搜索

[10612] 2016-10-17_巧用COM接口IARPUninstallStringLauncher绕过UAC

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2016-10-17_巧用COM接口IARPUninstallStringLauncher绕过UAC 巧 用 C O M 接 口 I A R P U n i n s t a l l S t r i n g L a u n c h e r 绕 过 U A C E x p L i f e   F r e e B u f   2 0 1 6 - 1 0 - 1 7 *   本 文 原 创 作 者 ： E x p L i f e ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 前 言 前 言 最 近 笔 者 对 之 前 利 用 最 近 笔 者 对 之 前 利 用 w i n d o w s 卸 载 接 口 绕 过 卸 载 接 口 绕 过 U A C 的 研 究 资 料 进 行 了 整 理 的 研 究 资 料 进 行 了 整 理 , 这 里 指 的 并 非 这 里 指 的 并 非 G i t h u b 这 份 代 码 中 的 模 拟 鼠 标 点 击 的 方 这 份 代 码 中 的 模 拟 鼠 标 点 击 的 方 式 ， 而 是 编 码 实 现 程 序 自 身 调 用 式 ， 而 是 编 码 实 现 程 序 自 身 调 用 w i n d o w s 卸 载 接 口 从 而 绕 过 卸 载 接 口 从 而 绕 过 U A C 的 方 式 。 的 方 式 。 简 介 简 介 细 心 的 朋 友 可 能 会 发 现 , 通 过 w i n d o w s 的 控 制 面 板 卸 载 程 序 的 时 候 不 会 触 发 U A C 框 , 那 么 其 背 后 的 原 理 是 什 么 呢 ？ 主 要 有 三 点 ： 1 . 调 用 位 于 C A R P U n i n s t a l l S t r i n g L a u n c h e r C O M 组 件 中 I A R P U n i n s t a l l S t r i n g L a u n c h e r 接 口 的 L a u n c h U n i n s t a l l S t r i n g A n d W a i t 方 法 来 实 现 卸 载 程 序 。 2 . 获 取 a u t o e l e v a t e 的 I A R P U n i n s t a l l S t r i n g L a u n c h e r 接 口 指 针 , 这 里 实 际 就 是 将 中 完 整 性 级 别 提 升 至 高 完 整 性 级 别 , 这 一 步 在 不 可 信 的 宿 主 程 序 中 执 行 的 时 候 会 触 发 U A C 窗 口 。 3 . 步 骤 2 中 的 操 作 要 在 w i n d o w s 的 白 名 单 程 序 中 执 行 才 不 会 触 发 U A C 框 , 哪 些 是 白 名 单 程 序 呢 ? 位 于 系 统 目 录 % s y s t e m r o o t % 下 的 很 多 e x e 都 是 白 名 单 程 序 , 比 如 说 : 记 事 本 , 计 算 器 , 桌 面 等 等 。 逆 向 分 析 控 制 面 板 的 卸 载 功 能 逆 向 分 析 控 制 面 板 的 卸 载 功 能
首 先 向 控 制 面 板 的 已 安 装 程 序 列 表 中 添 加 一 个 测 试 条 目 , 要 实 现 这 里 一 点 只 需 要 在 注 册 表 键 H K E Y _ C U R R E N T _ U S E R S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n U n i n s t a l l 下 添 加 一 个 子 键 即 可 。 该 模 版 中 各 个 键 名 的 具 体 含 义 请 参 见 上 图 . 其 中 { 1 8 E 7 8 D 3 1 - B B C C - 4 e 6 f - A 2 1 D - 0 A 1 5 B B C 6 2 D 4 9 } 这 个 名 称 大 家 可 以 根 据 需 要 替 换 成 任 意 字 符 串 。 接 下 来 将 w i n d b g 附 加 到 桌 面 进 程 , 对 创 建 进 程 的 A P I 函 数 C r e a t e P r o c e s s W 设 置 断 点 。 然 后 运 行 起 来 , 接 着 在 刚 刚 添 加 的 测 试 条 目 上 单 击 鼠 标 右 键 并 选 择 右 键 菜 单 项 < 卸 载 / 更 改 ( U ) > 。 这 时 断 了 下 来 , 查 看 一 下 调 用 堆 栈 可 以 看 到 , 控 制 面 板 中 的 单 击 鼠 标 右 键 的 卸 载 菜 单 项 实 际 上 是 调 用 的 a p p w i z . c p l 模 块 中 I A R P U n i n s t a l l S t r i n g L a u n c h e r 接 口 的 L a u n c h U n i n s t a l l S t r i n g A n d W a i t 方 法 。 通 过 I D A 加 载 a p p w i z . c p l , 然 后 查 看 一 下 交 叉 引 用 图 解
接 着 查 看 一 下 L a u n c h U n i n s t a l l S t r i n g A n d W a i t 这 个 方 法 的 反 编 译 代 码 这 里 I D A 对 于 L a u n c h U n i n s t a l l S t r i n g A n d W a i t 这 个 方 法 的 几 个 参 数 识 别 有 误 . 第 一 个 参 数 是 t h i s 指 针 , 可 以 暂 时 不 用 理 会 , 第 二 , 第 三 , 第 四 个 参 数 的 含 义 我 们 可 以 通 过 R e a d U n i n s t a l l S t r i n g F r o m R e g i s t r y 这 个 函 数 的 内 部 实 现 来 进 行 推 敲 。 该 函 数 的 功 能 根 据 函 数 名 称 字 面 的 意 思 应 该 是 从 注 册 表 中 读 取 卸 载 字 符 串 . 反 编 译 代 码 如 下 : 该 函 数 还 是 很 容 易 还 原 的 , 笔 者 反 推 如 下 :
返 回 上 一 层 看 看 效 果 , 是 不 是 该 函 数 参 数 的 含 义 一 目 了 然 了 ! 最 后 一 个 参 数 h W n d 并 没 有 用 到 , 我 们 暂 时 不 予 理 会 。 逐 步 推 敲 可 知 L a u n c h U n i n s t a l l S t r i n g A n d W a i t 这 个 方 法 的 功 能 就 是 从 注 册 表 指 定 的 键 值 中 读 取 卸 载 字 符 串 ( 即 卸 载 程 序 的 命 令 字 符 串 ) , 然 后 通 过 该 卸 载 程 序 的 命 令 字 符 串 创 建 卸 载 进 程 。 那 么 我 们 应 该 给 这 各 个 参 数 传 什 么 数 值 呢 ? 我 们 首 先 断 到 这 个 方 法 来 看 看 , 系 统 传 递 的 值 是 多 少 ?
通 过 堆 栈 中 的 数 值 我 们 可 以 知 道 , 该 函 数 的 第 二 个 参 数 和 第 四 个 参 数 系 统 传 的 是 0 。 第 二 个 参 数 h K e y 不 要 想 当 然 的 传 H K E Y _ C U R R E N T _ U S E R , 这 个 宏 的 值 实 际 为 0 × 8 0 0 0 0 0 0 1 , 根 据 R e a d U n i n s t a l l S t r i n g F r o m R e g i s t r y 的 第 一 个 参 数 的 表 达 式 ( h K e y   ! =   0 )   –   - x 7 F F F F F F F 来 看 , 当 h K e y 的 值 为 0 时 候 ,   ( h K e y   ! =   0 )   –   - x 7 F F F F F F F 的 值 才 为 0 × 8 0 0 0 0 0 0 1 , 即 H K E Y _ C U R R E N T _ U S E R . 所 以 h K e y 这 个 参 数 应 该 填 0 。 第 三 个 参 数 p U n i n s t a l l R e g K e y 实 际 上 是 H K E Y _ C U R R E N T _ U S E R S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n U n i n s t a l l 这 个 注 册 表 键 下 的 子 键 的 名 称 第 四 个 参 数 b I s M o d i f y O r U n i n s t a l l 表 示 卸 载 或 者 更 改 状 态 对 应 的 布 尔 值 , 填 0 表 示 卸 载 。 第 五 个 参 数 h W n d 该 函 数 中 并 没 有 用 到 , 所 以 直 接 填 N U L L . 光 有 L a u n c h U n i n s t a l l S t r i n g A n d W a i t 这 个 方 法 还 不 够 呀 , 这 个 方 法 并 没 有 体 现 权 限 是 如 何 提 升 的 呀 ! 我 们 继 续 往 上 层 回 溯 , 根 据 调 用 堆 栈 的 情 况 , 我 们 查 看 一 下 上 层 函 数 的 交 叉 引 用 图 示 由 于 L a u n c h U n i n s t a l l S t r i n g A n d W a i t 是 通 过 虚 函 数 的 形 式 调 用 的 , 也 就 是 说 运 行 时 动 态 调 用 的 , 所 以 静 态 分 析 的 交 叉 引 用 凸 显 不 出 来 。 下 面 我 们 要 重 点 关 注 的 就 是 C I n s t a l l e d A p p 这 个 接 口 中 的 _ C r e a t e A p p M o d i f y P r o c e s s 方 法 。 这 个 方 法 调 用 了 非 常 多 的 外 部 方 法 , 规 模 有 点 庞 大 。
将 该 图 示 放 大 可 以 找 到 一 个 比 较 有 意 思 的 方 法 - C o C r e a t e I n s t a n c e A s A d m i n W i t h C o r r e c t B i t n e s s . 这 个 方 法 其 实 就 是 用 来 提 权 , 笔 者 将 该 方 法 反 编 译 的 代 码 整 理 如 下 ： 如 果 编 程 功 底 比 较 弱 , 那 么 你 看 到 这 段 代 码 也 可 能 丈 二 脑 袋 摸 不 着 头 脑 , 但 是 你 通 过 将 其 编 码 成 C / C + + 代 码 依 然 可 以 实 现 你 想 要 的 功 能 ： 如 果 开 发 功 底 好 的 话 , 应 该 会 知 道 微 软 官 方 有 如 下 的 介 绍 :   h t t p s : / / m s d n . m i c r o s o f t . c o m / z h - c n / l i b r a r y / w i n d o w s / d e s k t o p / m s 6 7 9 6 8 7 . a s p x , 其 中 有 示 例 代 码 ： 该 示 例 代 码 与 I D A 反 编 译 的 代 码 基 本 等 价 . 所 以 逆 向 与 开 发 是 相 辅 相 成 的 . 要 重 视 实 际 编 程 的 历 练 。 好 了 下 面 我 们 使 用 微 软 官 方 的 工 具 O L E V i e w e r 查 看 一 下 a p p w i z . c p l 这 个 组 件 的 类 型 库 . 因 为 要 调 用 C O M 组 件 中 的 接 口 , 最 直 接 的 方 法 是 需 要 导 入 类 型 库 的 。
但 是 笔 者 在 该 类 型 库 中 并 没 有 找 到 I A R P U n i n s t a l l S t r i n g L a u n c h e r 这 个 接 口 的 描 述 信 息 。 但 是 笔 者 在 全 局 分 支 A l l   O b j e c t 下 找 到 了 如 下 组 件 描 述 信 息 那 么 极 有 可 能 I A R P U n i n s t a l l S t r i n g L a u n c h e r 这 个 接 口 是 供 微 软 内 部 使 用 的 . 从 该 描 述 信 息 中 我 们 可 以 得 知 ： C A R P U n i n s t a l l S t r i n g L a u n c h e r ( 即 A R P   U n i n s t a l l S t r i n g   L a u n c h e r ) 这 个 组 件 的 C L S I D 为 { F C C 7 4 B 7 7 - E C 3 E - 4 D D 8 - A 8 0 B - 0 0 8 A 7 0 2 0 7 5 A 9 } . I A R P U n i n s t a l l S t r i n g L a u n c h e r 这 个 接 口 的 I I D 为 { F 8 8 5 1 2 0 E - 3 7 8 9 - 4 F D 9 - 8 6 5 E - D C 9 B 4 A 6 4 1 2 D 2 } 与 I D A 中 呈 现 出 来 的 G U I D 是 一 致 的 . 好 了 , 由 于 找 不 到 a p p w i z . c p l 的 类 型 库 , 所 以 笔 者 只 好 退 而 求 其 次 , 直 接 获 取 C O M 组 件 对 象 的 地 址 , 然 后 通 过 访 问 虚 函 数 表 来 获 取 接 口 中 方 法 的 指 针 .   C A R P U n i n s t a l l S t r i n g L a u n c h e r 接 口 的 虚 表 布 局 如 下 ,   L a u n c h U n i n s t a l l S t r i n g A n d W a i t 的 偏 移 为 0 x 0 C 。
编 码 实 现 绕 过 编 码 实 现 绕 过 U A C 的 功 能 的 功 能 核 心 提 权 代 码 点 击 阅 读 原 文 可 见 核 心 提 权 代 码 点 击 阅 读 原 文 可 见 调 试 运 行 , 发 现 会 弹 出 U A C 框 为 什 么 呢 ？ 因 为 执 行 该 提 权 代 码 宿 主 的 身 份 是 不 可 信 的 , 所 以 我 们 需 要 想 办 法 让 这 段 代 码 在 w i n d o w s 的 白 名 单 程 序 中 运 行 . 所 以 很 直 接 的 会 想 到 将 这 段 代 码 注 入 到 诸 如 计 算 器 , 记 事 本 , 桌 面 等 等 程 序 中 去 执 行 , 这 样 就 不 会 弹 出 U A C 框 了 。 将 提 权 代 码 转 换 为 将 提 权 代 码 转 换 为 s h e l l c o d e 并 注 入 到 白 名 单 程 序 中 执 行 并 注 入 到 白 名 单 程 序 中 执 行 关 键 代 码 可 点 击 阅 读 原 文 查 看 。 由 于 有 注 入 行 为 , 所 以 主 流 杀 毒 软 件 可 能 会 拦 截 那 么 有 没 有 无 需 注 入 的 方 法 呢 ？ 当 然 有 。 利 用 利 用 r u n d l l 3 2 来 加 载 自 定 义 来 加 载 自 定 义 d l l 中 导 出 函 数 中 导 出 函 数 r u n d l l 3 2 调 用 d l l 的 导 出 函 数 是 有 特 殊 规 定 的 , 函 数 必 须 是 如 下 形 式 :
V O I D   C A L L B A C K   E n t r y P o i n t ( H W N D   h w n d ,   H I N S T A N C E   h i n s t ,   L P S T R   l p s z C m d L i n e ,   i n t   n C m d S h o w ) ; 但 是 笔 者 测 试 发 现 通 过 函 数 名 称 调 用 会 报 错 。 笔 者 逆 向 了 一 下 r u n d l l 3 2 . e x e 的 实 现 , 变 相 的 解 决 了 报 错 的 问 题 . 这 里 弹 出 的 错 误 框 通 过 样 式 可 知 是 M e s s a g e B o x W 弹 出 的 , 通 过 交 叉 引 用 得 到 : 上 层 的 _ D i s p l a y E r r o r M e s s a g e 是 对 M e s s a g e B o x W 的 一 个 简 单 封 装 , 我 们 直 接 略 过 , 我 们 重 点 来 看 看 _ I n i t C o m m a n d I n f o 这 个 函 数 的 实 现 , 顾 名 思 义 : 初 始 化 命 令 行 信 息 .
继 续 转 入 _ F i n d C o m m a n d F u n c t i o n 这 个 函 数 . 笔 者 动 态 调 试 跟 踪 发 现 函 数 名 称 填 写 正 确 , 依 然 获 取 不 到 函 数 地 址 . 但 是 之 前 笔 者 在 没 有 安 装 任 何 杀 软 的 系 统 上 是 可 以 通 过 名 称 调 用 的 , 所 以 笔 者 猜 测 有 可 能 是 杀 毒 软 件 的 各 种 挂 钩 导 致 的 兼 容 性 问 题 所 致 , 也 可 能 是 因 为 现 在 利 用 r u n d l l 3 2 来 启 动 的 木 马 病 毒 泛 滥 , 所 以 安 全 软 件 的 沙 箱 对 这 个 点 进 行 了 防 护 . 这 里 仅 仅 是 猜 测 , 笔 者 后 面 如 果 有 精 力 再 来 研 究 。 既 然 通 过 名 称 无 法 调 用 , 正 好 上 面 的 _ F i n d C o m m a n d F u n c t i o n 这 个 函 数 表 明 可 以 通 过 序 号 调 用 , 那 我 们 就 通 过 序 号 调 用 呗 , 笔 者 测 试 发 现 通 过 序 号 调 用 是 正 常 的 。 P O C 的 测 试 效 果 的 测 试 效 果 见 百 度 云 盘 : h t t p s : / / p a n . b a i d u . c o m / s / 1 e S f t k p 8 小 结 小 结 调 用 A R P   U n i n s t a l l S t r i n g   L a u n c h e r 组 件 的 卸 载 接 口 , 有 如 下 特 点 : ① 与 之 前 的 利 用 D L L 劫 持 这 类 方 法 相 比 更 加 简 单
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理