搜索

[1136] 2020-10-17_[翻译].NET在只读WEB目录中创建内存shell

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-16
2020-10-17_[翻译].NET在只读WEB目录中创建内存shell [ 翻 译 ] . N E T 在 只 读 W E B 目 录 中 创 建 内 存 s h e l l S o r o u s h   D a l i l i   C h a B u g   2 0 2 0 - 1 0 - 1 7 原 文 作 者 ： S o r o u s h   D a l i l i 原 文 链 接 ： h t t p s : / / w w w . m d s e c . c o . u k / 2 0 2 0 / 1 0 / c o v e r t - w e b - s h e l l s - i n - n e t - w i t h - r e a d - o n l y - w e b - p a t h s / 译 者 ： Y 4 e r   水 平 有 限 ， 如 有 错 误 请 及 时 反 馈 先 上 视 频 在 最 近 的 一 次 红 队 行 动 中 ， 我 们 发 现 了 一 个 S h a r e P o i n t 实 例 ， 该 实 例 容 易 受 到 C V E - 2 0 2 0 - 1 1 4 7 的 攻 击 。 而 为 了 避 免 可 能 在 主 机 上 的 E D R 杀 软 ， 我 想 在 不 运 行 任 何 命 令 的 情 况 下 创 建 W e b   S h e l l 。 由 于 目 标 S h a r e P o i n t 服 务 器 以 最 小 的 权 限 在 I U S R 用 户 下 运 行 ， 因 此 我 们 不 能 简 单 地 利 用 反 序 列 化 问 题 （ C V E - 2 0 2 0 - 1 1 4 7 ） 在 W e b 目 录 中 生 成 W e b   S h e l l 。 我 记 得 运 行 p o w e r s h e l l 很 容 易 触 发 报 警 ， 所 以 需 要 一 种 隐 蔽 的 方 法 ！ 这 篇 文 章 讲 述 了 在 . n e t 环 境 中 ， 当 我 们 存 在 代 码 执 行 漏 洞 但 W e b 目 录 不 可 写 时 如 何 创 建 W e b   S h e l l 。 从 理 论 上 讲 ， 我 们 应 该 能 够 执 行 此 操 作 ， 因 为 我 们 的 代 码 正 在 W e b 应 用 程 序 中 执 行 ， 因 此 我 想 出 了 以 下 两 种 解 决 方 案 ： 1 . 使 用 使 用 C ＃ 创 建 功 能 全 面 的 ＃ 创 建 功 能 全 面 的 W e b   S h e l l 尽 管 我 很 喜 欢 使 用 W e b   S h e l l ， 但 是 大 多 数 功 能 强 大 的 . N E T 都 是 H T M L 和 C ＃ 代 码 的 混 合 体 ， 就 像 意 大 利 面 条 一 样 。 因 此 ， 清 理 它 们 以 将 其 作 为 纯 C ＃ 代 码 运 行 非 常 困 难 且 耗 时 。 我 对 此 的 解 决 方 案 是 使 用 命 令 以 便 从 其 临 时 编 译 文 件 中 获 取 A S P X   W e b   S h e l l 的 纯 C ＃ 代 码 。 另 一 个 问 题 是 ， 当 我 们 想 与 嵌 入 式 W e b   S h e l l 进 行 交 互 时 ， 当 易 受 攻 击 的 页 面 和 W e b   S h e l l 期 望 完 全 不 同 的 H T T P 请 求 时 ， 这 可 能 会 导 致 冲 突 或 根 本 不 适 用 。 因 此 ， U R L 和 正 文 中 所 有 与 W e b   S h e l l 相 关 的 参 数 以 及 H T T P 动 词 ， 内 容 类 型 ， C o o k i e 和 其 他 自 a s p n e t _ c o m p i l e r
定 义 标 头 都 应 以 某 种 方 式 封 装 ， 以 便 在 利 用 代 码 执 行 之 后 在 服 务 器 端 重 新 创 建 。 尽 管 自 定 义 J a v a S c r i p t 代 码 可 能 能 够 处 理 某 些 封 装 任 务 ， 但 是 捕 获 H T T P 请 求 的 所 有 必 需 方 面 可 能 并 不 容 易 。 因 此 ， 使 用 代 理 处 理 请 求 似 乎 是 一 种 更 好 ， 更 轻 松 的 方 法 。 例 如 ， 可 以 通 过 为 B u r p   S u i t e 编 写 扩 展 来 实 现 ， 该 扩 展 可 以 捕 获 对 W e b   S h e l l 的 所 有 请 求 ， 这 些 请 求 最 初 是 通 过 利 用 代 码 执 行 来 加 载 的 。 此 扩 展 可 以 将 W e b   S h e l l 参 数 封 装 在 H T T P 请 求 的 标 头 中 ， 发 送 该 H T T P 请 求 以 利 用 代 码 执 行 问 题 。 使 用 标 头 可 能 会 受 到 限 制 ， 尤 其 是 当 W e b   S h e l l 请 求 包 含 较 大 的 参 数 （ 例 如 正 在 上 传 文 件 时 ） 时 。 但 是 ， 使 用 代 理 替 换 字 符 串 可 以 保 证 可 以 在 服 务 器 端 重 新 创 建 带 有 适 当 参 数 （ 例 如 H T T P 正 文 ， 内 容 类 型 ， H T T P 动 词 和 U R L 参 数 ） 的 预 期 H T T P 请 求 ， 以 使 W e b   S h e l l 正 常 工 作 。 应 该 注 意 的 是 ， 使 H T T P 请 求 中 的 只 读 参 数 （ 例 如 表 单 参 数 ） 可 使 用 反 射 写 入 是 相 当 容 易 的 。 注 意 的 另 一 件 事 是 清 除 运 行 W e b   S h e l l 代 码 之 前 可 能 已 创 建 的 所 有 H T T P 响 应 。 在 执 行 W e b   S h e l l 之 后 ， 还 需 要 结 束 响 应 ， 以 防 止 任 何 意 外 数 据 污 染 W e b   S h e l l 的 预 期 响 应 。 尽 管 此 技 术 看 起 来 可 行 ， 但 由 于 它 的 复 杂 性 以 及 每 次 操 作 需 要 发 送 到 服 务 器 的 W e b 请 求 的 大 小 以 减 少 潜 在 检 测 的 风 险 ， 我 还 是 放 弃 了 了 这 种 方 案 。 2 ： 通 过 滥 用 ： 通 过 滥 用 . N E T 中 的 虚 拟 路 径 提 供 程 序 来 创 建 虚 拟 文 件 。 中 的 虚 拟 路 径 提 供 程 序 来 创 建 虚 拟 文 件 。 使 用 . N E T 可 以 定 义 虚 拟 路 径 ， 以 便 为 文 件 系 统 以 外 的 其 他 存 储 源 提 供 虚 拟 文 件 。 此 功 能 非 常 强 大 ， 因 为 它 甚 至 可 以 用 于 替 换 尚 未 缓 存 或 编 译 的 现 有 文 件 。 这 意 味 着 可 以 通 过 替 换 现 有 的 . N E T 文 件 （ 例 如 . a s p x ， . s v c ， . a s h x ， . a s m x 等 ） 来 显 示 攻 击 者 的 预 期 内 容 ， 即 使 对 于 网 络 钓 鱼 或 其 他 系 统 攻 击 也 可 以 派 上 用 场 。 S h a r e P o i n t 本 身 使 用 类 似 的 方 法   h t t p s : / / w w w . m d s e c . c o . u k / 2 0 2 0 / 0 3 / a - s e c u r i t y - r e v i e w - o f - s h a r e p o i n t - s i t e - p a g e s /   来 创 建 重 影 和 未 托 管 的 页 面 ！ 该 解 决 方 案 对 测 试 人 员 而 言 具 有 最 小 的 复 杂 性 ， 因 为 可 以 将 W e b   S h e l l 直 接 嵌 入 初 始 漏 洞 利 用 代 码 中 。 在 Y S o S e r i a l . N e t 项 目 的 G h o s t W e b S h e l l . c s   文 件 已 经 创 建 W e b   s h e l l 中 的 代 码 。 为 了 使 用 此 代 码 ， 可 以 对 W e b   S h e l l 文 件 的 内 容 进 行 b a s e - 6 4 编 码 并 将 其 存 储 在 参 数 中 。 该 参 数 包 含 W e b   S h e l l 扩 展 ， 该 参 数 包 含 将 在 服 务 器 上 创 建 的 虚 拟 路 径 。 除 了 这 些 参 数 外 ， 其 他 参 数 可 以 保 留 不 变 ， 如 果 需 要 更 多 的 自 定 义 ， 希 望 代 码 中 的 注 释 足 够 。 以 下 命 令 显 示 了 如 何 使 用 它 来 使 用 Y S o S e r i a l . N e t 生 成 有 效 负 载 的 示 例 ： . y s o s e r i a l . e x e   - g   A c t i v i t y S u r r o g a t e S e l e c t o r F r o m F i l e   - f   L o s F o r m a t t e r   - c   " C : C o o l T o o l s y s o s e r i a l . n e t E x p l o i t C l a s s G h o s t W e b S h e l l . c s ; S y s t e m . d l l ; S y s t e m . W e b . d l l ; S y s t e m . D a t a . d l l ; S y s t e m . X m l . d l l ; S y s t e m . R u n t i m e . E x t e n s i o n s . d l l " w e b s h e l l C o n t e n t s B a s e 6 4 w e b s h e l l T y p e t a r g e t V i r t u a l P a t h L o s F o r m a t t e r
应 该 注 意 的 是 ， 链 应 该 在 之 前 使 用 ， 以 便 适 用 于 新 版 本 的 . N E T   F r a m e w o r k 。 以 下 步 骤 显 示 如 何 使 用 此 技 术 在 易 受 C V E - 2 0 2 0 - 1 1 4 7 侵 害 的 S h a r e P o i n t 服 务 器 上 创 建 虚 拟 W e b   S h e l l ： 步 骤 1 ） 准 备 基 本 有 效 负 载 ， 其 中 包 含 利 用 远 程 代 码 执 行 漏 洞 所 需 的 有 效 负 载 ： P O S T   / _ l a y o u t s / 1 5 / q u i c k l i n k s . a s p x ? M o d e = S u g g e s t i o n   H T T P / 1 . 1 u t h o r i z a t i o n :   [ n t l m   a u t h   h e a d e r ] C o n t e n t - T y p e :   a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d H o s t :   [ t a r g e t ] C o n t e n t - L e n g t h :   [ l e n g t h   o f   b o d y ] _ _ V I E W S T A T E = & _ _ S U G G E S T I O N S C A C H E _ _ = [ D a t a S e t   p a y l o a d   f r o m   Y S o S e r i a l . N e t ] 步 骤 2 ） 生 成 并 发 送 有 效 负 载 以 禁 用 以 下 功 能 的 . N E T   F r a m e w o r k   v 4 . 8   + 类 型 保 护 ： . y s o s e r i a l . e x e   - p   S h a r e P o i n t   - - c v e   C V E - 2 0 2 0 - 1 1 4 7   - g   A c t i v i t y S u r r o g a t e D i s a b l e T y p e C h e c k   - c   " i g n o r e d " 步 骤 3 ） 生 成 并 发 送 有 效 负 载 以 运 行 W e b   S h e l l ： . y s o s e r i a l . e x e   - p   S h a r e P o i n t   - - c v e   C V E - 2 0 2 0 - 1 1 4 7   - g   A c t i v i t y S u r r o g a t e S e l e c t o r F r o m F i l e   - c   " C : G i t H u b R e p o s m y y s o s e r i a l . n e t E x p l o i t C l a s s G h o s t W e b S h e l l . c s ; S y s t e m . d l l ; S y s t e m . W e b . d l l ; S y s t e m . D a t a . d l l ; S y s t e m . X m l . d l l ; S y s t e m . R u n t i m e . E x t e n s i o n s . d l l " A c t i v i t y S u r r o g a t e D i s a b l e T y p e C h e c k A c t i v i t y S u r r o g a t e S e l e c t o r F r o m F i l e D a t a S e t D a t a S e t A c t i v i t y S u r r o g a t e S e l e c t o r
G h o s t W e b S h e l l . c s 文 件 可 以 更 改 为 更 加 个 性 化 服 务 多 个 文 件 以 及 隐 藏 自 身 ， 直 到 它 看 到 一 个 特 殊 的 头 或 文 件 名 。 当 尚 未 编 译 时 ， 更 改 功 能 也 可 以 方 便 地 替 换 现 有 目 录 中 的 特 定 文 件 。 目 前 ， 它 会 响 应 所 有 传 入 的 请 求 ， 但 是 您 可 能 希 望 将 其 限 制 为 某 些 名 称 ， 或 者 检 查 文 件 扩 展 名 以 提 供 不 同 的 内 容 。   绕 过 绕 过 M i c r o s o f t . A s p N e t . F r i e n d l y U r l s 从 . N E T   4 . 5 开 始 ， W e b 应 用 程 序 可 以 使 用 F r i e n d l y U r l s 在 指 向 A S P X 页 面 时 不 使 用 U R L 中 的 “   . a s p x ” 。 这 可 以 停 止 我 们 创 建 内 存 s h e l l 的 方 法 。 发 现 以 下 解 决 方 案 可 以 覆 盖 使 用 此 功 能 的 W e b 应 用 程 序 的 此 设 置 。 f o r e a c h ( v a r   r o u t e   i n   S y s t e m . W e b . R o u t i n g . R o u t e T a b l e . R o u t e s ) {         i f   ( r o u t e . G e t T y p e ( ) . F u l l N a m e   = =   " M i c r o s o f t . A s p N e t . F r i e n d l y U r l s . F r i e n d l y U r l R o u t e " )   {                 v a r   F r i e n d l y S e t t i n g   =   r o u t e . G e t T y p e ( ) . G e t P r o p e r t y ( " S e t t i n g s " ,   S y s t e m . R e f l e c t i o n . B i n d i n g F l a g s . I n s t a n c e   |   S y s t e m . R e f l e c t i o n . B i n d i n g F l a g s . P u b l i c ) ;                 v a r   s e t t i n g s   =   n e w   M i c r o s o f t . A s p N e t . F r i e n d l y U r l s . F r i e n d l y U r l S e t t i n g s ( ) ;                 s e t t i n g s . A u t o R e d i r e c t M o d e   =   M i c r o s o f t . A s p N e t . F r i e n d l y U r l s . R e d i r e c t M o d e . O f f ;                 F r i e n d l y S e t t i n g . S e t V a l u e ( r o u t e ,   s e t t i n g s ) ;                 } } 该 代 码 已 包 含 在 G h o s t W e b S h e l l . c s 文 件 中 ， 需 要 时 ， 该 注 释 无 需 取 消 注 释 （ I s P a t h V i r t u a l M i c r o s o f t . A s p N e t . F r i e n d l y U r l s . d l l
创 建 有 效 负 载 也 需 要 该 文 件 ） 。 绕 过 预 编 译 的 限 制 绕 过 预 编 译 的 限 制 当 应 用 程 序 处 于 预 编 译 模 式 时 ， . N E T 中 的 虚 拟 路 径 提 供 程 序 无 法 注 册 。 但 是 ， 由 于 我 们 已 经 可 以 在 应 用 程 序 上 执 行 代 码 ， 因 此 可 以 使 用 反 射 来 更 改 属 性 。 该 代 码 已 包 含 在 Y S o S e r i a l . N e t 项 目 的 G h o s t W e b S h e l l . c s 文 件 中 。 结 果 ， 即 使 应 用 程 序 处 于 预 编 译 模 式 ， 也 可 以 创 建 虚 拟 W e b   S h e l l 。 利 用 其 他 利 用 其 他 W e b 处 理 程 序 处 理 程 序 当 利 用 代 码 执 行 问 题 时 ， 虚 拟 文 件 方 法 将 起 作 用 ， 该 代 码 执 行 问 题 使 用 另 一 个 W e b 处 理 程 序 ， 例 如 用 于 W e b 服 务 的 处 理 程 序 。 尽 管 他 们 的 响 应 可 能 不 会 显 示 虚 拟 W e b   S h e l l 的 执 行 ， 但 是 仍 然 可 以 通 过 直 接 在 浏 览 器 中 浏 览 到 虚 拟 W e b   S h e l l 来 访 问 它 。 虚 拟 文 件 防 御 检 测 机 制 虚 拟 文 件 防 御 检 测 机 制 尽 管 虚 拟 文 件 仅 存 在 于 内 存 中 ， 但 是 它 们 的 编 译 版 本 保 存 在 临 时 位 置 中 ， 该 临 时 位 置 用 于 . N E T 页 的 编 译 。 默 认 目 录 通 常 采 用 以 下 格 式 ： C : W i n d o w s M i c r o s o f t . N E T F r a m e w o r k 6 4 | F r a m e w o r k v [ v e r s i o n ] T e m p o r a r y   A S P . N E T   F i l e s [ a p p n a m e ] [ h a s h ] [ h a s h ] 因 此 ， 有 可 能 通 过 监 视 新 创 建 的 临 时 文 件 来 检 测 恶 意 编 译 文 件 。 应 该 注 意 的 是 ， 有 可 能 接 管 应 用 程 序 默 认 目 录 中 未 编 译 的 . N E T 文 件 。 因 此 ， 除 非 应 用 程 序 处 于 预 编 译 模 式 ， 否 则 监 视 新 创 建 的 文 件 名 不 能 用 作 防 弹 检 测 机 制 （ 因 此 ， 不 应 创 建 新 的 已 编 译 文 件 ） 。 如 果 绝 对 不 要 在 文 件 系 统 上 创 建 任 何 文 件 至 关 重 要 ， 则 可 以 考 虑 将 本 文 中 讨 论 的 第 一 个 解 决 方 案 （ 在 C ＃ 中 创 建 可 正 常 运 行 的 W e b   S h e l l ） 作 为 替 代 方 案 。 但 是 ， 此 解 决 方 案 具 有 通 过 监 视 未 加 密 的 流 量 以 获 取 特 定 签 名 或 检 测 到 从 特 定 来 源 向 特 定 目 标 发 出 的 异 常 大 的 W e b 请 求 的 检 测 风 险 。   分 享 、 点 赞 、 在 看 就 是 对 我 们 的 一 种 支 持 ！ S y s t e m . W e b . C o m p i l a t i o n . B u i l d M a n a g e r . I s P r e c o m p i l e d A p p
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理