搜索

[15775] 2020-08-26_UsoDllLoader：一款功能强大的武器化特权文件写入工具

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-08-26_UsoDllLoader：一款功能强大的武器化特权文件写入工具 U s o D l l L o a d e r ： 一 款 功 能 强 大 的 武 器 化 特 权 文 件 写 入 工 具 A l p h a _ h 4 c k   F r e e B u f   2 0 2 0 - 0 8 - 2 6 U s o D l l L o a d e r U s o D l l L o a d e r 是 一 款 功 能 强 大 的 武 器 化 特 权 文 件 写 入 工 具 ， 该 工 具 可 以 通 过 U p d a t e   S e s s i o n   O r c h e s t r a t o r 服 务 来 利 用 W i n d o w s 系 统 中 的 特 权 文 件 写 入 漏 洞 并 完 成 对 目 标 系 统 的 渗 透 测 试 。 除 此 之 外 ， U s o D l l L o a d e r 还 提 供 了 一 个 针 对 D i a g H u b   D L L 加 载 漏 洞 的 利 用 代 码 ， 不 过 微 软 已 经 在 v 1 9 0 3 版 本 的 W i n d o w s 系 统 上 修 复 了 这 个 漏 洞 。 注 意 事 项 ： 这 项 技 术 目 前 无 法 在 最 新 版 本 的 W i n d o w s   1 0 内 部 预 览 版 中 使 用 ， 也 就 是 说 ， 该 工 具 目 前 仍 然 适 用 于 主 流 版 本 的 W i n d o w s   1 0 操 作 系 统 。 技 术 介 绍 技 术 介 绍 从 W i n d o w s   1 0 开 始 ， 微 软 就 引 入 了 一 个 名 叫 U p d a t e   S e s s i o n   O r c h e s t r a t o r 的 服 务 。 作 为 一 名 普 通 用 户 来 说 ， 我 们 可 以 使 用 C O M 来 跟 这 项 服 务 进 行 交 互 ， 并 开 启 一 次 “ 更 新 扫 描 ” ， 比 如 说 检 测 系 统 是 否 有 可 用 更 新 ， 或 者 挂 起 更 新 下 载 进 程 等 等 。 这 里 还 涉 及 到 一 个 未 记 录 在 文 档 中 的 工 具 ， 这 个 工 具 名 叫 u s o c l i e n t . e x e ， 负 责 处 理 整 个 过 程 。 对 于 攻 击 者 来 说 ， 这 个 服 务 就 非 常 有 意 思 了 ， 因 为 它 能 够 以 N T   A U T H O R I T Y S y s t e m 权 限 运 行 ， 并 尝 试 在 更 新 会 话 被 创 建 的 时 候 加 载 一 个 名 叫 w i n d o w s c o r e d e v i c e i n f o . d l l 的 D L L 文 件 。 这 也 就 意 味 着 ， 如 果 我 们 在 目 标 W i n d o w s 系 统 或 某 个 第 三 方 软 件 中 找 到 了 一 个 特 权 文 件 写 入 漏 洞 ， 那 么 我 们 就 可 以 将 我 们 自 己 自 定 义 的 w i n d o w s c o r e d e v i c e i n f o . d l l 文 件 拷 贝 到 C : W i n d o w s S y t e m 3 2 中 ， 然 后 U S O 服 务 便 会 加 载 该 文 件 ， 这 样 我 们 就 能 够 以 N T   A U T H O R I T Y S y s t e m 权 限 实 现 任 意 代 码 执 行 了 。 构 建 构 建 P o C 这 个 解 决 方 案 由 两 个 项 目 构 成 ， 即 W i n d o w s C o r e D e v i c e I n f o 和 U s o D l l L o a d e 。 W i n d o w s C o r e D e v i c e I n f o 该 项 目 提 供 了 一 个 P o C   D L L ， 每 当 Q u e r y D e v i c e I n f o r m a t i o n ( ) 函 数 被 调 用 时 ， 它 将 会 在 端 口 1 3 3 7 上 开 启 一 个 B i n d
S h e l l （ 仅 支 持 本 地 ） ， 而 这 个 函 数 也 是 U S O 线 程 所 要 使 用 的 函 数 。 U s o D l l L o a d e r （ 可 选 ） （ 可 选 ） 它 是 一 个 精 简 版 的 u s o c l i e n t . e x e ， 能 够 以 普 通 用 户 的 身 份 运 行 ， 并 与 U S O 服 务 交 互 ， 然 后 加 载 w i n d o w s c o r e d e v i c e i n f o . d l l 。 加 载 完 成 之 后 ， 它 将 尝 试 与 B i n d   S h e l l 进 行 连 接 。 构 建 解 决 方 案 构 建 解 决 方 案 项 目 已 经 对 解 决 方 案 进 行 了 预 配 置 ， 因 此 编 译 起 来 非 常 简 单 ， 这 里 我 们 推 荐 使 用 V i s u a l   S t u d i o   2 0 1 9 。 选 择 “ R e l e a s e ” 配 置 和 “ x 6 4 ” 架 构 。 构 建 解 决 方 案 。 D L L 输 出 路 径 ： “ . x 6 4 R e l e a s e W i n d o w s C o r e D e v i c e I n f o . d l l ” ， 加 载 器 路 径 ： “ . x 6 4 R e l e a s e U s o D l l L o a d e r . e x e ” 。 工 具 使 用 工 具 使 用 使 用 使 用 1 - U s o D l l L o a d e r 如 需 进 行 测 试 ， 我 们 可 以 按 照 下 列 步 骤 进 行 操 作 ： 使 用 系 统 管 理 员 权 限 ， 将 d l l 拷 贝 至 C : W i n d o w s S y s t e m 3 2 目 录 下 。 以 普 通 用 户 身 份 运 行 加 载 器 。 工 具 将 以 N T   A U T H O R I T Y S Y S T E M 权 限 开 启 S h e l l 。 使 用 使 用 2 - U s o C l i e n t 如 果 U s o D l l L o a d e r . e x e 无 法 正 常 执 行 ， 我 们 可 以 手 动 执 行 上 述 工 作 ： 使 用 系 统 管 理 员 权 限 ， 将 d l l 拷 贝 至 C : W i n d o w s S y s t e m 3 2 目 录 下 。 以 普 通 用 户 身 份 运 行 下 列 命 令 ， 此 时 可 能 无 法 获 取 到 命 令 执 行 的 回 调 信 息 ： 下 载 W i n d o w s 版 本 的 n e t c a t ， 并 使 用 下 列 命 令 与 B i n d   S h e l l 连 接 ： 工 具 使 用 演 示 工 具 使 用 演 示 【 G I F : h t t p s : / / r a w . g i t h u b u s e r c o n t e n t . c o m / i t m 4 n / U s o D l l L o a d e r / m a s t e r / s c r e e n s h o t s / U s o D l l L o a d e r . g i f 】 参 考 文 档 参 考 文 档 第 一 部 分 ： h t t p s : / / i t m 4 n . g i t h u b . i o / u s o d l l l o a d e r - p a r t 1 / 第 二 部 分 ： h t t p s : / / i t m 4 n . g i t h u b . i o / u s o d l l l o a d e r - p a r t 2 / 项 目 地 址 项 目 地 址 u s o c l i e n t   S t a r t I n t e r a c t i v e S c a n n c . e x e   1 2 7 . 0 . 0 . 1   1 3 3 7
U s o D l l L o a d e r ： h t t p s : / / g i t h u b . c o m / i t m 4 n / U s o D l l L o a d e r 精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理