搜索

[10547] 2016-09-27_打开文件夹就运行？COM劫持利用新姿势

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2016-09-27_打开文件夹就运行？COM劫持利用新姿势 打 开 文 件 夹 就 运 行 ？ C O M 劫 持 利 用 新 姿 势 菠 菜   F r e e B u f   2 0 1 6 - 0 9 - 2 7 * 本 文 原 创 作 者 ： 菠 菜 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 打 开 文 件 夹 就 能 运 行 指 定 的 程 序 ？ 这 不 是 天 方 夜 谭 ， 而 是 在 现 实 世 界 中 确 实 存 在 的 。 利 用 本 文 探 讨 的 打 开 文 件 夹 就 能 运 行 指 定 的 程 序 ？ 这 不 是 天 方 夜 谭 ， 而 是 在 现 实 世 界 中 确 实 存 在 的 。 利 用 本 文 探 讨 的 C O M 劫 持 技 术 ， 可 以 劫 持 技 术 ， 可 以 轻 松 实 现 出 打 开 文 件 夹 就 运 行 指 定 代 码 的 功 能 。 轻 松 实 现 出 打 开 文 件 夹 就 运 行 指 定 代 码 的 功 能 。 对 于 对 于 C O M 劫 持 技 术 ， 国 内 很 少 有 资 料 进 行 原 理 阐 述 ， 本 文 结 合 自 身 分 析 经 验 对 劫 持 技 术 ， 国 内 很 少 有 资 料 进 行 原 理 阐 述 ， 本 文 结 合 自 身 分 析 经 验 对 C O M 劫 持 技 术 进 行 归 纳 总 结 。 同 时 ， 希 望 劫 持 技 术 进 行 归 纳 总 结 。 同 时 ， 希 望 各 大 安 全 厂 商 针 对 此 类 利 用 做 好 防 护 ， 保 护 用 户 信 息 安 全 。 各 大 安 全 厂 商 针 对 此 类 利 用 做 好 防 护 ， 保 护 用 户 信 息 安 全 。 前 言 前 言 所 谓 “ 骂 人 先 骂 娘 ， 擒 贼 先 擒 王 ” ， 首 先 给 出 读 者 最 最 关 心 的 劫 持 文 件 夹 的 利 用 方 法 的 效 果 展 示 ： 为 了 理 解 本 文 内 容 ， 我 们 首 先 要 了 解 C O M 的 一 些 基 本 的 概 念 的 一 些 基 本 的 概 念 ： 接 口 ： 一 组 函 数 的 总 称 ， 这 些 函 数 也 被 称 为 ” 方 法 ” ， 通 常 情 况 下 ， 接 口 的 名 称 都 是 以 “ I ” 开 关 ， 例 如 ： ” I S h e l l F o l d e r ” . 接 口 可 以 继 承 。 C o m p o n e n t   o b j e c t   c l a s s ( c o c l a s s ) ： 也 就 是 组 件 ， 组 件 包 含 在 一 个 D L L 或 者 e x e 文 件 中 ， 它 包 含 了 一 个 或 多 个 接 口 的 实 现 代 码 。 组 件 实 现 了 它 包 含 的 所 有 接 口 。 C O M   o b j e c t ： 是 组 件 的 一 个 实 例 。 C O M   s e r v e r ： 一 个 d l l 或 者 e x e 文 件 ， 包 含 了 一 个 或 者 多 个 组 件 。 C O M   l i b r a r y ： 是 操 作 系 统 的 一 部 分 ， 负 责 响 应 用 户 程 序 。 G U I D ： 唯 一 的 、 1 2 8 位 的 标 识 对 象 的 标 识 .   全 局 唯 一 标 识 符 ， 是 唯 一 的 一 个 I D ， 类 似 于 物 理 网 址 那 样 。 C L S I D ： c l a s s   i d ， 唯 一 的 标 识 组 件 。 I I D ： i n t e r f a c e   i d ， 用 来 标 识 接 口 。 此 外 ， 对 于 w i n d o w s 操 作 系 统 ， 存 在 着 虚 拟 文 件 夹 ， 控 制 面 板 ， 我 的 电 脑 等 都 是 系 统 中 的 虚 拟 文 件 夹 。 这 种 虚 拟 文 件 夹 在 注 册 表 中 都 会 有 一 个 C L S I D 与 之 对 应 ， 例 如 ， 我 的 电 脑 对 应 的 C L S I D 是 { 2 0 D 0 4 F E 0 - 3 A E A - 1 0 6 9 - A 2 D 8 - 0 8 0 0 2 B 3 0 3 0 9 D } ， 控 制 面 板 的 C L S I D 是 { 2 1 E C 2 0 2 0 - 3 A E A - 1 0 6 9 - A 2 D D - 0 8 0 0 2 B 3 0 3 0 9 D } 。 那 么 怎 样 可 以 看 到 这 些 虚 拟 文 件 夹 呢 ？ 以 “ 我 的 电 脑 ” 虚 拟 文 件 夹 为 例 ， 在 开 始 – 运 行 中 输 入 ” : :   { 2 0 D 0 4 F E 0 - 3 A E A - 1 0 6 9 - A 2 D 8 - 0 8 0 0 2 B 3 0 3 0 9 D ” 就 可 以 打 开 我 的 电 脑 。 但 需 要 注 意 的 是 ， 在 W I N 7 下 ， 输 入 : : { 2 1 E C 2 0 2 0 - 3 A E A - 1 0 6 9 - A 2 D D - 0 8 0 0 2 B 3 0 3 0 9 D } 可 以 打 开 控 制 面 板 ， 但 在 x p 系 统 下 ， 打 开 控 制 面 板 需 要 输 入 的 命 令 为 ： ” : : { 2 0 D 0 4 F E 0 - 3 A E A - 1 0 6 9 - A 2 D 8 - 0 8 0 0 2 B 3 0 3 0 9 D } : : { 2 1 E C 2 0 2 0 - 3 A E A - 1 0 6 9 - A 2 D D - 0 8 0 0 2 B 3 0 3 0 9 D } ” 。
利 用 方 法 利 用 方 法 作 为 演 示 ， 我 们 执 行 代 码 的 功 能 为 ， 弹 出 一 个 类 似 与 下 图 的 对 话 框 ， 其 中 显 示 出 了 调 用 这 个 D L L 的 进 程 路 径 及 P I D 信 息 。 把 大 象 装 进 冰 箱 里 需 要 三 步 ， 我 们 的 利 用 也 分 为 三 步 ： 把 大 象 装 进 冰 箱 里 需 要 三 步 ， 我 们 的 利 用 也 分 为 三 步 ： 1 . 精 选 精 选 C L S I D ， 尽 量 选 择 系 统 应 用 范 围 广 的 ， 尽 量 选 择 系 统 应 用 范 围 广 的 C L S I D ， 这 样 的 模 块 可 以 保 证 系 统 在 进 行 很 多 功 能 时 都 会 加 载 ， 这 样 的 模 块 可 以 保 证 系 统 在 进 行 很 多 功 能 时 都 会 加 载 d l l 。 。 我 们 选 择 的 C L S I D 为 ： { b 5 f 8 3 5 0 b - 0 5 4 8 - 4 8 b 1 - a 6 e e - 8 8 b d 0 0 b 4 a 5 e 7 } ， 其 对 应 着 C A c c P r o p S e r v i c e s C l a s s 类 。 修 改 注 册 表 ， 将 C L S I D 对 应 的 D L L 文 件 修 改 成 实 现 了 某 些 待 定 功 能 的 文 件 （ 这 个 文 件 是 由 我 们 精 心 构 造 的 ， 不 然 无 法 利 用 成 功 ） 。 可 通 过 将 下 列 数 据 导 入 到 注 册 表 实 现 2 .   新 建 文 件 夹 ， 以 新 建 文 件 夹 ， 以 C L S I D 做 为 后 缀 名 ， 同 时 将 我 们 的 利 用 做 为 后 缀 名 ， 同 时 将 我 们 的 利 用 d l l 拷 贝 到 系 统 目 录 下 拷 贝 到 系 统 目 录 下 : 这 里 的 文 件 名 可 以 充 分 发 挥 想 象 力 ( 骗 术 ) ， 利 用 社 会 工 程 学 ， 起 个 诱 惑 的 文 件 夹 名 ， 比 如 ， 目 标 喜 欢 日 本 姑 娘 ， 文 件 夹 就 叫 做 ”   小 泽 に ほ ん ご か な ニ ホ ン ゴ ( カ ナ ) . { b 5 f 8 3 5 0 b - 0 5 4 8 - 4 8 b 1 - a 6 e e - 8 8 b d 0 0 b 4 a 5 e 7 } ” 3 .   打 开 文 件 夹 ， 成 功 利 用 打 开 文 件 夹 ， 成 功 利 用 利 用 的 步 骤 很 简 单 ， 其 中 最 为 关 键 是 我 们 实 现 代 码 的 d l l 以 及 C L S I D 的 选 择 ， 这 不 是 一 个 普 通 的 d l l ， 而 是 d l l 中 的 ” 战 斗 d l l ” ， 这 是 一 个 实 现 了 C O M 接 口 的 d l l , 并 且 在 d l l 的 导 出 函 数 的 返 回 值 有 特 殊 要 求 。 具 体 可 以 参 见 文 末 附 件 中 的 代 码 。 背 后 的 故 事 背 后 的 故 事 通 过 上 面 的 图 ， 可 以 看 出 ， 我 们 的 D L L 实 际 上 是 由 v e r c l s i d . e x e 加 载 的 。 而 v e r c l s i d . e x e 是 通 过 s h e l l 3 2 . d l l 中 的 函 数 调 用 起 来 的 。 在 s h e l l 3 2 . d l l 中 S H E x t C o C r e a t e I n s t a n c e 函 数 成 功 调 用 后 ， v e r c l s i d . e x e 才 会 被 加 载 。 而 S H E x t C o C r e a t e I n s t a n c e 只 是 对 _ S H E x t C o C r e a t e I n s t a n c e 2 的 封 装 W i n d o w s   R e g i s t r y E d i t o r   V e r s i o n   5 . 0 0 [ H K E Y _ C L A S S E S _ R O O T C L S I D { b 5 f 8 3 5 0 b - 0 5 4 8 - 4 8 b 1 - a 6 e e - 8 8 b d 0 0 b 4 a 5 e 7 } ] [ H K E Y _ C L A S S E S _ R O O T C L S I D { b 5 f 8 3 5 0 b - 0 5 4 8 - 4 8 b 1 - a 6 e e - 8 8 b d 0 0 b 4 a 5 e 7 } I n P r o c S e r v e r 3 2 ] @ = " f r e e b u f . d l l " " T h r e a d i n g M o d e l " = " A p a r t m e n t "
而 通 过 i d a 看 到 _ S H E x t C o C r e a t e I n s t a n c e 2 调 用 了 _ S h o u l d L o a d S h e l l E x t ， 所 有 _ S h o u l d L o a d S h e l l E x t 成 功 返 回 ( 返 回 非 0 值 ) ， 才 能 加 载 v e r c l s i d . e x e . _ S h o u l d L o a d S h e l l E x t 在 对 注 册 表 S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n S h e l l   E x t e n s i o n s B l o c k e d 和 S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n S h e l l   E x t e n s i o n s A p p r o v e d 进 行 判 断 后 ， 调 用 了 _ Q u e r y C l a s s I n t e r f a c e 。 而 要 求 _ Q u e r y C l a s s I n t e r f a c e 返 回 一 个 非 0 值 ， 就 只 能 是 下 图 中 的   v 1 7 = E x i t C o d e = = 0 代 码 的 地 方 。 综 全 上 面 的 过 程 ， 要 想 成 功 利 用 ， 只 要 使 C r e a t e P r o c e s s W 函 数 调 用 v e r c l s i d . e x e 结 束 时 的 e x i t c o d e 等 于 0 。 对 对 v e r c l s i d . e x e 分 析 分 析
调 用 v e r c l s i d . e x e 传 递 的 参 数 有 ： / S ： 随 后 调 用 O L E 3 2 ! C o I n i t i a l i z e E x 函 数 时 的 参 数 ; / C   ：   C L S I D ; / I   ： I n t e r f a c e   i d ; / X ： 调 用 O L E 3 2 ! C o C r e a t e I n s t a n c e 函 数 时 所 需 要 的 参 数 值 ; 随 后 ， 通 过 下 面 的 函 数 调 用 c o m 组 件 调 用 O L E 3 2 ! C o C r e a t e I n s t a n c e 调 用 p p v - > Q u e r y I n t e r f a c e 随 后 会 调 用 p p v - > R e l e a s e ( ) C o U n i n i t i a l i z e ( ) 然 后 ， 函 数 就 正 常 返 回 ， 当 函 数 正 常 返 回 时 ， v e r c l s i d . e x e 的 e x i t c o d e 等 于 0 。 这 就 保 证 了 我 们 的 d l l 能 够 被 加 载 成 功 。 所 以 ， 我 们 只 需 要 写 一 个 C O M 服 务 d l l ， 使 v e r c l s i d . e x e 调 用 这 个 服 务 d l l 的 接 口 时 ， 返 回 S _ O K 就 O K 了 。 具 体 关 于 C O M 服 务 d l l 的 编 写 ， 请 参 考 附 件 链 接 。 附 件 下 载 ： 链 接 ： h t t p : / / p a n . b a i d u . c o m / s / 1 c k P W D o   密 码 ： p n i u 总 结 总 结 这 种 C O M 劫 持 技 术 最 大 的 优 点 在 于 ， 不 需 要 进 行 动 态 的 d l l 注 入 等 操 作 ， 可 以 绕 开 主 动 防 御 ， 此 外 ， 这 种 利 用 的 加 载 进 行 为 操 作 系 统 的 v e r c l s i d . e x e ， 宿 主 进 程 是 天 生 的 白 进 程 ， 也 可 以 绕 开 白 名 单 机 制 。 而 且 劫 持 d l l 的 加 载 是 由 系 统 底 层 机 制 决 定 的 。 另 外 ， 这 种 技 术 很 可 能 被 用 于 网 络 黑 产 ， 这 也 要 求 安 全 厂 商 提 高 对 这 种 劫 持 行 为 的 识 别 与 检 测 。 * 本 文 原 创 作 者 ： 菠 菜 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理