搜索

[16476] 2021-02-23_技术分享如何利用防火墙规则阻止WindowsDefender

文档创建者：s7ckTeam
浏览次数：21
最后更新：2025-01-18
2021-02-23_技术分享如何利用防火墙规则阻止WindowsDefender 技 术 分 享   |   如 何 利 用 防 火 墙 规 则 阻 止 W i n d o w s   D e f e n d e r A l p h a _ h 4 c k   F r e e B u f   2 0 2 1 - 0 2 - 2 3 写 在 前 面 的 话 写 在 前 面 的 话 W i n d o w s   D e f e n d e r   f o r   E n d p o i n t （ 以 前 称 为 W i n d o w s   D e f e n d e r   A T P ） 是 一 种 “ 云 驱 动 ” 的 终 端 安 全 检 测 响 应 系 统 （ E D R ） ， 比 如 说 ， 警 报 和 事 件 可 以 被 推 送 到 云 端 ， 防 御 人 员 可 以 直 接 在 云 端 做 出 响 应 。 在 执 行 红 队 任 务 时 ， 最 大 的 障 碍 之 一 通 常 在 于 规 避 E D R 产 品 ， 并 确 保 我 们 的 行 动 不 会 被 发 现 。 虽 然 社 区 在 规 避 和 绕 过 W i n d o w s   D e f e n d e r   f o r   E n d p o i n t 方 面 已 经 投 入 了 大 量 的 工 作 和 研 究 ， 但 很 少 有 研 究 探 讨 是 否 可 以 简 单 地 禁 用 M i c r o s o f t   D e f e n d e r ， 这 样 就 不 会 有 数 据 发 送 到 云 端 了 。 本 文 将 探 讨 一 种 可 能 的 方 法 ， 通 过 利 用 防 火 墙 规 则 来 阻 止 M i c r o s o f t   D e f e n d e r ， 以 确 保 没 有 事 件 发 送 到 M i c r o s o f t   D e f e n d e r 安 全 中 心 ， 即 h t t p s : / / s e c u r i t y c e n t e r . w i n d o w s . c o m 。 C h r i s   T h o m p s o n （ @ r e t B a n d i t ） 曾 在 B l a c k H a t   E u r o p e   2 0 1 7 年 发 表 的 演 讲 《 红 队 规 避 、 绕 过 和 禁 用 M S 高 级 威 胁 保 护 和 高 级 威 胁 分 析 技 术 》 中 详 细 介 绍 了 修 改 终 端 节 点 M i c r o s o f t   D e f e n d e r 的 方 法 。 在 这 篇 文 章 中 ， 我 们 将 讨 论 如 何 使 用 防 火 墙 规 则 来 阻 止 已 知 的 W i n d o w s   D e f e n d e r   f o r   E n d p o i n t 流 量 。 技 术 分 析 技 术 分 析 虽 然 这 种 技 术 目 前 仍 然 有 效 ， 但 想 要 创 建 一 个 包 含 了 所 有 已 知 M D 主 机 服 务 U R L 的 防 火 墙 规 则 其 实 是 非 常 麻 烦 的 。 除 此 之 外 ， U R L 列 表 中 还 需 要 包 含 类 似 如 下 的 条 目 ： 这 样 可 能 会 破 坏 某 些 W i n d o w s 服 务 。 在 红 队 研 究 或 渗 透 测 试 的 情 况 下 ， 你 不 想 对 客 户 产 生 过 多 的 负 面 影 响 ， 也 不 想 通 过 妨 碍 正 常 的 工 作 流 程 来 提 醒 防 御 者 。 因 此 ， 我 们 不 想 阻 止 与 某 些 U R L 的 通 信 ， 而 是 想 评 估 是 否 有 可 能 阻 止 特 定 服 务 和 进 程 的 通 信 ， ， 从 而 使 端 点 的 M D 保 持 “ 沉 默 ” 。 为 此 ， 我 们 需 要 找 出 哪 些 进 程 与 端 点 U R L 的 已 知 M D 通 信 ， 并 阻 止 这 些 特 定 进 程 。 这 里 ， 我 们 需 要 的 所 有 信 息 都 已 由 M D   f o r   E n d p o i n t 收 集 ， 并 通 过 M i c r o s o f t   D e f e n d e r 安 全 中 心 提 供 给 我 们 ！ M D   f o r   E n d p o i n t 从 所 有 正 在 运 行 的 进 程 收 集 网 络 连 接 ， 因 此 可 以 用 来 找 出 哪 些 进 程 与 已 知 M D   f o r   D e f e n d e r   U R L 通 信 。 此 时 ， 我 们 可 以 通 过 运 行 下 列 K u s t o 查 询 来 查 看 这 些 进 程 。 * . b l o b . c o r e . w i n d o w s . n e t * . a z u r e - a u t o m a t i o n . n e t D e v i c e N e t w o r k E v e n t s |   w h e r e   A c t i o n T y p e     = =                     " C o n n e c t i o n S u c c e s s "         a n d   ( R e m o t e U r l     e n d s w i t h         " o d s . o p i n s i g h t s . a z u r e . c o m "         o r     R e m o t e U r l       e n d s w i t h         " o m s . o p i n s i g h t s . a z u r e . c o m "         o r     R e m o t e U r l       e n d s w i t h         " a z u r e - a u t o m a t i o n . n e t "         o r     R e m o t e U r l       e n d s w i t h         " w d c p . m i c r o s o f t . c o m "         o r     R e m o t e U r l       e n d s w i t h         " w d c p a l t . m i c r o s o f t . c o m "         o r     R e m o t e U r l       e n d s w i t h         " w d . m i c r o s o f t . c o m "         o r     R e m o t e U r l       i n                                                             (                                                                 " e u r o p e . x . c p . w d . m i c r o s o f t . c o m "                                                 ,               " e u . v o r t e x - w i n . d a t a . m i c r o s o f t . c o m "                                                 ,               " e u - v 2 0 . e v e n t s . d a t a . m i c r o s o f t . c o m "                                                 ,               " u s s e u 1 n o r t h p r o d . b l o b . c o r e . w i n d o w s . n e t "                                                 ,               " u s s e u 1 w e s t p r o d . b l o b . c o r e . w i n d o w s . n e t "                                                 ,               " w i n a t p - g w - n e u . m i c r o s o f t . c o m "
                                                ,               " w i n a t p - g w - n e u . m i c r o s o f t . c o m "                                                 ,               " w i n a t p - g w - w e u . m i c r o s o f t . c o m "                                                 ,               " w s e u 1 n o r t h p r o d . b l o b . c o r e . w i n d o w s . n e t "                                                 ,               " w s e u 1 w e s t p r o d . b l o b . c o r e . w i n d o w s . n e t "                                                 ,               " a u t o m a t e d i r s t r p r d w e u . b l o b . c o r e . w i n d o w s . n e t "                                                 ,               " a u t o m a t e d i r s t r p r d n e u . b l o b . c o r e . w i n d o w s . n e t "                                                 ,               " u n i t e d k i n g d o m . x . c p . w d . m i c r o s o f t . c o m "                                                 ,               " u k . v o r t e x - w i n . d a t a . m i c r o s o f t . c o m "                                                 ,               " u k - v 2 0 . e v e n t s . d a t a . m i c r o s o f t . c o m "                                                 ,               " u s s u k 1 s o u t h p r o d . b l o b . c o r e . w i n d o w s . n e t "                                                 ,               " u s s u k 1 w e s t p r o d . b l o b . c o r e . w i n d o w s . n e t "                                                 ,               " w i n a t p - g w - u k s . m i c r o s o f t . c o m "                                                 ,               " w i n a t p - g w - u k w . m i c r o s o f t . c o m "                                                 ,               " w s u k 1 s o u t h p r o d . b l o b . c o r e . w i n d o w s . n e t "                                                 ,               " w s u k 1 w e s t p r o d . b l o b . c o r e . w i n d o w s . n e t "                                                 ,               " a u t o m a t e d i r s t r p r d u k s . b l o b . c o r e . w i n d o w s . n e t "                                                 ,               " a u t o m a t e d i r s t r p r d u k w . b l o b . c o r e . w i n d o w s . n e t "                                                 ,               " u n i t e d s t a t e s . x . c p . w d . m i c r o s o f t . c o m "                                                 ,               " u s . v o r t e x - w i n . d a t a . m i c r o s o f t . c o m "                                                 ,               " u s - v 2 0 . e v e n t s . d a t a . m i c r o s o f t . c o m "                                                 ,               " u s s u s 1 e a s t p r o d . b l o b . c o r e . w i n d o w s . n e t "                                                 ,               " u s s u s 1 w e s t p r o d . b l o b . c o r e . w i n d o w s . n e t "                                                 ,               " u s s u s 2 e a s t p r o d . b l o b . c o r e . w i n d o w s . n e t "                                                 ,               " u s s u s 2 w e s t p r o d . b l o b . c o r e . w i n d o w s . n e t "                                                 ,               " u s s u s 3 e a s t p r o d . b l o b . c o r e . w i n d o w s . n e t "                                                 ,               " u s s u s 3 w e s t p r o d . b l o b . c o r e . w i n d o w s . n e t "                                                 ,               " u s s u s 4 e a s t p r o d . b l o b . c o r e . w i n d o w s . n e t "                                                 ,               " u s s u s 4 w e s t p r o d . b l o b . c o r e . w i n d o w s . n e t "                                                 ,               " w i n a t p - g w - c u s . m i c r o s o f t . c o m "                                                 ,               " w i n a t p - g w - e u s . m i c r o s o f t . c o m "                                                 ,               " w s u s 1 e a s t p r o d . b l o b . c o r e . w i n d o w s . n e t "                                                 ,               " w s u s 1 w e s t p r o d . b l o b . c o r e . w i n d o w s . n e t "                                                 ,               " w s u s 2 e a s t p r o d . b l o b . c o r e . w i n d o w s . n e t "                                                 ,               " w s u s 2 w e s t p r o d . b l o b . c o r e . w i n d o w s . n e t "                                                 ,               " a u t o m a t e d i r s t r p r d c u s . b l o b . c o r e . w i n d o w s . n e t "                                                 ,               " a u t o m a t e d i r s t r p r d e u s . b l o b . c o r e . w i n d o w s . n e t "                                                 ,               " u s s u s 1 e a s t p r o d . b l o b . c o r e . w i n d o w s . n e t "                                                 ,               " u s s u s 1 w e s t p r o d . b l o b . c o r e . w i n d o w s . n e t "                                                 ,               " u s s e u 1 n o r t h p r o d . b l o b . c o r e . w i n d o w s . n e t "                                                 ,               " u s s e u 1 w e s t p r o d . b l o b . c o r e . w i n d o w s . n e t "                                                 ,               " u s s u k 1 s o u t h p r o d . b l o b . c o r e . w i n d o w s . n e t "
下 图 显 示 的 是 查 询 结 果 ： 下 图 显 示 的 是 查 询 结 果 ： 浏 览 一 下 这 个 列 表 ， 我 们 发 现 有 几 个 进 程 显 示 为 与 M D   f o r   E n d p o i n t 无 关 的 进 程 。 比 如 说 T e a m s . e x e ， 它 是 微 软 的 官 方 团 队 客 户 端 ， 虽 然 它 会 给 已 知 的 M D   U R L 发 送 事 件 。 对 于 那 些 比 较 熟 悉 M D   f o r   E n d p o i n t 的 人 来 说 ， 对 这 些 进 程 的 透 彻 理 解 将 有 助 于 使 用 W i n d o w s 防 火 墙 有 效 地 阻 止 它 们 。 S e n s e I R . e x e ： 在 M i c r o s o f t   D e f e n d e r 安 全 中 心 启 动 “ 实 时 响 应 会 话 ” 时 ， 作 为 M s S e n s e . e x e 生 成 的 子 进 程 运 行 。 S e n s e C n c P r o x y . e x e ： 作 为 M s S e n s e . e x e 生 成 的 子 进 程 运 行 ， 可 以 将 其 描 述 为 “ 通 信 模 块 ” ， 因 此 可 能 会 处 理 与 前 面 提 到 的 u r l 的 通 信 ， 并 且 如 果 应 用 了 此 功 能 ， 还 会 启 动 代 理 。 S e n s e C n c P r o x y . e x e ： D e f e n d e r   f o r   E n d p o i n t 的 主 服 务 可 执 行 文 件 ， 它 将 以 服 务 的 形 式 运 行 ， 服 务 名 为 “ S e n s e ” 。 （ W i n d o w s   1 0 ） M p C m d R u n . e x e ： M i c r o s o f t   D e f e n d e r   A n t i v i r u s 主 服 务 的 可 执 行 文 件 ， 它 将 以 服 务 的 形 式 运 行 ， 服 务 名 为 “ W i n D e f e n d ” 。 （ W i n d o w s   1 0 ） M p C m d R u n . e x e ： 用 于 执 行 各 种 M i c r o s o f t   D e f e n d e r 防 病 毒 功 能 的 命 令 行 工 具 。 M o n i t o r i n g H o s t . e x e ： 作 为 H e a l t h S e r v i c e 的 子 进 程 生 成 的 可 执 行 文 件 ， 它 是 M i c r o s o f t   M o n i t o r i n g   A g e n t 的 一 部 分 ， 在 使 用 以 前 版 本 的 W i n d o w s （ S e r v e r   2 0 1 6 及 以 下 版 本 + W i n d o w s   8 . 1 E n t e r p r i s e 及 以 下 版 本 ） 登 录 设 备 时 会 安 装 。 H e a l t h S e r v i c e . e x e ： M i c r o s o f t   M o n i t o r i n g   A g e n t 的 主 服 务 可 执 行 文 件 ， 在 使 用 以 前 版 本 的 W i n d o w s （ S e r v e r   2 0 1 6 及 以 下 版 本 + W i n d o w s   8 . 1   E n t e r p r i s e 及 以 下 版 本 ） 登 录 设 备 时 会 安 装 。 此 外 ， 还 有 一 系 列 本 机 W i n d o w s 服 务 （ 如 u t c s v c 和 d i a g t r a c k ） 也 与 已 知 的 U R L 通 信 ， 但 在 我 们 的 测 试 中 ， 它 们 没 有 为 D e f e n d e r   f o r   E n d p o i n t 发 送 任 何 与 M D 相 关 的 事 件 或 警 报 数 据 。 P o C - 防 火 墙 规 则 防 火 墙 规 则 W i n d o w s   1 0 和 和 W i n d o w s   S e r v e r   2 0 1 9 在 W i n d o w s   1 0 和 W i n d o w s   S e r v e r   2 0 1 9 上 禁 用 M D   f o r   E n d p o i n t 相 对 来 说 比 较 简 单 ， 因 为 我 们 只 需 要 阻 止 M s M p E n g 、 S e n s e C n c P r o x y 和 M s S e n s e 三 个 进 程 在 端 口 4 4 3 上 向 外 发 送 流 量 即 可 。 运 行 以 下 P o w e r S h e l l 脚 本 将 有 效 地 屏 蔽 W i n d o w s   D e f e n d e r ， 并 且 不 会 触 发 任 何 警 报 ： 在 W i n d o w s 中 添 加 防 火 墙 规 则 需 要 本 地 管 理 员 权 限 ， 因 此 无 法 使 用 低 权 限 用 户 帐 户 进 行 攻 击 。 从 以 下 M i c r o s o f t   D e f e n d e r 安 全 中 心 界 面 来 看 ， 一 旦 应 用 防 火 墙 规 则 ， 就 不 会 收 到 任 何 事 件 。                                                 ,               " u s s u k 1 w e s t p r o d . b l o b . c o r e . w i n d o w s . n e t "                                                 ,               " u s s a s 1 e a s t p r o d . b l o b . c o r e . w i n d o w s . n e t "                                                 ,               " u s s a s 1 s o u t h e a s t p r o d . b l o b . c o r e . w i n d o w s . n e t "                                                 ,               " u s s a u 1 e a s t p r o d . b l o b . c o r e . w i n d o w s . n e t "                                                 ,               " u s s a u 1 s o u t h e a s t p r o d . b l o b . c o r e . w i n d o w s . n e t "                                                 ) ) |   s u m m a r i z e           C o u n t                                                       =   c o u n t ( )         ,                       R e m o t e U r l                                               =   m a k e _ s e t ( R e m o t e U r l )         ,                       I n i t i a t i n g P r o c e s s C o m m a n d L i n e         =   m a k e _ s e t ( I n i t i a t i n g P r o c e s s C o m m a n d L i n e )                         b y     I n i t i a t i n g P r o c e s s F i l e N a m e |   w h e r e                   C o u n t   >   1 0 |   s o r t             b y     I n i t i a t i n g P r o c e s s F i l e N a m e N e w - N e t F i r e w a l l R u l e   - D i s p l a y N a m e   " B l o c k   4 4 3   M s M p E n g "   - N a m e   " B l o c k   4 4 3   M s M p E n g "   - D i r e c t i o n   O u t b o u n d   - S e r v i c e   W i n D e f e n d   - E n a b l e d   T r u e   - R e m o t e P o r t   4 4 3   - P r o t o c o l   T C P   - A c t i o n   B l o c k N e w - N e t F i r e w a l l R u l e   - D i s p l a y N a m e   " B l o c k   4 4 3   S e n s e C n c P r o x y "   - N a m e   " B l o c k   4 4 3   S e n s e C n c P r o x y "   - D i r e c t i o n   O u t b o u n d   - P r o g r a m   " % P r o g r a m F i l e s % W i n d o w s   D e f e n d e r   A d v a n c e d   T h r e a t   P r o t e c t i o n S e n s e C n c P r o x y . e x e " N e w - N e t F i r e w a l l R u l e   - D i s p l a y N a m e   " B l o c k   4 4 3   M s S e n s e "   - N a m e   " B l o c k   4 4 3   M s S e n s e "   - D i r e c t i o n   O u t b o u n d   - P r o g r a m   " % P r o g r a m F i l e s % W i n d o w s   D e f e n d e r   A d v a n c e d   T h r e a t   P r o t e c t i o n M s S e n s e . e x e "
但 是 ， 似 乎 所 有 事 件 都 在 本 地 缓 存 ， 因 此 一 旦 删 除 防 火 墙 规 则 ， 事 件 和 警 报 将 开 始 显 示 在 M i c r o s o f t   D e f e n d e r   S e c u r i t y   C e n t e r 中 。 精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理