搜索

[14645] 2019-09-30_SharPersist：一款渗透测试中实现Windows系统常驻的套件

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2019-09-30_SharPersist：一款渗透测试中实现Windows系统常驻的套件 S h a r P e r s i s t ： 一 款 渗 透 测 试 中 实 现 W i n d o w s 系 统 常 驻 的 套 件 s e c i s t   F r e e B u f   2 0 1 9 - 0 9 - 3 0 背 景 背 景 P o w e r S h e l l 在 过 去 的 几 年 里 在 在 过 去 的 几 年 里 在 O f f e n s i v e 安 全 社 区 被 广 泛 使 用 。 但 随 着 防 御 性 安 全 行 业 的 推 进 ， 正 致 使 攻 击 性 工 安 全 社 区 被 广 泛 使 用 。 但 随 着 防 御 性 安 全 行 业 的 推 进 ， 正 致 使 攻 击 性 工 具 包 从 具 包 从 P o w e r S h e l l 迁 移 到 反 射 迁 移 到 反 射 C # 以 逃 避 现 代 安 全 产 品 的 检 测 。 其 中 一 些 改 进 包 括 脚 本 块 记 录 ， 反 恶 意 软 件 脚 本 以 逃 避 现 代 安 全 产 品 的 检 测 。 其 中 一 些 改 进 包 括 脚 本 块 记 录 ， 反 恶 意 软 件 脚 本 接 口 （ 接 口 （ A M S I ） 以 及 第 三 方 安 全 供 应 商 针 对 恶 意 ） 以 及 第 三 方 安 全 供 应 商 针 对 恶 意 P o w e r S h e l l 活 动 签 名 的 开 发 。 目 前 已 发 布 了 多 个 活 动 签 名 的 开 发 。 目 前 已 发 布 了 多 个 C # 工 具 包 ， 如 工 具 包 ， 如 S e a t b e l t ， ， S h a r p U p 和 和 S h a r p V i e w ， 用 以 攻 击 生 命 周 期 各 个 阶 段 的 任 务 。 而 在 攻 击 生 命 周 期 中 缺 少 ， 用 以 攻 击 生 命 周 期 各 个 阶 段 的 任 务 。 而 在 攻 击 生 命 周 期 中 缺 少 C # 工 具 包 的 一 工 具 包 的 一 个 阶 段 就 是 持 久 性 。 为 此 ， 个 阶 段 就 是 持 久 性 。 为 此 ， F i r e E y e   M a n d i a n t 的 红 队 创 建 了 名 为 的 红 队 创 建 了 名 为 S h a r P e r s i s t 的 新 的 新 W i n d o w s 持 久 性 工 具 包 。 持 久 性 工 具 包 。 W i n d o w s   持 久 性 持 久 性 在 红 队 参 与 中 ， 需 要 花 费 大 量 的 时 间 和 精 力 来 获 得 对 组 织 的 初 始 访 问 权 限 ， 因 此 以 可 靠 的 方 式 维 护 访 问 权 限 至 关 重 要 。 持 久 性 也 是 攻 击 生 命 周 期 中 的 关 键 组 成 部 分 ， 如 下 图 所 示 。 一 旦 攻 击 者 在 系 统 上 建 立 了 持 久 性 ， 攻 击 者 将 可 以 在 断 电 ， 重 启 或 网 络 干 扰 后 维 持 对 系 统 的 访 问 权 。 这 允 许 攻 击 者 在 网 络 上 长 时 间 处 于 休 眠 状 态 ， 可 能 是 几 周 、 几 个 月 甚 至 几 年 。 建 立 持 久 性 有 两 个 关 键 组 件 ： 持 久 性 植 入 和 持 久 性 触 发 ， 如 下 图 所 示 。 持 久 性 植 入 是 指 恶 意 p a y l o a d ， 例 如 可 执 行 文 件 （ E X E ） ， H T M L 应 用 程 序 （ H T A ） ， 动 态 链 接 库 （ D L L ）   ， 或 其 他 形 式 的 代 码 执 行 。 持 久 性 触 发 是 指 恶 意 代 码 的 执 行 ， 例 如 计 划 任 务 或 W i n d o w s 服 务 。 有 几 种 已 知 的 持 久 性 触 发 的 方 法 可 以 在 W i n d o w s 上 使 用 ， 例 如 W i n d o w s 服 务 ， 计 划 任 务 ， 注 册 表 和 启 动 文 件 夹 等 。 有 关 更 完 整 的 列 表 ， 请 参 阅   M I T R E   A T T & C K   p e r s i s t e n c e 页 面 。 S h a r P e r s i s t   概 述 概 述 S h a r P e r s i s t 的 创 建 是 为 了 帮 助 使 用 多 种 不 同 的 技 术 在 W i n d o w s 操 作 系 统 上 建 立 持 久 性 。 它 是 一 个 用 C # 编 写 的 命 令 行 工 具 ， 可 以 反 射 性 的 加 载 C o b a l t   S t r i k e 的 “ e x e c u t e - a s s e m b l y ” 命 令 或 任 何 其 他 支 持 反 射 性 加 载 . N E T 程 序 集 的 框 架 。 S h a r P e r s i s t 采 用 模 块 化 设 计 ， 以 便 将 来 添 加 新 的 持 久 性 技 术 。 还 有 一 些 与 t r a d e c r a f t 相 关 的 项 已 经 内 置 到 该 工 具 及 其 支 持 的 持 久 性 技 术 中 ， 例 如 f i l e   t i m e   s t o m p i n g 策 略 和 最 小 化 或 隐 藏 运 行 应 用 程 序 。 S h a r P e r s i s t 和 所 有 相 关 的 使 用 文 档 可 以 在 S h a r P e r s i s t   F i r e E y e   G i t H u b 页 面 找 到 。
S h a r P e r s i s t   持 久 性 技 术 持 久 性 技 术 截 至 本 文 发 表 时 ， S h a r P e r s i s t 支 持 的 持 久 性 技 术 及 其 所 需 的 权 限 ， 如 下 表 所 示 。 技 术 技 术 描 述 描 述 技 术 开 关 名 称 技 术 开 关 名 称 （ （ - t ） ） 是 否 需 要 管 理 权 是 否 需 要 管 理 权 限 ？ 限 ？ T o u c h e s   注 册 注 册 表 ？ 表 ？ 在 磁 盘 上 添 加 在 磁 盘 上 添 加 / 修 改 文 修 改 文 件 ？ 件 ？ K e e P a s s B a c k d o o r   K e e P a s s   配 置 文 件 k e e p a s s N o N o Y e s N e w   S c h e d u l e d   T a s k 创 建 新 的 计 划 任 务 s c h t a s k N o N o Y e s N e w   W i n d o w s S e r v i c e 创 建 新 的   W i n d o w s   服 务 s e r v i c e Y e s Y e s N o R e g i s t r y 注 册 表 键 / 值 创 建 / 修 改 r e g N o Y e s N o S c h e d u l e d   T a s k B a c k d o o r 后 门 现 有 的 计 划 任 务 以 及 其 他 操 作 s c h t a s k b a c k d o o r Y e s N o Y e s S t a r t u p   F o l d e r 在 用 户 启 动 文 件 夹 中 创 建 L N K   文 件 s t a r t u p f o l d e r N o N o Y e s T o r t o i s e   S V N 创 建   T o r t o i s e   S V N   h o o k   脚 本 t o r t o i s e s v n N o Y e s N o S h a r P e r s i s t   示 例 示 例 在 S h a r P e r s i s t   G i t H u b 上 ， 有 关 于 每 种 持 久 性 技 术 的 用 法 和 示 例 的 完 整 文 档 。 下 面 将 重 点 介 绍 一 些 技 术 。 注 册 表 持 久 性 注 册 表 持 久 性 S h a r P e r s i s t 中 支 持 的 注 册 表 项 的 完 整 列 表 如 下 表 所 示 。 注 册 表 项 代 码 注 册 表 项 代 码 （ （ - k ） ） 注 册 表 项 注 册 表 项 注 册 表 值 注 册 表 值 是 否 需 是 否 需 要 管 理 要 管 理 权 限 ？ 权 限 ？ 支 持 支 持   E n v   可 选 可 选 附 加 组 件 （ 附 加 组 件 （ - o e n v ） ？ ） ？ h k l m r u n H K L M S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n U s e r   s u p p l i e d Y e s Y e s h k l m r u n o n c e H K L M S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n O n c e U s e r   s u p p l i e d Y e s Y e s h k l m r u n o n c e e x H K L M S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n O n c e E x U s e r   s u p p l i e d Y e s Y e s u s e r i n i t H K L M S O F T W A R E M i c r o s o f t W i n d o w s N T C u r r e n t V e r s i o n W i n l o g o n U s e r i n i t Y e s N o h k c u r u n H K C U S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n U s e r   s u p p l i e d N o Y e s h k c u r u n o n c e H K C U S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n O n c e U s e r   s u p p l i e d N o Y e s l o g o n s c r i p t H K C U E n v i r o n m e n t U s e r I n i t M p r L o g o n S c r i p t N o N o s t i c k y n o t e s H K C U S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n R E S T A R T _ S T I C K Y _ N O T E S N o N o 在 下 面 的 示 例 中 ， 我 们 将 执 行 参 数 验 证 ， 然 后 添 加 注 册 表 持 久 性 。 在 添 加 持 久 性 之 前 执 行 验 证 是 最 佳 实 践 ， 因 为 它 将 确 保 你 在 实 际 添 加 相 应 的 持 久 性 技 术 之 前 具 有 正 确 的 参 数 和 其 他 安 全 性 检 查 。 下 图 中 显 示 的 示 例 在 “ H K C U S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n ” 注 册 表 项 中 创 建 名 为 “ T e s t ” 的 注 册 表 值 ， 其 值 为 “ c m d . e x e / c   c a l c . e x e ” 。
需 要 删 除 持 久 性 ， 可 以 使 用 “ - m   r e m o v e ” 参 数 ， 如 下 图 所 示 。 我 们 正 在 删 除 先 前 创 建 的 “ T e s t ” 注 册 表 值 ， 然 后 我 们 列 出 了 “ H K C U S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n ” 的 所 有 注 册 表 值 ， 以 验 证 其 是 否 已 被 成 功 删 除 。 启 动 文 件 夹 持 久 性 启 动 文 件 夹 持 久 性 在 此 示 例 中 ， 我 们 将 创 建 一 个 名 为 “ T e s t . l n k ” 的 L N K 文 件 ， 该 文 件 将 放 在 当 前 用 户 的 启 动 文 件 夹 中 ， 并 将 执 行 “ c m d . e x e / c   c a l c . e x e ” ， 如 下 图 所 示 。
同 样 ， 你 可 以 使 用 “ - m   r e m o v e ” 参 数 删 除 启 动 文 件 夹 持 久 性 ， 如 下 图 所 示 。 这 将 从 当 前 用 户 的 启 动 文 件 夹 中 删 除 L N K 文 件 。 计 划 任 务 后 门 持 久 性 计 划 任 务 后 门 持 久 性 可 以 将 计 划 任 务 配 置 为 一 次 执 行 多 个 操 作 ， 此 技 术 将 通 过 添 加 其 他 操 作 来 后 门 后 门 现 有 的 计 划 任 务 。 我 们 需 要 做 的 第 一 件 事 就 是 查 找 一 个 用 于 后 门 的 计 划 任 务 。 在 这 本 例 中 ， 我 们 将 后 门 添 加 到 了 一 个 登 录 时 运 行 的 计 划 任 务 中 ， 如 下 图 所 示 。
一 旦 我 们 有 了 一 个 我 们 想 要 后 门 的 计 划 任 务 ， 我 们 就 可 以 执 行 d r y r u n 以 确 保 命 令 成 功 运 行 ， 然 后 实 际 执 行 该 命 令 ， 如 下 图 所 示 。 如 下 图 所 示 ， 计 划 任 务 现 在 已 被 我 们 后 门 化 。
同 样 ， 你 可 以 使 用 “ - m   r e m o v e ” 参 数 持 久 性 后 门 任 务 ， 如 下 图 所 示 。 总 结 总 结 在 O f f e n s i v e 安 全 社 区 中 ， 使 用 反 射 C # 协 助 攻 击 生 命 周 期 的 各 个 阶 段 是 非 常 必 要 的 ， 持 久 性 也 不 例 外 。 W i n d o w s 提 供 了 多 种 持 久 性 技 术 ， 安 全 专 家 及 其 对 手 将 继 续 发 现 和 利 用 这 些 技 术 。 此 工 具 旨 在 协 助 安 全 专 家 在 攻 击 生 命 周 期 的 持 久 性 阶 段 。 通 过 发 布 S h a r P e r s i s t ， 我 们 希 望 让 人 们 能 够 了 解 W i n d o w s 中 可 用 的 各 种 持 久 性 技 术 ， 以 及 使 用 C # 而 不 是 P o w e r S h e l l 的 方 式 使 用 这 些 持 久 性 技 术 的 能 力 。 * 参 考 来 源 ： 参 考 来 源 ： f i r e e y e ， ， F B 小 编 小 编 s e c i s t 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐

阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理