搜索

[13788] 2019-02-23_WindowsADS在渗透测试中的妙用

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2019-02-23_WindowsADS在渗透测试中的妙用 W i n d o w s   A D S 在 渗 透 测 试 中 的 妙 用 3 u n s h i n e   F r e e B u f   2 0 1 9 - 0 2 - 2 3 前 言 前 言 N T F S 交 换 数 据 流 （ 交 换 数 据 流 （ A l t e r n a t e   D a t a S t r e a m s ， 简 称 ， 简 称 A D S ） 是 ） 是 N T F S 磁 盘 格 式 的 一 个 特 性 ， 在 磁 盘 格 式 的 一 个 特 性 ， 在 N T F S 文 件 系 统 下 ， 文 件 系 统 下 ， 每 个 文 件 都 可 以 存 在 多 个 数 据 流 。 通 俗 的 理 解 ， 就 是 其 它 文 件 可 以 每 个 文 件 都 可 以 存 在 多 个 数 据 流 。 通 俗 的 理 解 ， 就 是 其 它 文 件 可 以 “ 寄 宿 寄 宿 ” 在 某 个 文 件 身 上 。 利 用 在 某 个 文 件 身 上 。 利 用 A D S 数 据 流 ， 数 据 流 ， 我 们 可 以 做 很 多 有 趣 的 事 情 ， 同 时 对 于 企 业 安 全 来 说 这 类 问 题 也 隐 藏 着 巨 大 的 风 险 。 本 文 主 要 讨 论 利 用 方 式 以 我 们 可 以 做 很 多 有 趣 的 事 情 ， 同 时 对 于 企 业 安 全 来 说 这 类 问 题 也 隐 藏 着 巨 大 的 风 险 。 本 文 主 要 讨 论 利 用 方 式 以 及 如 何 防 御 这 类 攻 击 。 及 如 何 防 御 这 类 攻 击 。 利 用 方 式 利 用 方 式 文 件 隐 藏 文 件 隐 藏 在 N T F S 分 区 创 建 A D S 数 据 流 文 件 有 两 种 形 式 两 种 形 式 ： 一 是 指 定 宿 主 文 件 ； 二 是 创 建 单 独 的 A D S 文 件 。 常 用 的 创 建 命 令 有 两 个 ： e c h o 和 t y p e   ， e c h o 用 于 输 入 常 规 字 符 ， t y p e 则 用 于 将 文 件 附 加 到 目 标 文 件 ， 此 类 用 法 通 常 为 C T F 出 题 时 候 使 用 。 指 定 宿 主 文 件 指 定 宿 主 文 件 这 类 情 况 可 以 使 用 命 令 创 建 目 标 文 件 ： 正 常 情 况 文 件 无 法 查 看 到 ， 可 以 使 用 命 令 ： 文 件 内 容 可 以 使 用 命 令 n o t e p a d   1 . t x t : f l a g . t x t   进 行 查 看 和 编 辑   查 看 到 文 件 名 ： e c h o   9 5 2 7   >   1 . t x t : f l a g . t x t   d i r   / r
文 件 内 容 可 以 使 用 命 令 ： 进 行 查 看 和 编 辑 ： 此 类 文 件 可 以 通 过 直 接 删 除 宿 主 文 件 清 除 。 单 独 的 单 独 的 A D S 数 据 流 文 件 数 据 流 文 件 这 类 可 以 通 过 命 令 来 进 行 创 建 ： 创 建 之 后 在 目 录 下 无 文 件 ， 也 没 有 依 赖 的 宿 主 文 件 ， 并 且 此 类 文 件 在 当 前 目 录 命 令 行 下 是 无 法 查 看 的 ， 因 为 它 是 依 赖 于 文 件 夹 的 A D S 数 据 流 文 件 ： 因 此 需 要 退 到 上 级 目 录 进 行 查 看 ： 使 用 命 令 ： 可 以 进 行 编 辑 ： n o t e p a d   1 . t x t : f l a g . t x t e c h o   h i d e   >   : k e y . t x t n o t e p a d   t e s t : k e y . t x t
像 这 类 文 件 的 清 除 一 种 是 通 过 删 除 文 件 夹 的 方 式 ， 但 是 假 如 这 个 文 件 是 创 建 在 系 统 根 目 录 如 何 进 行 处 理 ， 此 时 需 要 用 到 W i n H e x   T o o l s   -   O p e n   D i s k 功 能 。 选 中 目 标 盘 符 ， 找 到 目 标 文 件 夹 。 可 以 进 行 查 看 ： 如 需 删 除 只 需 在 W i n H e x 选 中 之 后 按 D e l e t e 即 可 。 w e b s h e l l 后 门 后 门 由 于 w i n d o w s   x p 之 后 的 系 统 对 于 A D S 文 件 都 没 有 执 行 权 限 ， 因 此 隐 藏 此 类 w e b s h e l l 需 要 用 到 文 件 包 含 来 进 行 配 合 。 首 先 创 建 被 包 含 文 件 i n d e x . p h p : s . t x t 。 。 内 容 为 ： 然 后 参 考 ： h t t p s : / / b l o g . c s d n . n e t / n z j d s d s / a r t i c l e / d e t a i l s / 8 1 2 6 0 5 2 4 的 方 法 ， H e x 之 后 通 过 利 用 P H P   可 变 变 量 进 行 二 次 转 换 ， 6 9 6 e 6 4 6 5 7 8 2 e 7 0 6 8 7 0 3 a 7 3 2 e 7 4 7 8 7 4 为 i n d e x . p h p : s . t x t 的 h e x 编 码 ， 最 终 t e s t . p h p 中 内 容 如 下 : 访 问 t e s t . p h p 即 可 ： < ? p h p   p h p i n f o ( ) ; ? > < ? p h p   $ a = " 6 9 6 e 6 4 6 5 7 8 2 e 7 0 " . " 6 8 7 0 3 a 7 3 2 e 7 4 7 8 7 4 " ; $ b = " a " ; i n c l u d e ( P A C K ( ' H * ' , $ $ b ) ) ? >
使 用 最 新 版 D 盾 盾 扫 描 也 无 法 发 现 问 题 。 P S ： 这 边 另 外 补 充 一 点 ， 文 件 最 好 寄 宿 在 纯 静 态 文 件 ， 因 为 像 p h p 文 件 修 改 后 会 改 变 属 性 ， 系 统 层 相 当 于 生 成 了 一 个 新 的 文 件 ， 导 致 A D S 文 件 失 去 宿 主 而 消 失 。 文 件 上 传 文 件 上 传 这 一 块 主 要 是 用 于 B y p a s s 上 传 黑 名 单 验 证 ， 因 为 在 我 们 上 传 数 据 流 文 件 时 ， 形 如 t e s t . p h p : : $ D A T A 、 t e s t . p h p : a . t x t 这 样 的 后 缀 ， w i n d o w s 系 统 必 定 需 要 创 建 一 个 对 应 的 宿 主 文 件 t e s t . p h p ， 同 时 假 设 我 们 需 要 上 传 的 文 件 内 容 为 ： 下 面 是 上 传 是 会 出 现 的 现 象 ： |   上 传 的 文 件 名   |   服 务 器 表 面 现 象   |   生 成 的 文 件 内 容   | |   - - -   |   - - -   |   - - -   | |   T e s t . p h p : a . j p g   |   生 成 T e s t . p h p   |   空   | | T e s t . p h p : : $ D A T A   |   生 成 t e s t . p h p   |   < ? p h p p h p i n f o ( ) ; ? >   | |   T e s t . p h p : : $ I N D E X _ A L L O C A T I O N   |   生 成 t e s t . p h p 文 件 夹   |     | | T e s t . p h p : : $ D A T A 0 . j p g   |   生 成 0 . j p g   |   < ? p h p p h p i n f o ( ) ; ? >   | 可 以 注 意 到 上 传 文 件 名 为 T e s t . p h p : : $ I N D E X _ A L L O C A T I O N 时 会 生 成 对 应 的 文 件 夹 ， 利 用 此 种 特 性 也 可 以 用 于 突 破 U D F 提 权 时 遇 到 无 法 创 建 文 件 夹 的 问 题 。 < ? p h p   p h p i n f o ( ) ; ? >
病 毒 免 杀 病 毒 免 杀 前 面 提 到 过 在 w i n d o w s   x p   0 3 之 后 的 版 本 的 数 据 流 文 件 都 被 禁 止 了 执 行 权 限 ， 因 此 可 以 使 用 w s c r i p t 来 运 行 v b s ， 此 处 在 C 盘 根 目 录 使 用 命 令 ： 创 建 了 依 赖 C 盘 存 在 的 数 据 流 文 件 c : : 2 . v b s   ， 没 有 工 具 正 常 是 无 法 清 除 的 。 使 用 命 令 ： 可 以 成 功 执 行 v b s 。 当 然 我 们 今 天 主 要 是 来 测 试 病 毒 免 杀 的 ， 所 以 首 先 使 用 m s f 生 成 一 个 d l l 木 马 。 很 容 易 就 被 确 认 为 病 毒 。 t y p e 1 . v b s   >   : 2 . v b s w s c r i p t   c : : 2 . v b s
使 用 命 令 ： 将 d l l 写 入 数 据 流 文 件 ： 再 次 使 用 3 6 0 联 网 完 全 体 进 行 查 杀 ， 无 法 发 现 此 类 木 马 。 使 用 命 令 ： 运 行 d l l ， 当 然 由 于 病 毒 行 为 太 明 显 没 作 处 理 ， 3 6 0 还 是 会 动 态 查 杀 的 ， 这 个 配 合 一 点 其 他 的 免 杀 技 术 完 全 过 掉 也 不 难 ， 这 边 不 再 多 做 赘 述 。 t y p e   t e s t . d l l   >   1 . t x t : m s r e g s v r 3 2   1 . t x t : m s
小 结 小 结 目 前 杀 毒 软 件 和 w e b s h e l l 查 杀 对 A D S 数 据 流 技 术 的 查 杀 支 持 并 不 是 很 好 ， 并 且 木 马 可 能 进 行 依 赖 于 盘 符 的 驻 留 方 式 ， 希 望 能 本 文 能 有 所 帮 助 。 检 测 检 测 检 测 的 工 具 常 见 的 有 L A D S   ( L i s t   A l t e r n a t e   D a t a   S t r e a m s ) 、 、 S t r e a m s 、 、 S f i n d 等 （ 供 参 考 ） 清 除 清 除 清 除 方 式 目 前 一 个 是 个 人 用 过 的 w i n h e x 和 删 除 宿 主 文 件 这 两 种 方 式 ， 另 一 个 就 是 借 助 相 关 工 具 如 I c e S w o r d 删 除 。 参 考 参 考 h t t p s : / / w w w . f r e e b u f . c o m / a r t i c l e s / 7 3 2 7 0 . h t m l h t t p s : / / w w w . c n b l o g s . c o m / f e i y u c h a / p / 9 9 4 0 8 9 5 . h t m l h t t p s : / / b l o g . c s d n . n e t / n z j d s d s / a r t i c l e / d e t a i l s / 8 1 2 6 0 5 2 4 h t t p s : / / w w w . i 0 d a y . c o m / 7 3 3 . h t m l * 本 文 作 者 ： 本 文 作 者 ： 3 u n s h i n e ， 本 文 属 ， 本 文 属   F r e e B u f   原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 。 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理