 数 据 所 以 构 造 程 序 路 径 并 写 入 注 册 表 ， 那 么 f o d h e l p e r . e x e 启 动 时 ， 相 应 的 程 序 便 启 动 。 修 改 调 试 的 参 数 ， 运 行 ， 前 面 流 程 是 一 样 的 ， 直 接 跟 入 M e t h o d s M a n a g e r C a l l ( ) ：
3 3 号 方 法 没 有 相 应 的 p a y l a o d （ D L L ） ： 根 据 方 法 号 进 入 到 U C M _ A P I _ D I S P A T C H _ E N T R Y 结 构 体 中 函 数 指 针 的 具 体 方 法 ： 构 造 完 T a r g e t A p p ( f o d h e l p e r . e x e ) 和 p a y l o a d ( 所 要 打 开 的 程 序 C : W i n d o w s s y s t e m 3 2 c m d . e x e ) 传 入 并 调 用 u c m S h e l l R e g M o d M e t h o d ( ) ， 先 创 建 键 { 7 E 9 9 F F 9 8 - 7 D 6 6 - 4 0 E 8 - A 0 9 5 - B 6 4 6 7 7 6 8 C 2 8 A } ： 再 创 建 了 c o m m a n d 键 ： 然 后 设 置 S y m b o l i c L i n k V a l u e 键 值 ， D A T A 即 是 要 创 建 连 接 的 注 册 表 名 上 面 所 创 建 的 { 7 E 9 9 F F 9 8 - 7 D 6 6 - 4 0 E 8 - A 0 9 5 - B 6 4 6 7 7 6 8 C 2 8 A } ： 构 造 S H E L L E X E C U T E I N F O 结 构 体 ， 传 入 S h e l l E x e c u t e ( ) 启 动 f o d h e l p e r . e x e ：
后 面 清 理 相 应 的 注 册 表 键 值 。 2 . 3   C O M 接 口 提 升 接 口 提 升 E l e v a t e d C O M   i n t e r f a c e 4 1 号 方 法 基 本 覆 盖 全 版 本 w i n d o w s 系 统 : 该 漏 洞 的 原 理 是 利 用 C O M 接 口 提 升 对 I C M L u a U t i l 接 口 进 行 提 权 ， 然 后 利 用 S h e l l E x e c ( ) 方 法 来 执 行 命 令 。 因 为 要 通 过 C o C r e a t e I n s t a n c e A s A d m i n ( ) 创 建 C O M 类 ， 系 统 会 判 断 程 序 身 份 是 否 可 信 ， 若 不 可 信 则 会 触 发 弹 窗 ， 所 以 这 里 有 两 种 方 法 去 操 作 ： 做 成 D L L ， 使 用 r u n d l l 3 2 去 调 用 ， 或 者 注 入 到 其 他 可 信 进 程 进 程 伪 装 ， 修 改 P E B 中 自 身 的 进 程 信 息 为 系 统 可 信 进 程 U A C M E 用 了 第 二 种 方 法 ， 进 程 伪 装 在 2 . 1 中 已 提 及 ， 下 面 介 绍 C O M 接 口 的 相 关 操 作 ： 由 于 该 方 法 跟 2 . 2 一 样 是 没 有 要 加 载 的 p a y l o a d ， 所 以 直 接 运 行 后 根 据 方 法 号 进 入 到 U C M _ A P I _ D I S P A T C H _ E N T R Y 结 构 体 中 函 数 指 针 所 对 应 的 具 体 方 法 ： 先 初 始 化 C O M 环 境 ： 设 置 B I N D _ O P T S 3 ， 并 以 管 理 员 权 限 { 3 E 5 F C 7 F 9 - 9 A 5 1 - 4 3 6 7 - 9 0 6 3 - A 1 2 0 2 4 4 F B E C 7 } 创 建 名 称 对 象 及 获 取 C O M 对 象 调 用 C M L u a U t i l 对 象 虚 表 中 的 S h e l l E x e c 函 数 启 动 相 应 的 进 程 ：
3 对 于 C O M 接 口 提 升 这 类 B y p a s s U A C ， 要 满 足 两 点 条 件 ： 1 、 e l e v a t i o n 属 性 为 T r u e ， A u t o A p p r o v a l 为 T r u e 先 编 译 出 U A C M E 中 自 带 的 Y u u b a r i 程 序 ， 该 程 序 能 找 出 系 统 下 可 利 用 的 程 序 及 C O M 组 件 ： 然 后 使 用 O l e V i e w . N e t 工 具 根 据 C L S I D 查 看 找 到 的 接 口 信 息 ： 2 、 C O M 组 件 中 的 接 口 存 在 可 以 命 令 执 行 的 地 方 其 中 C O M 接 口 对 应 c m l u a . d l l 的 虚 函 数 表 就 有 S h e l l E x e c ( ) ： 4 1 号 这 个 方 法 挺 好 使 的 ， 用 来 做 C 2 的 l a u n c h 来 部 署 环 境 个 人 觉 得 很 适 合 。 三 、 B y p a s s A M S I ： 3 . 1 A M S I 简 介 简 介 A M S I （ A n t i m a l w a r e S c a n   I n t e r f a c e ） ， 即 反 恶 意 软 件 扫 描 接 口 ， 在 W i n d o w s   S e r v e r 2 0 1 6 和 W i n 1 0 上 默 认 安 装 并 启 用 ， 但 安 装 有 些 杀 软 会 被 关 掉 ， 可 通 过 接 口 来 扫 描 文 件 ， 内 存 、 数 据 ， 常 用 于 检 测 p s 脚 本 。 3 . 2 B y p a s s A M S I 方 式 方 式 网 上 看 到 目 前 能 B y p a s s A M S I 主 要 有 三 种 方 法 ： 修 改 相 应 的 注 册 表 。 将 H K C U S o f t w a r e M i c r o s o f t W i n d o w s S c r i p t S e t t i n g s A m s i E n a b l e 的 表 项 值 置 为 0 。 关 闭 W i n d o w s D e f e n d e r 使 系 统 自 带 的 A M S I 检 测 无 效 化 。 D l l 劫 持 p o w e r s h e l l 程 序 在 p o w e r s h e l l . e x e 执 行 目 录 放 置 一 个 伪 造 A M S I . d l l ， 从 而 实 现 D L L 劫 持 。 I n l i n e H o o k A M S I . d l l D o u n t 是 一 个 基 于 . N e t 的 免 杀 混 淆 组 件 ， 这 里 根 据 D o u n t 项 目 介 紹 下 三 种 方 式 来 B y p a s s A M S I ， 项 目 地 址 ： h t t p s : / / g i t h u b . c o m / T h e W o v e r / d o n u t 把 原 来 a m s i . d l l 中 的 A m s i S c a n S t r i n g ( ) 和 A m s i S c a n B u f f e r ( ) 扫 描 函 数 替 换 ， 让 其 返 回 S _ O K :
替 换 成 自 己 的 函 数 A m s i S c a n S t r i n g S t u b ( ) ： 求 A m s i S c a n S t r i n g S t u b ( ) 编 码 长 度 ： 改 变 内 存 属 性 ， 把 A m s i S c a n S t r i n g S t u b ( ) 覆 盖 到 A m s i S c a n S t r i n g ( ) : 2 、 修 改 其 返 回 验 证 传 递 的 A M S I 上 下 文 参 数 ， 使 S i g n a t u r e 值 不 为 “ A M S I ” （ 0 x 4 9 5 3 4 D 4 1 ） 但 现 在 一 旦 出 现 A m s i S c a n B u f f e r ( ) 该 字 符 串 都 有 可 能 被 W i n d o w s D e f e n d e r 查 杀 ， 所 以 就 E g g H u n t e r 这 种 方 法 ， 也 是 先 加 载 别 的 不 相 关 的 函 数 ， 如 D l l C a n U n l o a d N o w ( ) ： 然 后 再 通 过 保 存 A m s i S c a n B u f f e r ( ) 前 2 4 个 字 符 ： 最 后 调 用 F i n d A d d r e s s ( ) 从 内 存 捞 出 A m s i S c a n B u f f e r ( ) 相 应 的 地 址 ：
4 谢 谢 大 家 观 看 。 参 考 链 接 ： h t t p s : / / m o d e x p . w o r d p r e s s . c o m / 2 0 1 9 / 0 6 / 0 3 / d i s a b l e - a m s i - w l d p - d o t n e t / h t t p s : / / w w w . c o n t e x t i s . c o m / e n / b l o g / a m s i - b y p a s s 关 注 本 公 众 号 不 定 期 更 新 视 频 和 文 章   欢 迎 前 来 关 注 观 看
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理