搜索

[15817] 2020-09-06_Faxhell：一个利用Fax服务和DLL劫持技术实现的BindShell

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2020-09-06_Faxhell：一个利用Fax服务和DLL劫持技术实现的BindShell F a x h e l l ： 一 个 利 用 F a x 服 务 和 D L L 劫 持 技 术 实 现 的 B i n d   S h e l l A l p h a _ h 4 c k   F r e e B u f   2 0 2 0 - 0 9 - 0 6 F a x h e l l F a x h e l l ， 又 名 “ F a x   S h e l l ” ， 它 是 一 个 利 用 利 用 F a x 服 务 和 D L L 劫 持 技 术 实 现 的 B i n d   S h e l l ， F a x h e l l 本 身 就 是 一 个 针 对 B i n d   S h e l l 的 概 念 验 证 P o C ， 其 中 的 D L L 劫 持 基 于 U a l a p i . d l l 实 现 。 如 何 使 用 如 何 使 用 首 先 ， 我 们 需 要 构 建 U a l a p i . d l l 文 件 ， 并 将 其 存 放 至 “ c : w i n d o w s s y s t e m 3 2 ” 路 径 下 。 接 下 来 ， 开 启 系 统 的 F a x 服 务 ， 该 服 务 启 动 后 将 会 加 载 我 们 的 D L L 文 件 ， 并 调 用 “ U a l S t a r t ” 导 出 函 数 。 此 时 ， “ U a l S t a r t ” 会 将 线 程 池 内 的 工 作 项 加 入 一 个 队 列 之 中 ， 并 开 启 一 个 针 对 “ R p c S s ” 的 控 制 器 ， 然 后 寻 找 一 个 S Y S T E M 令 牌 。 找 到 之 后 ， 代 码 便 会 复 制 其 内 容 并 伪 装 成 该 令 牌 。 接 下 来 ， 它 将 会 使 用 本 地 终 端 地 址 创 建 一 个 s o c k e t 会 话 ， 并 将 其 绑 定 至 端 口 9 2 9 9 ， 然 后 使 用 线 程 池 的 I O   C o m p l e t i o n 端 口 异 步 等 待 传 入 的 链 接 。 配 置 好 上 述 内 容 之 后 ， 我 们 需 要 使 用 熟 悉 的 客 户 端 （ 例 如 n c ( a t ) . e x e 9 2 9 9 ） 来 连 接 绑 定 端 口 9 2 9 9 的 s o c k e t 会 话 。 然 后 输 入 “ l e t   m e   i n ” 并 按 下 回 车 键 。 如 果 你 编 写 了 自 定 义 代 码 ， 可 以 尝 试 发 送 字 符 串 “ l e t   m e   i n n ” 。 I / O   C o m p l e t i o n 包 将 会 唤 醒 线 程 池 回 调 ， 而 回 调 请 求 将 会 开 启 C m d . e x e 进 程 ， 并 使 用 S Y S T E M 权 限 运 行 D c o m L a u n c h 服 务 。 此 时 ， 就 会 将 其 输 入 和 输 出 处 理 器 绑 定 到 新 创 建 的 s o c k e t 会 话 上 了 。
终 端 防 护 响 应 终 端 防 护 响 应 / 反 病 毒 绕 过 反 病 毒 绕 过 使 用 一 个 不 常 见 或 很 少 人 知 道 的 服 务 ， 或 者 使 用 E D R 厂 商 不 会 监 控 或 标 记 为 “ 可 疑 ” 的 服 务 。 使 用 W i n d o w s 线 程 池 A P I 来 配 置 ， 增 加 栈 内 存 的 读 取 难 度 ， 通 过 多 个 线 程 来 均 衡 工 作 负 载 ， 避 免 出 现 可 疑 情 况 的 提 示 。 伪 造 令 牌 的 有 效 期 非 常 短 ， 必 须 让 工 作 线 程 以 S Y S T E M 权 限 运 行 ， 只 有 在 每 次 A P I 调 用 完 成 之 后 ， 才 恢 复 网 络 服 务 ， 这 样 可 以 降 低 被 扫 描 器 捕 捉 到 的 机 率 。 使 用 不 常 见 的 s o c k e t   A P I ， 让 导 入 的 表 没 有 那 么 可 疑 ， 并 躲 避 E D R 检 测 、 L O C T L 钩 子 和 L S P 。 在 D c o m L a u n c h 服 务 下 创 建 B i n d   S h e l l ， 这 个 服 务 已 经 是 一 个 拥 有 S Y S T E M 权 限 的 服 务 了 ， 因 此 我 们 的 行 为 看 起 来 会 更 加 自 然 ， 避 免 出 现 可 疑 的 进 程 树 。 利 用 W i n d o w s 漏 洞 ， 让 s o c k e t 看 起 来 属 于 F a x 服 务 ， 而 并 非 E c o m L a u n c h 或 e x e 。 如 果 我 们 终 止 F a x 服 务 ， 那 么 s o c k e t 将 会 属 于 S y s t e m 。 注 意 事 项 注 意 事 项 根 据 前 文 的 介 绍 ， 想 必 大 家 应 该 已 经 了 解 了 F a x h e l l 的 工 作 机 制 和 使 用 方 法 了 。 但 是 ， 这 并 不 意 味 着 F a x h e l l 是 一 个 可 以 直 接 丢 进 目 标 系 统 执 行 ， 并 且 无 法 被 检 测 和 察 觉 的 恶 意 攻 击 武 器 。 首 先 ， F a x h e l l 只 是 一 个 B i n d   S h e l l ， 大 多 数 防 火 墙 都 可 以 阻 止 其 活 动 。 打 开 防 火 墙 规 则 ， 或 使 用 一 个 反 向 B i n d   S h e l l ， 或 者 使 用 类 似 8 0 和 4 4 3 这 样 的 常 见 端 口 来 实 现 数 据 通 信 会 更 加 有 效 。 其 次 ， 比 如 说 S p o o l e r 这 样 的 常 见 服 务 同 样 也 能 够 加 载 我 们 的 U a l a p i . d l l 。 第 三 ， 我 们 提 供 的 这 个 F a x h e l l   P o C 可 能 会 造 成 内 存 泄 漏 。 参 考 文 档 参 考 文 档
1 、 h t t p s : / / w i n d o w s - i n t e r n a l s . c o m / f a x i n g - y o u r - w a y - t o - s y s t e m / 项 目 地 址 项 目 地 址 F a x h e l l ： h t t p s : / / g i t h u b . c o m / i o n e s c u 0 0 7 / f a x h e l l 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理