搜索

[11875] 2017-10-10_Powershell最佳安全实践

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2017-10-10_Powershell最佳安全实践 P o w e r s h e l l 最 佳 安 全 实 践 A l p h a _ h 4 c k   F r e e B u f   2 0 1 7 - 1 0 - 1 0 写 在 前 面 的 话 写 在 前 面 的 话 其 实 很 早 之 前 ， 攻 击 者 就 已 经 开 始 使 用 合 法 工 具 来 渗 透 目 标 网 络 并 实 现 横 向 攻 击 了 。 理 由 很 简 单 ： 使 用 合 法 工 其 实 很 早 之 前 ， 攻 击 者 就 已 经 开 始 使 用 合 法 工 具 来 渗 透 目 标 网 络 并 实 现 横 向 攻 击 了 。 理 由 很 简 单 ： 使 用 合 法 工 具 可 以 降 低 被 检 测 到 的 几 率 ， 而 且 进 过 授 权 的 工 具 （ 而 并 非 恶 意 工 具 ） 可 以 更 容 易 绕 过 安 全 防 护 机 制 。 因 此 对 具 可 以 降 低 被 检 测 到 的 几 率 ， 而 且 进 过 授 权 的 工 具 （ 而 并 非 恶 意 工 具 ） 可 以 更 容 易 绕 过 安 全 防 护 机 制 。 因 此 对 于 攻 击 者 来 说 ， 于 攻 击 者 来 说 ， P o w e r S h e l l 就 成 为 了 一 个 绝 佳 的 工 具 。 在 这 篇 文 章 中 ， 我 们 将 跟 大 家 讨 论 就 成 为 了 一 个 绝 佳 的 工 具 。 在 这 篇 文 章 中 ， 我 们 将 跟 大 家 讨 论 P o w e r S h e l l 的 最 佳 实 的 最 佳 实 践 方 式 ， 而 本 文 的 内 容 将 能 够 帮 助 你 对 抗 那 些 使 用 践 方 式 ， 而 本 文 的 内 容 将 能 够 帮 助 你 对 抗 那 些 使 用 P o w e r S h e l l 来 攻 击 你 的 人 。 来 攻 击 你 的 人 。 P o w e r S h e l l 是 什 么 是 什 么 ? P o w e r S h e l l 是 一 种 专 为 M i c r o s o f t W i n d o w s 和 W i n d o w s   S e r v e r 设 计 的 自 动 化 平 台 兼 脚 本 语 言 ， 它 可 以 简 化 系 统 管 理 步 骤 。 与 其 他 基 于 文 本 的 s h e l l 不 同 ， P o w e r S h e l l 还 可 以 利 用 M i c r o s o f t   . N e t   F r a m e w o r k 的 强 大 功 能 ， 并 给 用 户 提 供 多 种 对 象 和 内 置 功 能 来 帮 助 用 户 管 理 自 己 的 W i n d o w s 环 境 。
为 什 么 是 为 什 么 是 P o w e r S h e l l ？ ？ 目 前 有 很 多 网 络 攻 击 都 在 使 用 P o w e r S h e l l ， 尤 其 是 近 期 的 P e t y a / N o t P e t y a 攻 击 活 动 。 对 于 攻 击 者 来 说 ， 最 重 要 的 是 P o w e r S h e l l 是 W i n d o w s 自 带 的 工 具 ， 并 且 整 合 了 . N E T   F r a m e w o r k 组 件 ， 而 在 攻 击 者 的 入 侵 和 感 染 活 动 中 ， 这 个 框 架 组 件 能 够 提 供 多 种 操 作 选 项 。 对 于 攻 击 者 而 言 ， 对 于 攻 击 者 而 言 ， P o w e r S h e l l 最 吸 引 人 的 方 面 有 以 下 几 个 ： 最 吸 引 人 的 方 面 有 以 下 几 个 ： 1 .   可 以 轻 松 访 问 网 络 套 接 字 ； 1 .   可 以 在 内 存 中 动 态 编 译 恶 意 代 码 ； 1 .   可 直 接 访 问 W i n 3 2 应 用 程 序 编 程 接 口 （ A P I ） ； 1 .   可 以 轻 松 访 问 W M I 接 口 ； 1 .   强 大 的 脚 本 环 境 ； 1 .   动 态 、 运 行 时 方 法 调 用 ； 1 .   轻 松 访 问 加 密 库 ， 例 如 I P S e c 和 各 种 哈 希 算 法 ； 1 .   轻 松 绑 定 C O M ； 上 面 列 出 的 这 些 因 素 让 P o w e r S h e l l 成 为 了 一 种 高 效 的 攻 击 向 量 。 P o w e r S h e l l 首 次 被 当 作 一 种 攻 击 平 台 被 提 出 是 在 2 0 1 0 年 ， 当 时 在 D e f C o n 1 8 上 有 研 究 人 员 演 示 了 利 用 P o w e r S h e l l 的 P o C 。
目 前 ， 社 区 中 有 很 多 类 似 N i s h a n g 、 P o w e r S p l o i t 和 P o w e r S h e l l   E m p i r e 平 台 的 攻 击 工 具 ， 攻 击 者 可 以 利 用 这 些 工 具 来 进 行 网 络 侦 察 、 持 续 性 感 染 以 及 横 向 攻 击 活 动 。 当 然 了 ， 考 虑 到 P o w e r S h e l l 的 自 身 属 性 ， 它 还 可 以 进 行 各 种 形 式 的 编 程 ， 攻 击 者 可 以 采 用 编 程 的 方 式 将 其 打 造 成 一 款 自 定 义 工 具 。 P o w e r S h e l l 安 全 最 佳 实 践 安 全 最 佳 实 践 考 虑 到 某 些 组 织 因 为 需 求 关 系 不 能 禁 用 或 删 除 P o w e r S h e l l ， 下 面 给 出 的 几 条 安 全 实 践 建 议 可 以 帮 助 你 在 享 受 P o w e r S h e l l 的 高 效 性 时 免 受 网 络 威 胁 的 困 扰 。 1 .             P S L o c k D o w n P l o i c y 以 及 以 及 P o w e r S h e l l 的 受 限 语 言 模 式 的 受 限 语 言 模 式 受 限 语 言 模 式 能 够 将 P o w e r S h e l l 限 制 在 基 础 功 能 状 态 ， 并 移 除 其 高 级 功 能 的 支 持 ， 例 如 . N E T 和 W i n d o w s   A P I 调 用 以 及 C O M 访 问 。 一 旦 P o w e r S h e l l 失 去 了 这 些 高 级 功 能 ， 那 么 绝 大 多 数 的 基 于 P o w e r S h e l l 的 攻 击 工 具 都 将 会 失 效 。 但 是 在 企 业 环 境 中 ， 这 种 方 法 将 会 对 合 法 脚 本 产 生 负 面 影 响 ， 因 此 我 们 建 议 在 采 用 这 种 方 法 之 前 ， 一 定 要 进 行 多 次 测 试 ， 以 保 证 合 法 代 码 的 正 常 运 行 。 【   配 置 参 考 资 料 】 启 用 受 限 语 言 模 式 ： 通 过 组 策 略 启 动 ： 2 .             P o w e r S h e l l   v . 5 + A p p l o c k e r + D e v i c e G u a r d P o w e r S h e l l   v . 5 自 带 了 很 多 优 秀 的 安 全 增 强 功 能 ， 非 常 适 合 企 业 环 境 使 用 。 这 些 安 全 增 强 功 能 包 括 ： 脚 本 块 日 志 ： 将 反 混 淆 化 的 P o w e r S h e l l 代 码 记 录 到 事 件 日 志 中 ； 系 统 范 围 的 脚 本 拷 贝 ： 该 功 能 可 通 过 组 策 略 开 启 ， 可 记 录 下 每 一 条 在 系 统 中 执 行 过 的 P o w e r S h e l l 命 令 和 代 码 块 ； 受 限 语 言 模 式 的 P o w e r S h e l l ： 进 入 受 限 语 言 模 式 ； 整 合 反 恶 意 软 件 （ W i n d o w s   1 0 ） ： W i n d o w s   1 0 的 反 恶 意 软 件 扫 描 接 口 （ A M S I ） 允 许 所 有 的 脚 本 引 擎 （ P o w e r S h e l l 、 V B S c r i p t 和 J S c r i p t ） 请 求 对 动 态 内 容 进 行 安 全 分 析 ， 包 括 脚 本 文 件 、 命 令 行 输 入 的 命 令 以 及 内 存 中 下 载 和 执 行 的 代 码 。 它 可 以 在 P o w e r S h e l l 代 码 执 行 之 前 对 其 进 行 安 全 扫 描 。 除 此 之 外 ， 用 户 还 可 以 使 用 A p p l o c k e r 来 阻 止 未 知 来 源 的 P o w e r S h e l l 代 码 。 D e v i c e   G u a r d 是 W i n d o w s   1 0 和 W i n d o w s   S e r v e r 2 0 1 6 新 推 出 的 功 能 ， 它 可 以 利 用 先 进 的 硬 件 功 能 来 增 强 受 限 语 言 模 式 和 应 用 程 序 白 名 单 功 能 。 3 .             记 录 记 录 P o w e r S h e l l 活 动 活 动 我 们 可 以 通 过 组 策 略 来 开 启 P o w e r S h e l l 模 块 记 录 功 能 ： M i c r o s o f t . P o w e r S h e l l . *   ( 例 如 M i c r o s o f t . P o w e r S h e l l . M a n a g e m e n t m o d u l e ) ： 记 录 大 多 数 P o w e r S h e l l 的 核 心 功 能 ；
A c t i v e D i r e c t o r y ： 记 录 活 动 目 录 的 使 用 ； B I T S   T r a n s f e r ： 记 录 B I T S （ 后 台 智 能 传 输 服 务 ） 的 使 用 ； C i m C m d l e t s   ( 2 0 1 2 R 2 / 8 . 1 )   ： 记 录 C I M （ 公 共 信 息 模 型 ） 的 使 用 ； M i c r o s o f t . W S M a n . M a n a g e m e n t ： 记 录 W S - M a n a g e m e n t 以 及 W i n R M 的 使 用 ； N e t A d a p t e r / N e t C o n n e c t i o n ： 记 录 与 网 络 相 关 的 活 动 情 况 ； P S S c h e d u l e d J o b / S c h e d u l e d T a s k s   ( P S v 5 )   ： 记 录 管 理 计 划 任 务 ； S m b S h a r e ： 记 录 S M B 共 享 活 动 ； 为 了 让 这 些 日 志 发 挥 作 用 ， 我 们 需 要 将 其 提 供 给 一 个 中 央 日 志 系 统 ， 并 针 对 已 知 的 攻 击 方 法 进 行 警 告 配 置 。 相 关 活 动 ： 涉 及 到 . N e t 的 下 载 活 动 ( N e w - O b j e c t   N e t . W e b C l i e n t ) . D o w n l o a d S t r i n g ) I n v o k e - E x p r e s s i o n B I T S 活 动 计 划 任 务 创 建 / 删 除 远 程 P o w e r S h e l l 检 测 P o w e r S h e l l 攻 击 代 码 最 好 的 方 法 就 是 查 找 关 键 标 识 符 ， 即 关 键 代 码 段 。 例 子 ： 检 测 例 子 ： 检 测 M i m i k a t z （ 一 种 收 集 登 录 用 户 凭 证 的 工 具 ） （ 一 种 收 集 登 录 用 户 凭 证 的 工 具 ） 相 关 的 M i m i k a t z 事 件 日 志 关 键 词 ： “ S y s t e m . R e f l e c t i o n . A s s e m b l y N a m e ” “ S y s t e m . R e f l e c t i o n . E m i t . A s s e m b l y B u i l d e r A c c e s s   “ “ S y s t e m . R u n t i m e . I n t e r o p S e r v i c e s . M a r s h a l A s A t t r i b u t e ” “ T O K E N _ P R I V I L E G E S ” “ S E _ P R I V I L E G E _ E N A B L E D ” 对 于 经 过 混 淆 处 理 的 P o w e r S h e l l ， 我 们 应 该 设 计 自 定 义 规 则 。 比 如 说 ： 寻 找 大 括 号 {   } 寻 找 单 引 号 或 双 引 号 ’   “ 因 为 它 们 都 是 在 混 淆 技 术 中 会 经 常 使 用 的 ， 而 合 法 软 件 或 正 常 的 管 理 员 一 般 是 不 会 使 用 它 们 的 。 4 .             移 除 移 除 P o w e r S h e l l   V . 2 由 于 微 软 给 最 新 版 本 P o w e r S h e l l 整 合 的 安 全 增 强 功 能 并 不 适 用 于 P o w e r S h e l l   v . 2 ， 因 此 v . 2 版 本 的 P o w e r S h e l l 将 有 可 能 被 用 于 攻 击 者 的 横 向 渗 透 或 持 久 化 攻 击 之 中 。 处 于 类 似 原 因 ， 微 软 近 期 宣 布 将 在 下 一 个 W i n d o w s 1 0 更 新 中 废 除 P o w e r S h e l l   v . 2 。 因 此 ， 我 们 建 议 广 大 用 户 尽 快 移 除 系 统 中 的 P o w e r S h e l l   v . 2 。
5 .             脚 本 代 码 签 名 脚 本 代 码 签 名 如 果 你 需 要 在 企 业 环 境 中 使 用 P o w e r S h e l l 脚 本 的 话 ， 代 码 签 名 也 是 另 一 种 可 以 增 强 安 全 性 的 方 法 。 这 种 功 能 将 只 允 许 经 过 数 字 签 名 的 脚 本 代 码 在 计 算 机 中 运 行 。 但 是 我 们 h a i x u y a 噢 考 虑 到 某 些 攻 击 者 可 能 会 使 用 恶 意 文 件 签 名 来 绕 过 这 种 防 护 机 制 ， 因 此 我 们 还 需 要 添 加 额 外 的 安 全 层 以 防 止 这 种 绕 过 技 术 。 6 .             P o w e r S h e l l 检 测 绕 过 技 术 检 测 绕 过 技 术 由 于 使 用 P o w e r S h e l l 的 攻 击 事 件 越 来 越 多 ， 因 此 P o w e r S h e l l 也 逐 渐 开 始 吸 引 到 了 社 区 研 究 人 员 的 注 意 。 而 针 对 各 种 各 样 的 检 测 技 术 ， 攻 击 者 也 研 发 出 了 相 应 的 绕 过 方 法 。 其 中 包 括 ： 将 目 标 主 机 中 的 P o w e r S h e l l 降 级 至 P o w e r S h e l l v . 2 自 定 义 使 用 . N E T   F r a m e w o r k （ 不 涉 及 到 P o w e r S h e l l . e x e 的 执 行 ） P o w e r S h e l l 脚 本 混 淆 上 面 列 举 出 的 只 是 其 中 的 一 小 部 分 技 术 ， 但 “ 记 录 P o w e r S h e l l 活 动 ” 那 部 分 的 安 全 实 践 建 议 可 以 检 测 其 中 的 绝 大 部 分 绕 过 行 为 。 总 结 总 结 - P o w e r S h e l l 的 安 全 并 没 有 那 么 容 易 实 现 的 安 全 并 没 有 那 么 容 易 实 现 在 对 目 前 绝 大 多 数 已 知 的 攻 击 技 术 进 行 了 分 析 之 后 ， 我 们 强 烈 建 议 大 家 升 级 至 W i n d o w s   1 0 和 P o w e r S h e l l   v . 5 ， 并 移 除 P o w e r S h e l l   v . 2 。 虽 然 这 种 操 作 可 能 不 适 用 于 某 些 特 殊 的 企 业 环 境 ， 但 相 关 的 网 络 管 理 员 也 应 该 尽 量 部 署 并 激 活 本 文 所 介 绍 的 安 全 保 护 技 术 ， 并 及 时 更 新 攻 击 识 别 信 息 。 *   参 考 来 源 ： d i g i t a l s h a d o w s ， F B 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理