搜索

[13270] 2018-10-06_利用微软Workflow.Comiler.exe执行未签名的任意代码

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2018-10-06_利用微软Workflow.Comiler.exe执行未签名的任意代码 利 用 微 软 W o r k f l o w . C o m i l e r . e x e 执 行 未 签 名 的 任 意 代 码 A l p h a _ h 4 c k   F r e e B u f   2 0 1 8 - 1 0 - 0 6 绕 过 技 术 简 介 绕 过 技 术 简 介 M i c r o s o f t . W o r k f l o w . C o m i l e r . e x e 是 是 . N E T   F r a m e w o r k 默 认 自 带 的 一 个 实 用 工 具 ， 用 户 能 够 以 默 认 自 带 的 一 个 实 用 工 具 ， 用 户 能 够 以 X O M L 工 作 流 文 件 工 作 流 文 件 的 形 式 提 供 一 个 序 列 化 工 作 流 来 执 行 任 意 未 签 名 的 代 码 。 这 种 绕 过 技 术 跟 的 形 式 提 供 一 个 序 列 化 工 作 流 来 执 行 任 意 未 签 名 的 代 码 。 这 种 绕 过 技 术 跟 C a s e y S m i t h 的 的 m s b u i l d . e x e 绕 过 技 术 的 绕 过 技 术 的 工 作 机 制 非 常 类 似 。 工 作 机 制 非 常 类 似 。 M i c r o s o f t . W o r k f l o w . C o m i l e r . e x e 需 要 两 个 命 令 行 参 数 ， 第 一 个 参 数 必 须 是 一 个 需 要 两 个 命 令 行 参 数 ， 第 一 个 参 数 必 须 是 一 个 X M L 文 件 文 件 （ 由 一 个 序 列 化 （ 由 一 个 序 列 化 C o m p i l e r I n p u t 对 象 构 成 ） 的 路 径 ， 第 二 个 参 数 则 是 写 入 序 列 化 编 译 结 果 的 文 件 路 径 。 对 象 构 成 ） 的 路 径 ， 第 二 个 参 数 则 是 写 入 序 列 化 编 译 结 果 的 文 件 路 径 。 执 行 向 量 的 根 节 点 是 M i c r o s o f t . W o r k f l o w . C o m i l e r . e x e 调 用 攻 击 者 提 供 的 A s s e m b l y . L o a d ( b y t e [ ] ) 方 法 ， 但 是 仅 仅 加 载 编 译 文 件 并 不 能 实 现 代 码 执 行 ， 当 攻 击 者 以 X O M L 文 件 的 形 式 提 供 C # 或 V B . N e t 代 码 时 ， 系 统 在 汇 编 过 程 中 会 调 用 类 构 造 器 ， 这 里 唯 一 的 限 制 是 类 构 造 器 必 须 派 生 自 S y s t e m . W o r k f l o w . C o m p o n e n t M o d e l . A c t i v i t y 类 。 这 种 技 术 可 以 绕 过 目 前 很 多 安 全 产 品 上 的 代 码 完 整 性 控 制 机 制 ， 例 如 W i n d o w s D e f e n d e r 应 用 程 序 控 制 （ 包 括 W i n d o w s 1 0 S ） 、 A p p L o c k e r 以 及 其 他 基 于 应 用 白 名 单 的 产 品 。 但 是 这 里 我 们 并 不 是 要 担 心 如 何 绕 过 应 用 白 名 单 ， 我 们 需 要 关 注 的 是 如 何 通 过 已 签 名 且 受 信 任 程 度 高 的 内 置 应 用 程 序 来 执 行 任 意 未 签 名 的 代 码 。 下 面 给 大 家 提 供 了 一 个 演 示 视 频 ， 在 这 个 视 频 中 我 们 会 在 最 新 版 本 的 W i n d o w s   1 0 S 系 统 （ 已 安 装 完 所 有 更 新 补 丁 ） 上 实 现 任 意 代 码 执 行 ： 演 示 视 频 演 示 视 频 绕 过 技 术 绕 过 技 术 P o C 攻 击 流 程 如 下 ： 攻 击 流 程 如 下 ： 1 . 将 制 作 的 X O M L 文 件 存 储 到 目 标 磁 盘 中 ， X O M L 文 件 中 应 包 含 攻 击 者 提 供 的 C # 或 V B . N e t 代 码 以 供 编 译 、 加 载 和 调 用 。 攻 击 逻 辑 需 在 类 构 造 函 数 中 实 现 ， 该 类 派 生 自 S y s t e m . W o r k f l o w . C o m p o n e t M o d e l . A c t i v i t y 类 。 2 . 将 包 含 序 列 化 C o m p i l e r I n p u t 对 象 的 X M L 文 件 存 储 到 目 标 磁 盘 中 。
3 . 提 供 X M L 路 径 ， 执 行 M i c r o s o f t . W o r k f l o w . C o m i l e r . e x e 。 下 面 给 出 的 是 M i c r o s o f t . W o r k f l o w . C o m i l e r . e x e 的 调 用 样 例 ： t e s t . x m l 文 件 的 内 容 如 下 ： 文 件 的 内 容 如 下 ：
t e s t . x o m l 文 件 的 内 容 如 下 ： 文 件 的 内 容 如 下 ： 调 用 M i c r o s o f t . W o r k f l o w . C o m p i l e r . e x e 之 后 ， 它 将 会 编 译 其 中 的 C # 代 码 、 加 载 已 编 译 的 D L L 、 并 调 用 “ F o o ” 构 造 器 。 漏 洞 的 发 现 过 程 漏 洞 的 发 现 过 程 我 个 人 比 较 喜 欢 去 研 究 关 于 . N E T   F r a m e w o r k 方 法 的 安 全 问 题 ， 比 如 说 其 中 一 个 不 安 全 的 方 法 就 是 A s s e m b l y . L o a d ( b y t e [ ] ) 。 这 里 我 选 择 使 用 d n S p y 工 具 来 进 行 扫 描 判 断 ， 并 在 S y s t e m . W o r k f l o w . C o m p o n e n t M o d e l . C o m p i l e r . W o r k f l o w C o m p i l e r I n t e r n a l . C o m p i l e 方 法 中 找 到 了 如 下 所 示 的 代 码 段 ：
分 析 G e n e r a t e L o c a l A s s e m b l y 方 法 的 工 作 流 程 之 后 ， 我 发 现 这 个 方 法 最 终 会 调 用 标 准 的 . N E T 编 译 / 加 载 方 法 【 相 关 资 料 点 击 阅 读 原 文 查 看 】 ： 仅 仅 加 载 一 个 汇 编 程 序 并 不 能 实 现 任 意 代 码 执 行 ， 不 过 幸 运 的 是 ， S y s t e m . W o r k f l o w . C o m p o n e n t M o d e l . C o m p i l e r . X o m l C o m p i l e r H e l p e r . I n t e r n a l C o m p i l e F r o m D o m B a t c h 方 法 会 遍 历 所 有 已 加 载 的 汇 编 程 序 ， 然 后 实 例 化 所 有 继 承 了 S y s t e m . W o r k f l o w . C o m p o n e n t M o d e l . A c t i v i t y 类 的 实 例 ： 现 在 ， 我 们 几 乎 已 经 看 到 了 任 意 代 码 执 行 的 “ 希 望 了 ” ， 接 下 来 我 们 需 要 弄 清 楚 到 底 使 用 哪 种 代 码 格 式 ， 才 能 让 程 序 的 编 译 器 接 收 输 入 数 据 以 及 X O M L 工 作 流 文 件 。 当 M i c r o s o f t . W o r k f l o w . C o m p i l e r . e x e 启 动 时 ， 会 将 第 一 个 参 数 传 递 给 R e a d C o m p i l e r I n p u t 方 法 ， 该 方 法 接 收 到 文 件 路 径 之 后 ， 会 将 其 反 序 列 化 为 C o m p i l e r I n p u t 对 象 ： 那 么 现 在 的 问 题 就 在 于 ， 如 何 才 能 生 成 序 列 化 的 C o m p i l e r I n p u t 对 象 呢 ？ 这 里 我 找 到 了 一 个 名 叫
M i c r o s o f t . W o r k f l o w . C o m p i l e r . C o m p i l e r W r a p p e r . S e r i a l i z e I n p u t T o W r a p p e r 的 内 部 方 法 ： 我 还 专 门 编 写 了 一 个 P o w e r S h e l l 函 数 来 实 现 X M L 文 件 的 自 动 生 成 ：

实 际 上 我 们 只 需 要 改 变 序 列 化 C o m p i l e r I n p u t 对 象 中 X O M L 文 件 的 路 径 / 文 件 名 即 可 。 最 后 ， 我 们 需 要 将 生 成 的 C # 代 码 嵌 入 到 X O M L 文 件 中 ， 最 后 通 过 M i c r o s o f t . W o r k f l o w . C o m p i l e r . e x e 来 调 用 我 们 的 恶 意 函 数 。 整 个 过 程 就 是 这 样 ， 不 过 我 现 在 仍 不 清 楚 M i c r o s o f t . W o r k f l o w . C o m p i l e r . e x e 的 真 正 用 途 到 底 是 什 么 ， 而 且 X O M L 文 件 的 意 义 我 也 不 清 楚 ， 但 是 我 感 觉 这 个 程 序 可 能 主 要 是 给 微 软 内 部 人 员 使 用 的 。 检 测 方 法 检 测 方 法
1 . 首 先 ， 检 查 当 前 系 统 中 M i c r o s o f t . W o r k f l o w . C o m p i l e r . e x e 的 使 用 情 况 ， 一 般 来 说 系 统 几 乎 不 会 用 到 这 个 工 具 。 在 M i c r o s o f t . W o r k f l o w . C o m p i l e r . e x e 每 次 运 行 时 都 产 生 警 报 ， 由 于 攻 击 者 可 以 对 该 工 具 进 行 重 命 名 ， 因 此 我 们 还 需 要 构 建 相 应 的 检 测 规 则   。 2 . 攻 击 者 在 结 合 M i c r o s o f t . W o r k f l o w . C o m p i l e r . e x e 运 行 恶 意 软 件 时 ， 会 生 成 一 个 c s c . e x e 或 v b c . e x e 子 进 程 ， 可 以 通 过 检 测 这 两 个 子 进 程 来 判 断 系 统 的 安 全 状 况 。 3 . 在 构 建 和 部 署 Y a r a 规 则 时 ， 如 果 文 件 中 包 含 C o m p i l e r I n p u t 标 签 ， 那 么 该 文 件 则 可 以 标 记 为 “ 可 疑 文 件 ” 。 针 对 上 述 的 三 种 检 测 方 法 ， 我 开 发 了 一 个 P a y l o a d 生 成 / 测 试 工 具 ， 大 家 可 以 利 用 该 工 具 来 判 断 各 自 系 统 中 安 全 检 测 方 法 的 有 效 性 ： 【 下 载 地 址 】 * 参 考 来 源 ： s p e c t e r o p s ， F B 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理