搜索

[12753] 2018-05-27_使用CMSTP绕过AppLocker的方法介绍

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2018-05-27_使用CMSTP绕过AppLocker的方法介绍 使 用 C M S T P 绕 过 A p p L o c k e r 的 方 法 介 绍 s e c i s t   F r e e B u f   2 0 1 8 - 0 5 - 2 7 C M S T P 是 一 个 与 是 一 个 与 M i c r o s o f t 连 接 管 理 器 配 置 文 件 安 装 程 序 关 联 的 二 进 制 文 件 。 它 接 受 连 接 管 理 器 配 置 文 件 安 装 程 序 关 联 的 二 进 制 文 件 。 它 接 受 I N F 文 件 ， 这 些 文 件 可 以 文 件 ， 这 些 文 件 可 以 通 过 恶 意 命 令 武 器 化 ， 以 脚 本 （ 通 过 恶 意 命 令 武 器 化 ， 以 脚 本 （ S C T ） 和 ） 和 D L L 的 形 式 执 行 任 意 代 码 。 它 是 一 个 受 信 任 的 的 形 式 执 行 任 意 代 码 。 它 是 一 个 受 信 任 的 M i c r o s o f t 二 进 制 文 件 ， 二 进 制 文 件 ， 位 于 以 下 两 个 位 于 以 下 两 个 W i n d o w s 目 录 中 。 目 录 中 。 A p p L o c k e r 默 认 规 则 允 许 在 这 些 文 件 夹 中 执 行 二 进 制 文 件 ， 因 此 我 们 可 以 用 它 来 作 为 b y p a s s 的 一 种 方 法 。 该 方 法 最 初 是 由 O d d v a r   M o e 发 现 的 ， 使 用 这 个 二 进 制 文 件 可 以 绕 过 A p p L o c k e r 和 U A C ， 具 体 可 以 参 阅 他 的 博 文 。 D L L 通 过 M e t a s p l o i t   F r a m e w o r k 的 m s f v e n o m 生 成 恶 意 D L L 文 件 。 I N F 文 件 的 R e g i s t e r O C X S e c t i o n 需 要 包 含 恶 意 D L L 文 件 的 本 地 路 径 或 远 程 执 行 的 W e b D A V 位 置 。
M e t a s p l o i t   m u l t i / h a n d l e r 模 块 需 要 配 置 为 接 收 连 接 。 当 恶 意 I N F 文 件 与 c m s t p 一 起 提 供 时 ， 代 码 将 会 在 后 台 执 行 。 M e t e r p r e t e r 会 话 将 从 D L L 执 行 中 打 开 。
S C T 除 了 D L L 文 件 外 ， c m s t p 还 能 够 运 行 S C T 文 件 ， 这 在 红 队 操 作 中 扩 展 了 二 进 制 的 可 用 性 。   N i c k   T y r e r 最 初 通 过 T w i t t e r 展 示 了 这 种 能 力 。 N i c k   T y r e r 还 编 写 了 一 个 名 为 p o w e r s c t . s c t 的 s c r i p t l e t ， 可 以 将 其 用 作 执 行 P o w e r S h e l l 命 令 的 备 选 解 决 方 案 ， 以 应 对 本 机 P o w e r S h e l l 被 阻 止 的 情 况 。 U n R e g i s t e r O C X S e c t i o n 需 要 包 含 s c r i p t l e t 的 U R L 。 最 终 的 I N F 文 件 需 要 包 含 以 下 内 容 ： 当 I N F 文 件 被 执 行 一 个 新 的 窗 口 将 打 开 ， 这 将 允 许 用 户 执 行 P o w e r S h e l l 命 令 。 代 码 执 行 也 可 以 通 过 使 用 s c r i p t l e t 来 调 用 恶 意 可 执 行 文 件 。 I N F 文 件 需 要 包 含 s c r i p t l e t 的 远 程 位 置 。
在 执 行 I N F 文 件 时 ， 将 会 打 开 一 个 新 的 命 令 提 示 符 窗 口 ， 这 表 示 代 码 已 被 成 功 执 行 。 成 功 获 取 到 一 个 M e t e r p r e t e r 会 话 。 总 结 总 结 使 用 C M S T P 二 进 制 来 绕 过 A p p l e 限 制 和 代 码 执 行 。 C M S T P 需 要 I N F 文 件 并 在 执 行 时 生 成 一 个 C M P 文 件 ， 它 是 连 接 管
理 器 设 置 文 件 。 因 此 ， 如 果 恶 意 攻 击 者 已 经 开 始 使 用 此 技 术 ， 且 C M S T P . E X E 二 进 制 无 法 被 A p p L o c k e r 规 则 阻 止 的 情 况 下 ， 则 需 要 将 这 两 个 文 件 作 为 I o C 进 行 监 视 。 参 考 参 考 h t t p s : / / g i s t . g i t h u b . c o m / n e t b i o s X / 1 5 c 9 6 3 4 6 5 b f 1 e 7 8 9 6 9 f b 3 3 4 7 c 4 3 b 4 5 b 9 h t t p s : / / g i s t . g i t h u b . c o m / n e t b i o s X / 2 9 7 e a 2 2 d 3 4 7 5 b b 7 2 1 6 a 7 5 2 5 f 1 e e 8 2 5 6 8 h t t p s : / / g i s t . g i t h u b . c o m / N i c k T y r e r / 0 6 0 4 b b 9 d 7 b c f e f 9 e 0 c f 8 2 c 2 8 a 7 b 7 6 f 0 f / h t t p s : / / g i s t . g i t h u b . c o m / N i c k T y r e r / b b d 1 0 d 2 0 a 5 b b 7 8 f 6 4 a 9 d 1 3 f 3 9 9 e a 0 f 8 0 h t t p s : / / m s i t p r o s . c o m / ? p = 3 9 6 0 h t t p s : / / b o h o p s . c o m / 2 0 1 8 / 0 2 / 2 6 / l e v e r a g i n g - i n f - s c t - f e t c h - e x e c u t e - t e c h n i q u e s - f o r - b y p a s s - e v a s i o n - p e r s i s t e n c e / h t t p s : / / b o h o p s . c o m / 2 0 1 8 / 0 3 / 1 0 / l e v e r a g i n g - i n f - s c t - f e t c h - e x e c u t e - t e c h n i q u e s - f o r - b y p a s s - e v a s i o n - p e r s i s t e n c e - p a r t - 2 / * 参 考 来 源 ： p e n t e s t l a b ， F B 小 编   s e c i s t   编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理