设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [15332] 2020-05-04_红队技巧：绕过Sysmon检测
返回列表 发新帖
查看: 0|回复: 0

[15332] 2020-05-04_红队技巧：绕过Sysmon检测

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 5 天前 | 显示全部楼层 |阅读模式
2020-05-04_红队技巧：绕过Sysmon检测 红 队 技 巧 ： 绕 过 S y s m o n 检 测 周 大 涛   F r e e B u f   2 0 2 0 - 0 5 - 0 4 S y s m o n 和 W i n d o w s 事 件 日 志 都 是 防 御 者 中 极 为 强 大 的 工 具 。 它 们 非 常 灵 活 的 配 置 使 他 们 可 以 深 入 了 解 设 备 上 的 活 动 ， 从 而 使 检 测 攻 击 者 的 过 程 变 得 更 加 容 易 。 出 于 这 个 原 因 ， 我 将 带 领 您 完 成 击 败 他 们 的 旅 程 ； ） x p n 和 m a t t e r p r e t e r 对 此 进 行 了 一 些 出 色 的 研 究 。 他 们 的 解 决 方 案 都 不 错 ， 但 是 不 能 完 全 满 足 我 的 需 求 。 M e t t e r p r e t e r 的 卸 载 驱 动 程 序 的 方 法 在 技 术 上 是 可 以 做 到 的 ， 但 是 卸 载 驱 动 程 序 感 觉 很 不 o k 。 特 别 是 触 发 了 很 多 非 常 明 显 的 事 件 。 为 了 弄 清 楚 如 何 绕 过 它 ， 至 关 重 要 的 是 首 先 了 解 它 是 如 何 工 作 的 。 启 动 G h i d r a 并 启 动 s y s m o n 6 4 . e x e ， 我 们 可 以 看 到 它 使 用 R e p o r t E v e n t W W i n d o w s   A P I 调 用 来 报 告 事 件 。 现 在 我 们 知 道 了 ， 可 以 h o o k   该 调 用 并 从 那 里 阻 止 事 件 … … 然 鹅 这 有 什 么 卵 用 呢 ？ 我 们 仍 然 需 要 管 理 员 权 限 来 做 到 这 一 点 ， 我 认 为 我 们 可 以 更 好 地 利 用 它 们 。 深 入 调 用 链 并 查 看 R e p o r t E v e n t W A D V A P I 3 2 . d l l ， 我 们 可 以 看 到 它 实 质 上 E t w E v e n t W r i t e T r a n s f e r 是 在 N T D L L . d l l 中 定 义 的 包 装 器 。 通 过 检 查 ， E t w E v e n t W r i t e T r a n s f e r 我 们 可 以 看 到 它 调 用 了 N t T r a c e E v e n t n t o s k r n l . e x e 内 部 定 义 的 内 核 函 数 。 现 在 我 们 知 道 ， 任 何 要 报 告 事 件 的 用 户 模 式 进 程 都 将 调 用 此 函 数 ， 太 棒 了 ！ 这 是 可 视 化 此 过 程 的 快 速 图 表 。
现 在 我 们 知 道 了 要 定 位 的 内 核 功 能 ， 让 我 们 集 中 精 力 进 行 测 试 以 查 看 其 是 否 真 正 起 作 用 。 为 此 ， 我 将 使 用 W i n D B G 内 核 调 试 ， 有 关 更 多 信 息 ， 请 参 见 此 处 。 我 将 从 设 置 一 个 断 点 开 始 ， n t ! N t T r a c e E v e n t 然 后 在 该 断 点 被 击 中 时 ， 我 将 使 用 修 补 函 数 的 开 始 r e t 。 这 将 迫 使 函 数 在 运 行 任 何 事 件 报 告 代 码 之 前 立 即 返 回 。 而 且 有 效 ！ 如 果 您 在 下 面 看 ， 您 将 看 到 我 能 够 启 动 P o w e r s h e l l 提 示 而 不 会 触 发 任 何 s y s m o n 事 件 。 因 此 ， 现 在 我 们 可 以 使 用 来 开 始 编 写 P o C 代 码 了 。 我 们 想 要 编 写 的 代 码 将 需 要 h o o k   ， N t T r a c e E v e n t 并 为 我 们 提 供 是 否 报 告 事 件 的 选 择 。 由 于 我 们 要 定 位 的 函 数 是 内 核 函 数 ， 因 此 我 们 也 需 要 使 h o o k   代 码 在 内 核 空 间 中 运 行 。 尝 试 执 行 此 操 作 时 ， 我 们 将 遇 到 两 个 主 要 问 题 。 K e r n e l   d r i v e r   s i g n i n g   e n f o r c e m e n t P a t c h G u a r d 幸 运 的 是 ， 为 了 实 现 ， 已 经 有 两 个 超 酷 的 项 目 ， @   h F i r e F 0 x 和 I n f i n i t y H o o k 。 我 不 会 详 细 介 绍 它 们 的 工 作 原 理 ， 因 为 它 们 各 自 的 链 接 上 有 很 多 信 息 。 但 是 我 很 高 兴 ， 因 为 这 省 了 我 很 多 时 间 ， 因 为 我 不 需 要 编 写 自 己 的 b y p a s s 。 我 将 首 先 编 写 要 在 内 核 中 运 行 的 代 码 ， 所 有 链 接 都 可 以 在 此 处 找 到 。 就 在 的 开 始 D r i v e r E n t r y ， 我 们 将 需 要 找 到 两 者 的 出 口 N t T r a c e E v e n t 和 I o C r e a t e D r i v e r 。 我 们 需 要 找 到 的 原 因 I o C r e a t e D r i v e r 是 由 于 K D U 。 它 会 通 过 加 载 和 利 用 签 名 的 驱 动 程 序 ， 然 后 引 导 我 们 到 内 核 空 间 加 载 我 们 的 d r i v e r ， 装 载 我 们 的 d r i v e r   的 这 种 方 法 将 意 味 着 ， 无 论 是 D r i v e r O b j e c t 和 R e g i s t r y P a t h 传 递 给 D r i v e r E n t r y 将 是 不 正 确 的 。 但 是 因 为 我 们 需 要 能 够 与 用 户 模 式 过 程 进 行 通 信 （ 因 此 我 们 知 道 何 时 报 告 和 阻 止 事 件 ） ， 所 以 我 们 需 要 创 建 一 个 有 效 的 D r i v e r O b j e c t 。 为 此 ， 我 们 可 以 调 用 I o C r e a t e D r i v e r 它 的 D r i v e r I n i t i a l i z e 例 程 地 址 并 将 其 提 供 给 我 们 D r i v e r I n i t i a l i z e 然 后 将 调 用 并 传 递 一 个 有 效 值 D r i v e r O b j e c t ， 该 有 效 值 可 最 终 用 于 创 建 I O C T L ， 让 我 们 与 用 户 模 式 进 行 交 流 。 此 代 码 段 如 下 。 N T S T A T U S   D r i v e r E n t r y ( _ I n _   P D R I V E R _ O B J E C T   D r i v e r O b j e c t , _ I n _   P U N I C O D E _ S T R I N G   R e g i s t r y P a t h ) { N T S T A T U S                 s t a t u s ; U N I C O D E _ S T R I N G     d r v N a m e ; U N R E F E R E N C E D _ P A R A M E T E R ( D r i v e r O b j e c t ) ; U N R E F E R E N C E D _ P A R A M E T E R ( R e g i s t r y P a t h ) ; D b g P r i n t E x ( D P F L T R _ D E F A U L T _ I D ,   D P F L T R _ I N F O _ L E V E L ,   " [ + ]   i n f i n i t y h o o k :   L o a d e d . r n " ) ; O r i g i n a l N t T r a c e E v e n t   =   ( N t T r a c e E v e n t _ t ) M m G e t S y s t e m R o u t i n e A d d r e s s ( & S t r i n g N t T r a c e E v e n t ) ; O r i g i n a l I o C r e a t e D r i v e r   =   ( I o C r e a t e D r i v e r _ t ) M m G e t S y s t e m R o u t i n e A d d r e s s ( & S t r i n g I o C r e a t e D r i v e r ) ; i f   ( ! O r i g i n a l I o C r e a t e D r i v e r ) { D b g P r i n t E x ( D P F L T R _ D E F A U L T _ I D ,   D P F L T R _ I N F O _ L E V E L ,   " [ - ]   i n f i n i t y h o o k :   F a i l e d   t o   l o c a t e   e x p o r t :   % w Z . n " ,   S t r i n g I o C r e a t e D r i v e r ) ; r e t u r n   S T A T U S _ E N T R Y P O I N T _ N O T _ F O U N D ;
找 到 出 口 并 获 得 有 效 的 出 口 后 ， D r i v e r O b j e c t 我 们 现 在 可 以 使 用 I n f i n i t y H o o k 初 始 化 N t T r a c e E v e n t 钩 子 。 该 功 能 I f h I n i t i a l i z e 执 行 此 操 作 。 我 调 用 I f h I n i t i a l i z e 并 将 其 传 递 给 我 的 回 调 的 指 针 。 每 次 进 行 系 统 调 用 时 都 会 命 中 此 回 调 。 给 回 调 函 数 提 供 了 指 向 将 要 调 用 的 函 数 地 址 的 指 针 。 可 以 访 问 该 指 针 意 味 着 我 们 可 以 将 其 更 改 为 指 向 钩 子 函 数 的 地 址 。 回 调 代 码 如 下 所 示 。 此 代 码 会 将 每 个 调 用 重 定 向 N t T r a c e E v e n t 到 我 们 的 D e t o u r N t T r a c e E v e n t 。 的 代 码 D e t o u r N t T r a c e E v e n t 如 下 所 示 。 这 段 代 码 非 常 简 单 。 它 将 检 查 H O O K S T A T U S （ 由 用 户 模 式 进 程 通 过 I O C T L 设 置 ） 是 否 为 0 ， 如 果 为 0 ， 则 它 将 执 行 调 用 N t T r a c e E v e n t ， 从 而 报 告 事 件 。 如 果 H O O K S T A T U S 非 零 ， 它 将 返 回 以 S T A T U S _ S U C C E S S 表 明 该 事 件 已 成 功 报 告 ， 当 然 不 是 。 如 果 有 人 能 弄 清 楚 如 何 解 析 该 F i e l d s 参 数 ， 那 么 可 以 对 所 报 告 的 事 件 应 用 过 滤 器 ， 这 很 酷 ； 如 果 您 联 系 我 ， 我 将 为 您 提 供 我 所 拥 有 的 所 有 信 息 ， 告 诉 你 我 还 有 多 远 ， 我 们 也 许 可 以 解 决 ; ） 因 为 我 想 将 所 有 驱 动 程 序 都 保 留 为 一 个 可 执 行 文 件 ， 所 以 我 将 这 个 驱 动 程 序 嵌 入 到 可 执 行 文 件 中 ， 因 此 当 需 要 使 用 它 时 ， 它 将 被 解 压 缩 ， 然 后 K D U 会 将 其 加 载 到 内 核 中 。 我 不 会 详 细 介 绍 其 余 的 代 码 ， 因 为 它 主 要 是 K D U 并 从 用 户 模 式 与 驱 动 程 序 进 行 交 互 ， 但 是 如 果 您 有 兴 趣 ， 可 以 在 这 里 找 到 。 这 样 有 效 吗 ？ 这 样 有 效 吗 ？ r e t u r n   S T A T U S _ E N T R Y P O I N T _ N O T _ F O U N D ; } i f   ( ! O r i g i n a l N t T r a c e E v e n t ) { D b g P r i n t E x ( D P F L T R _ D E F A U L T _ I D ,   D P F L T R _ I N F O _ L E V E L ,   " [ - ]   i n f i n i t y h o o k :   F a i l e d   t o   l o c a t e   e x p o r t :   % w Z . n " ,   S t r i n g N t T r a c e E v e n t ) ; r e t u r n   S T A T U S _ E N T R Y P O I N T _ N O T _ F O U N D ; } R t l I n i t U n i c o d e S t r i n g ( & d r v N a m e ,   L " D r i v e r g h o s t i n t h e l o g s " ) ; s t a t u s   =   O r i g i n a l I o C r e a t e D r i v e r ( & d r v N a m e ,   & D r i v e r I n i t i a l i z e ) ; D b g P r i n t E x ( D P F L T R _ D E F A U L T _ I D ,   D P F L T R _ I N F O _ L E V E L ,   " [ + ]   C a l l e d   O r i g i n a l I o C r e a t e D r i v e r   s t a t u s :   0 x % X n " ,   s t a t u s ) ; N T S T A T U S   S t a t u s   =   I f h I n i t i a l i z e ( S y s c a l l S t u b ) ; i f   ( ! N T _ S U C C E S S ( S t a t u s ) ) { D b g P r i n t E x ( D P F L T R _ D E F A U L T _ I D ,   D P F L T R _ I N F O _ L E V E L ,   " [ - ]   i n f i n i t y h o o k :   F a i l e d   t o   i n i t i a l i z e   w i t h   s t a t u s :   0 x % l x . n " ,   S t a t u s ) ; } r e t u r n   S t a t u s ; } v o i d   _ _ f a s t c a l l   S y s c a l l S t u b ( _ I n _   u n s i g n e d   i n t   S y s t e m C a l l I n d e x , _ I n o u t _   v o i d * *   S y s t e m C a l l F u n c t i o n ) { U N R E F E R E N C E D _ P A R A M E T E R ( S y s t e m C a l l I n d e x ) ; i f   ( * S y s t e m C a l l F u n c t i o n   = =   O r i g i n a l N t T r a c e E v e n t ) { * S y s t e m C a l l F u n c t i o n   =   D e t o u r N t T r a c e E v e n t ; } } N T S T A T U S   D e t o u r N t T r a c e E v e n t ( _ I n _   P H A N D L E   T r a c e H a n d l e , _ I n _   U L O N G   F l a g s , _ I n _   U L O N G   F i e l d S i z e , _ I n _   P V O I D   F i e l d s ) { i f   ( H O O K _ S T A T U S   = =   0 ) { r e t u r n   O r i g i n a l N t T r a c e E v e n t ( T r a c e H a n d l e ,   F l a g s ,   F i e l d S i z e ,   F i e l d s ) ; } r e t u r n   S T A T U S _ S U C C E S S ; }
是 的 ： ） 好 吧 ， 在 我 测 试 过 的 所 有 东 西 上 ， 如 果 您 发 现 它 无 法 正 常 工 作 ， 或 者 有 任 何 一 般 性 的 错 误 让 我 知 道 ， 我 会 尝 试 修 复 它 们 。 另 外 ， 我 不 是 程 序 员 ， 所 以 我 的 代 码 将 远 非 完 美 ， 但 可 以 使 用 任 何 您 能 想 到 的 很 棒 的 功 能 随 意 发 出 请 求 ！ 这 是 它 运 行 及 其 各 种 功 能 的 一 些 示 例 。 加 载 驱 动 程 序 并 设 置 挂 钩 加 载 驱 动 程 序 并 设 置 挂 钩 启 用 挂 钩 （ 禁 用 所 有 日 志 记 录 ） 启 用 挂 钩 （ 禁 用 所 有 日 志 记 录 ） 获 取 挂 钩 的 状 态 获 取 挂 钩 的 状 态 禁 用 挂 钩 （ 启 用 所 有 日 志 记 录 ） 禁 用 挂 钩 （ 启 用 所 有 日 志 记 录 ） * 参 考 来 源 参 考 来 源 : d y l a n ， ， F B 小 编 周 大 涛 编 译 ， 转 载 请 注 明 来 自 小 编 周 大 涛 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 13:00 , Processed in 0.482627 second(s), 31 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表