搜索

[401] 2021-07-04_Windows权限维持-Monitors

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-16
2021-07-04_Windows权限维持-Monitors W i n d o w s 权 限 维 持 - M o n i t o r s 原 创   a F a 攻 防 实 验 室   a F a 攻 防 实 验 室   2 0 2 1 - 0 7 - 0 4 收 录 于 话 题   # 内 网 攻 防   , 4 3 个 介 绍 介 绍 W i n d o w s 打 印 服 务 P r i n t   S p o o l e r 和 进 程 s p o o l s v . e x e ， 在 添 加 端 口 监 视 器 P o r t   M o n i t o r s 时 ， 可 以 利 用 来 加 载 恶 意 的 D L L 文 件 ， 实 现 权 限 维 持 ， 因 为 是 系 统 服 务 运 行 ， 所 以 权 限 是 S Y S T E M ， 也 会 用 来 提 权 。 添 加 P o r t   M o n i t o r s 有 两 种 方 法 ， 第 一 种 是 通 过 注 册 表 的 方 式 ， 第 二 种 是 自 定 义 W i n d o w s 程 序 ， 该 程 序 使 用 A d d M o n i t o r 函 数 来 加 载 D L L 。 因 为 涉 及 到 注 册 表 的 添 加 和 S y s t e m 3 2 文 件 夹 内 容 写 入 ， 所 以 前 提 是 需 要 有 管 理 员 权 限 。 注 册 表 注 册 表 打 印 服 务 通 过 注 册 表 添 加 端 口 监 视 器 的 位 置 在 ： * * * 可 随 意 命 名 ， 系 统 启 动 时 会 加 载 M o n i t o r s 下 所 有 子 项 中 D r i v e r 定 义 的 d l l 文 件 ， 例 如 T e s t ， 命 令 如 下 ： H K L M S Y S T E M C u r r e n t C o n t r o l S e t C o n t r o l P r i n t M o n i t o r s * * * r e g   a d d   " H K L M S Y S T E M C u r r e n t C o n t r o l S e t C o n t r o l P r i n t M o n i t o r s T e s t "   / v   " D r i v e r "   / d   " c a l c t e s t . d l l "   / t   R E G _ S Z
这 里 使 用 m s f v e n o m 生 成 一 个 d l l 文 件 ， 放 到 s y s t e m 3 2 下 ， 该 文 件 加 载 运 行 c a l c ， 不 论 是 反 弹 s h e l l 还 是 执 行 命 令 ， 需 要 注 意 目 标 系 统 架 构 ， 生 成 对 应 的 d l l ： 经 过 测 试 ， 注 销 、 启 动 和 重 启 都 会 加 载 M o n i t o r s 下 D r i v e r 指 定 的 d l l 文 件 ， 加 载 时 的 权 限 为 s y s t e m 。 过 程 ： W i n d o w s 启 动 时 ， 会 启 动 相 应 的 服 务 ， 打 印 服 务 在 启 动 的 时 候 ， 会 读 取 端 口 监 控 器 下 所 有 的 子 项 ， 并 加 载 这 些 子 项 中 D r i v e r 指 定 的 d l l 文 件 。
自 定 义 自 定 义 W i n d o w s 程 序 程 序 自 定 义 W i n d o w s 程 序 即 通 过 官 方 提 供 的 函 数 A d d M o n i t o r 来 添 加 监 视 器 ， 本 质 上 还 是 加 载 d l l 文 件 ， 只 不 过 是 通 过 程 序 运 行 加 载 的 ， 而 不 是 注 册 表 。 代 码 如 下 ： 将 上 面 C 代 码 编 译 为 e x e ， 然 后 放 到 目 标 机 s y s t e m 3 2 下 ， 和 自 己 的 d l l 在 同 一 目 录 ， 然 后 手 动 运 行 e x e 来 触 发 d l l ， 我 这 里 可 能 因 为 兼 容 问 题 导 致 消 息 提 醒 了 ： 这 种 方 式 如 果 想 自 动 触 发 来 维 持 权 限 ， 则 需 要 对 e x e 进 行 处 理 ， 例 如 添 加 开 机 运 行 、 定 时 任 务 等 。 排 查 排 查 对 M o n i t o r s 的 权 限 维 持 排 查 时 可 使 用 p r o c m o n 进 行 进 程 查 看 ， 查 看 s p o o l s v . e x e 进 程 下 的 程 序 、 流 程 是 否 有 异 常 的 。 同 时 ， 查 看 注 册 表 的 M o n i t o r s 子 项 ： # i n c l u d e   " W i n d o w s . h " i n t   m a i n ( )   {         M O N I T O R _ I N F O _ 2   m o n i t o r I n f o ;         T C H A R   e n v [ 1 2 ]   =   T E X T ( " W i n d o w s   x 6 4 " ) ;         T C H A R   n a m e [ 1 2 ]   =   T E X T ( " M o n i t o r T e s t " ) ;         T C H A R   d l l [ 1 2 ]   =   T E X T ( " c a l c t e s t . d l l " ) ;         m o n i t o r I n f o . p N a m e   =   n a m e ;         m o n i t o r I n f o . p E n v i r o n m e n t   =   e n v ;         m o n i t o r I n f o . p D L L N a m e   =   d l l ;         A d d M o n i t o r ( N U L L ,   2 ,   ( L P B Y T E ) & m o n i t o r I n f o ) ;         r e t u r n   0 ; }
像 上 面 的 几 个 都 是 默 认 的 ， 不 同 系 统 可 能 有 些 区 别 ， 可 以 搜 索 相 关 项 的 作 用 ， 并 排 查 异 常 的 d l l 文 件 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理