搜索

[946] 2019-11-11_Window权限维持（三）：新服务

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-16
2019-11-11_Window权限维持（三）：新服务 W i n d o w 权 限 维 持 （ 三 ） ： 新 服 务 原 创   B y p a s s   B y p a s s   2 0 1 9 - 1 1 - 1 1 如 果 未 正 确 配 置 W i n d o w s 环 境 中 的 服 务 或 这 些 服 务 可 以 用 作 持 久 性 方 法 ， 则 这 些 服 务 可 能 导 致 权 限 提 升 。 创 建 一 个 新 的 服 务 需 要 管 理 员 级 别 的 特 权 ， 它 已 经 不 是 隐 蔽 的 持 久 性 技 术 。 然 而 ， 在 红 队 的 行 动 中 ， 针 对 那 些 在 威 胁 检 测 方 面 还 不 成 熟 的 公 司 ， 可 以 用 来 制 造 进 一 步 的 干 扰 ， 企 业 应 建 立 S O C 能 力 ， 以 识 别 在 其 恶 意 软 件 中 使 用 基 本 技 术 的 威 胁 。 命 令 行 实 现 如 果 帐 户 具 有 本 地 管 理 员 特 权 ， 则 可 以 从 命 令 提 示 符 创 建 服 务 。 参 数 “   b i n p a t h   ” 用 于 执 行 任 意 有 效 负 载 ， 而 参 数 “   a u t o   ” 用 于 确 保 恶 意 服 务 将 自 动 启 动 。 C M D   – 新 服 务 或 者 ， 可 以 直 接 从 P o w e r S h e l l 创 建 新 服 务 。 P o w e r S h e l l 持 久 性 – 新 服 务 在 两 种 情 况 下 ， 启 动 服 务 时 都 会 打 开 M e t e r p r e t e r 会 话 。 s c   c r e a t e   p e n t e s t l a b   b i n p a t h =   " c m d . e x e   / k   C : t e m p p e n t e s t l a b . e x e "   s t a r t = " a u t o "   o b j = " L o c a l S y s t e m " s c   s t a r t   p e n t e s t l a b N e w - S e r v i c e   - N a m e   " p e n t e s t l a b "   - B i n a r y P a t h N a m e   " C : t e m p p e n t e s t l a b . e x e "   - D e s c r i p t i o n   " P e n t e s t L a b o r a t o r i e s " s c   s t a r t   p e n t e s t l a b
M e t e r p r e t e r   – 新 服 务 S h a r P e r s i s t S h a r P e r s i s t 支 持 在 受 感 染 系 统 中 创 建 新 服 务 的 持 久 性 技 术 。 在 系 统 上 安 装 新 服 务 需 要 提 升 的 访 问 权 限 （ 本 地 管 理 员 ） 。 以 下 命 令 可 用 于 添 加 新 服 务 ， 该 服 务 将 在 W i n d o w s 启 动 期 间 作 为 本 地 系 统 执 行 任 意 有 效 负 载 。 S h a r P e r s i s t – 添 加 服 务 M e t e r p r e t e r 会 话 将 再 次 建 立 ， 或 者 与 任 何 其 他 能 够 与 有 效 负 载 进 行 通 信 的 命 令 和 控 制 框 架 建 立 连 接 。 S h a r P e r s i s t – 通 过 服 务 的 计 划 任 务 P o w e r S p l o i t P o w e r S p l o i t 可 用 于 对 合 法 服 务 进 行 后 门 程 序 以 实 现 持 久 性 。 可 以 利 用 两 个 P o w e r S h e l l 函 数 来 修 改 现 有 服 务 的 二 进 制 路 径 ， 或 者 从 先 前 手 动 创 建 的 自 定 义 服 务 中 修 改 二 进 制 路 径 ， 以 执 行 任 意 有 效 负 载 。 S h a r P e r s i s t   - t   s e r v i c e   - c   " C : W i n d o w s S y s t e m 3 2 c m d . e x e "   - a   " / c   p e n t e s t l a b . e x e "   - n   " p e n t e s t l a b "   - m   a d d S e t - S e r v i c e B i n P a t h   - N a m e   p e n t e s t l a b   - b i n P a t h   " c m d . e x e   / k   C : t e m p p e n t e s t l a b . e x e " W r i t e - S e r v i c e B i n a r y   - N a m e   p e n t e s t l a b   - C o m m a n d  
P o w e r S p l o i t   – 持 久 性 P o s h C 2 P o s h C 2 还 具 有 创 建 新 服 务 作 为 持 久 性 技 术 的 能 力 。 但 是 ， 将 执 行 b a s e - 6 4   P o w e r S h e l l 负 载 ， 而 不 是 任 意 可 执 行 文 件 。 从 植 入 物 处 理 机 ， 以 下 模 块 将 自 动 执 行 该 技 术 。 P o s h C 2 持 久 性 – 安 装 新 服 务 P o s h C 2 将 自 动 生 成 有 效 负 载 ， 并 且 该 命 令 将 在 目 标 系 统 上 执 行 以 创 建 新 服 务 。 i n s t a l l - s e r v i c e l e v e l - p e r s i s t e n c e
P o s h C 2 持 久 性 – 新 服 务 该 服 务 将 自 动 启 动 ， 并 具 有 名 称 “   C h e c k p o i n t S e r v i c e U p d a t e r   ” ， 以 使 其 看 起 来 合 法 。 P o s h C 2 持 久 性 – 创 建 新 服 务 M e t a s p l o i t M e t a s p l o i t 框 架 具 有 一 个 后 开 发 模 块 ， 该 模 块 支 持 两 种 持 久 性 技 术 。 1 .   注 册 表 运 行 键 2 .   新 服 务 需 要 将 启 动 变 量 修 改 为 S E R V I C E ， 以 便 在 系 统 上 安 装 新 服 务 。 M e t a s p l o i t 持 久 性 模 块 – 服 务 u s e   p o s t / w i n d o w s / m a n a g e / p e r s i s t e n c e _ e x e s e t   R E X E P A T H   / t m p / p e n t e s t l a b . e x e s e t   S E S S I O N   1 s e t   S T A R T U P   S E R V I C E s e t   L O C A L E X E P A T H   C : t m p r u n
需 要 M e t a s p l o i t 多 重 / 处 理 程 序 模 块 来 捕 获 有 效 负 载 并 与 受 感 染 的 主 机 建 立 M e t e r p r e t e r 会 话 。 M e t a s p l o i t   M e t e r p r e t e r   – 通 过 新 服 务 的 持 久 性 译 文 声 明 ： 本 文 由 B y p a s s 整 理 并 翻 译 ， 仅 用 于 安 全 研 究 和 学 习 之 用 。 原 文 地 址 ： h t t p s : / / p e n t e s t l a b . b l o g / 2 0 1 9 / 1 0 / 0 7 / p e r s i s t e n c e - n e w - s e r v i c e /
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理