搜索

[17136] 2021-08-11_使用WFH搜索Windows可执行程序中的常见漏洞或功能

文档创建者：s7ckTeam
浏览次数：35
最后更新：2025-01-18
2021-08-11_使用WFH搜索Windows可执行程序中的常见漏洞或功能 使 用 W F H 搜 索 W i n d o w s 可 执 行 程 序 中 的 常 见 漏 洞 或 功 能 A l p h a _ h 4 c k   F r e e B u f   2 0 2 1 - 0 8 - 1 1 关 于 关 于 W F H W F H ， 全 名 为 W i n d o w s   F e a t u r e   H u n t e r ， 即 W i n d o w s 功 能 搜 索 工 具 ， 该 工 具 基 于 P y t h o n 开 发 ， 使 用 F r i d a 实 现 其 功 能 ， 可 以 帮 助 广 大 研 究 人 员 搜 索 和 识 别 W i n d o w s 可 执 行 程 序 中 的 常 见 安 全 漏 洞 以 及 功 能 。 当 前 版 本 的 W F H 能 够 自 动 识 别 动 态 链 接 库 D L L 中 潜 在 的 侧 加 载 问 题 以 及 组 件 对 象 模 型 C O M 中 劫 持 攻 击 的 实 现 可 能 。 D L L 侧 加 载 利 用 勒 W i n d o w s 中 W i n S X S 程 序 集 来 从 S X S 列 表 中 加 载 恶 意 D L L 文 件 。 C O M 劫 持 将 允 许 攻 击 者 置 入 恶 意 代 码 ， 而 这 些 代 码 将 能 够 通 过 劫 持 C O M 引 用 和 关 系 代 替 合 法 软 件 的 执 行 。 W F H 可 以 输 出 潜 在 的 安 全 漏 洞 ， 并 将 目 标 W i n d o w s 可 执 行 文 件 中 的 潜 在 漏 洞 相 关 信 息 写 入 至 C S V 文 件 中 。 工 具 安 装 工 具 安 装 首 先 ，   广 大 研 究 人 员 需 要 使 用 下 列 命 令 将 该 项 目 源 码 克 隆 至 本 地 ： 然 后 运 行 下 列 命 令 安 装 和 配 置 相 关 依 赖 组 件 ： 工 具 帮 助 信 息 工 具 帮 助 信 息 g i t   c l o n e   h t t p s : / / g i t h u b . c o m / C o n s c i o u s H a c k e r / W F H p i p   i n s t a l l   - r   r e q u i r e m e n t s . t x t P S   C : T o o l s W F H   >   p y t h o n   . w f h . p y   - h u s a g e :   w f h . p y   [ - h ]   - t   T   [ T   . . . ]   - m   { d l l , c o m }   [ - v ]   [ - t i m e o u t   T I M E O U T ] W i n d o w s   F e a t u r e   H u n t e r o p t i o n a l   a r g u m e n t s :     - h ,   - - h e l p                         s h o w   t h i s   h e l p   m e s s a g e   a n d   e x i t     - t   T   [ T   . . . ] ,   - t a r g e t s   T   [ T   . . . ]                                                 l i s t   o f   t a r g e t   w i n d o w s   e x e c u t a b l e s     - m   { d l l , c o m } ,   - m o d e   { d l l , c o m }                                                 v u l n e r a b i l i t i e s   t o   p o t e n t i a l l y   i d e n t i f y     - v ,   - v e r b o s e                     v e r b o s e   o u t p u t   f r o m   F r i d a   i n s t r u m e n t a t i o n     - t i m e o u t   T I M E O U T             t i m e o u t   v a l u e   f o r   F r i d a   i n s t r u m e n t a t i o n E X A M P L E   U S A G E         N O T E :   I t   i s   r e c o m m e n d e d   t o   c o p y   t a r g e t   b i n a r i e s   t o   t h e   s a m e   d i r e c t o r y   a s   w f h   f o r   i d e n t i f y i n g   D L L   S i d e l o a d i n g         D L L   S i d e l o a d i n g   I d e n t i f i c a t i o n   ( S i n g l e ) :                 p y t h o n   w f h . p y   - t   . m s p a i n t . e x e   - m   d l l         D L L   S i d e l o a d i n g   I d e n t i f i c a t i o n   ( V e r b o s e ) :               p y t h o n   w f h . p y   - t   . m s p a i n t . e x e   - m   d l l   - v         D L L   S i d e l o a d i n g   I d e n t i f i c a t i o n   ( T i m e o u t   3 0 s ) :       p y t h o n   w f h . p y   - t   . m s p a i n t . e x e   - m   d l l   - t i m e o u t   3 0         D L L   S i d e l o a d i n g   I d e n t i f i c a t i o n   ( W i l d c a r d ) :             p y t h o n   w f h . p y   - t   *   - m   d l l         D L L   S i d e l o a d i n g   I d e n t i f i c a t i o n   ( L i s t ) :                     p y t h o n   w f h . p y   - t   . m s p a i n t . e x e   . c h a r m a p . e x e   - m   d l l         C O M   H i j a c k i n g   I d e n t i f i c a t i o n   ( S i n g l e ) :                     p y t h o n   w f h . p y   - t   " C : P r o g r a m   F i l e s I n t e r n e t   E x p l o r e r i e x p l o r e . e x e "   - m   c o m         C O M   H i j a c k i n g   I d e n t i f i c a t i o n   ( V e r b o s e ) :                   p y t h o n   w f h . p y   - t   " C : P r o g r a m   F i l e s I n t e r n e t   E x p l o r e r i e x p l o r e . e x e "   - m   c o m   - v         C O M   H i j a c k i n g   I d e n t i f i c a t i o n   ( T i m e o u t   6 0 s ) :           p y t h o n   w f h . p y   - t   " C : P r o g r a m   F i l e s I n t e r n e t   E x p l o r e r i e x p l o r e . e x e "   - m   c o m   - t i m e o u t   6 0         C O M   H i j a c k i n g   I d e n t i f i c a t i o n   ( W i l d c a r d ) :                 p y t h o n   w f h . p y   - t   *   - m   c o m   - v C O M   H i j a c k i n g   I d e n t i f i c a t i o n   ( L i s t ) :                         p y t h o n   w f h . p y   - t   " C : P r o g r a m   F i l e s I n t e r n e t   E x p l o r e r i e x p l o r e . e x e "   " C : W i n d o w s S y s t e m 3 2 n o t e p a d . e x e "   - m   c o m   - v
工 具 使 用 工 具 使 用 D L L 侧 加 载 识 别 侧 加 载 识 别 首 先 ， 我 们 需 要 将 需 要 分 析 的 代 码 拷 贝 至 W F H 工 具 所 在 的 目 录 下 ， 然 后 按 照 下 列 命 令 执 行 扫 描 分 析 ： 接 下 来 ， 我 们 就 可 以 使 用 W F H 来 对 目 标 代 码 进 行 分 析 ， 并 尝 试 识 别 其 中 的 D L L 侧 加 载 机 会 ： P S   C : T o o l s W F H   >   c o p y   C : W i n d o w s S y s t e m 3 2 m s p a i n t . e x e   . P S   C : T o o l s W F H   >   c o p y   C : W i n d o w s S y s t e m 3 2 c h a r m a p . e x e   . P S   C : T o o l s W F H   >   d i r         D i r e c t o r y :   C : T o o l s W F H M o d e                                   L a s t W r i t e T i m e                   L e n g t h   N a m e - - - -                                   - - - - - - - - - - - - -                   - - - - - -   - - - - d - - - - -                   5 / 1 4 / 2 0 2 1       2 : 1 2   P M                                 . v s c o d e - a - - - -                     5 / 6 / 2 0 2 1       2 : 3 9   P M                       1 9 2 8   . g i t i g n o r e - a - - - -                   1 2 / 7 / 2 0 1 9       2 : 0 9   A M                   1 9 8 6 5 6   c h a r m a p . e x e - a - - - -                   5 / 1 8 / 2 0 2 1       7 : 3 9   A M                       6 6 0 3   l o a d l i b r a r y . j s - a - - - -                     4 / 7 / 2 0 2 1     1 2 : 4 8   P M                   9 8 8 1 6 0   m s p a i n t . e x e - a - - - -                   5 / 1 8 / 2 0 2 1       7 : 5 3   A M                       8 7 0 5   R E A D M E . m d - a - - - -                   5 / 1 7 / 2 0 2 1     1 1 : 2 7   A M                       5 9 4 8   r e g i s t r y . j s - a - - - -                     5 / 6 / 2 0 2 1       2 : 4 1   P M                           1 1   r e q u i r e m e n t s . t x t - a - - - -                   5 / 1 8 / 2 0 2 1       8 : 3 5   A M                     1 0 6 2 3   w f h . p y P S   C : T o o l s W F H   >   p y t h o n   . w f h . p y   - t   *   - m   d l l = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = R u n n i n g   F r i d a   a g a i n s t   c h a r m a p . e x e - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -                 [ + ]   P o t e n t i a l   D l l M a i n   S i d e l o a d i n g :   L o a d L i b r a r y W , L P C W S T R :   M S F T E D I T . D L L                 [ + ]   P o t e n t i a l   D l l M a i n   S i d e l o a d i n g :   L o a d L i b r a r y E x W , L P C W S T R   :   M S F T E D I T . D L L ,   d w F l a g s   :   N O N E [ * ]   W r i t i n g   r a w   F r i d a   i n s t r u m e n t a t i o n   t o   c h a r m a p . e x e - r a w . l o g [ * ]   W r i t i n g   P o t e n t i a l   D L L   S i d e l o a d i n g   t o   c h a r m a p . e x e - s i d e l o a d . l o g - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = R u n n i n g   F r i d a   a g a i n s t   m s p a i n t . e x e - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -                 [ + ]   P o t e n t i a l   D l l M a i n   S i d e l o a d i n g :   L o a d L i b r a r y E x W , L P C W S T R   :   g d i p l u s . d l l ,   d w F l a g s   :   N O N E                 [ - ]   P o t e n t i a l   D l l E x p o r t   S i d e l o a d i n g :   G e t P r o c A d d r e s s , h M o d u l e   :   C : W I N D O W S W i n S x S a m d 6 4 _ m i c r o s o f t . w i n d o w s . g d i p l u s _ 6 5 9 5 b 6 4 1 4 4 c c f 1 d f _ 1 . 1 . 1 9 0 4 1 . 7 8 9 _ n o n e _ f a f 0 a 7 e 9 7 6 1 2 e 7 b b g d i p l u s . d l l ,   L P C S T R :   G d i p l u s S t a r t u p                 [ + ]   P o t e n t i a l   D l l M a i n   S i d e l o a d i n g :   L o a d L i b r a r y W , L P C W S T R :   M S F T E D I T . D L L                 [ + ]   P o t e n t i a l   D l l M a i n   S i d e l o a d i n g :   L o a d L i b r a r y E x W , L P C W S T R   :   M S F T E D I T . D L L ,   d w F l a g s   :   N O N E
如 果 你 想 让 W F H 输 出 更 多 详 细 内 容 ， 可 以 使 用 “ - v ” 参 数 开 启 V e r b o s e 模 式 。 此 时 将 能 够 查 看 W i n d o w s   A P I 调 用 的 详 细 情 况 ： [ * ]   W r i t i n g   r a w   F r i d a   i n s t r u m e n t a t i o n   t o   m s p a i n t . e x e - r a w . l o g [ * ]   W r i t i n g   P o t e n t i a l   D L L   S i d e l o a d i n g   t o   m s p a i n t . e x e - s i d e l o a d . l o g - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = [ * ]   W r i t i n g   d l l   r e s u l t s   t o   d l l _ r e s u l t s . c s v P S   C : T o o l s W F H   >   t y p e   . d l l _ r e s u l t s . c s v E x e c u t a b l e , W i n A P I , D L L , E n t r y P o i n t   /   W i n A P I   A r g s c h a r m a p . e x e , L o a d L i b r a r y W , L P C W S T R :   M S F T E D I T . D L L c h a r m a p . e x e , L o a d L i b r a r y E x W , L P C W S T R   :   M S F T E D I T . D L L ,   d w F l a g s   :   N O N E m s p a i n t . e x e , L o a d L i b r a r y E x W , L P C W S T R   :   g d i p l u s . d l l ,   d w F l a g s   :   N O N E m s p a i n t . e x e , G e t P r o c A d d r e s s , h M o d u l e   :   C : W I N D O W S W i n S x S a m d 6 4 _ m i c r o s o f t . w i n d o w s . g d i p l u s _ 6 5 9 5 b 6 4 1 4 4 c c f 1 d f _ 1 . 1 . 1 9 0 4 1 . 7 8 9 _ n o n e _ f a f 0 a 7 e 9 7 6 1 2 e 7 b b g d i p l u s . d l l ,   L P C S T R :   G d i p l u s S t a r t u p m s p a i n t . e x e , L o a d L i b r a r y W , L P C W S T R :   M S F T E D I T . D L L m s p a i n t . e x e , L o a d L i b r a r y E x W , L P C W S T R   :   M S F T E D I T . D L L ,   d w F l a g s   :   N O N E P S   C : T o o l s W F H   >   p y t h o n   . w f h . p y   - t   *   - m   d l l   - v = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = R u n n i n g   F r i d a   a g a i n s t   c h a r m a p . e x e { ' t y p e ' :   ' s e n d ' ,   ' p a y l o a d ' :   ' L o a d L i b r a r y W , L P C W S T R :   M S F T E D I T . D L L ' } { ' t y p e ' :   ' s e n d ' ,   ' p a y l o a d ' :   ' L o a d L i b r a r y E x W , L P C W S T R   :   M S F T E D I T . D L L ,   d w F l a g s   :   N O N E ' } - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -                 [ + ]   P o t e n t i a l   D l l M a i n   S i d e l o a d i n g :   L o a d L i b r a r y W , L P C W S T R :   M S F T E D I T . D L L                 [ + ]   P o t e n t i a l   D l l M a i n   S i d e l o a d i n g :   L o a d L i b r a r y E x W , L P C W S T R   :   M S F T E D I T . D L L ,   d w F l a g s   :   N O N E [ * ]   W r i t i n g   r a w   F r i d a   i n s t r u m e n t a t i o n   t o   c h a r m a p . e x e - r a w . l o g [ * ]   W r i t i n g   P o t e n t i a l   D L L   S i d e l o a d i n g   t o   c h a r m a p . e x e - s i d e l o a d . l o g - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = R u n n i n g   F r i d a   a g a i n s t   m s p a i n t . e x e { ' t y p e ' :   ' s e n d ' ,   ' p a y l o a d ' :   ' L o a d L i b r a r y E x W , L P C W S T R   :   g d i p l u s . d l l ,   d w F l a g s   :   N O N E ' } { ' t y p e ' :   ' s e n d ' ,   ' p a y l o a d ' :   ' G e t P r o c A d d r e s s , h M o d u l e   :   C : W I N D O W S W i n S x S a m d 6 4 _ m i c r o s o f t . w i n d o w s . g d i p l u s _ 6 5 9 5 b 6 4 1 4 4 c c f 1 d f _ 1 . 1 . 1 9 0 4 1 . 7 8 9 _ n o n e _ f a f 0 a 7 e 9 7 6 1 2 e 7 b b g d i p l u s . d l l ,   L P C S T R :   G d i p l u s S t a r t u p ' { ' t y p e ' :   ' s e n d ' ,   ' p a y l o a d ' :   ' L o a d L i b r a r y W , L P C W S T R :   M S F T E D I T . D L L ' } { ' t y p e ' :   ' s e n d ' ,   ' p a y l o a d ' :   ' L o a d L i b r a r y E x W , L P C W S T R   :   M S F T E D I T . D L L ,   d w F l a g s   :   N O N E ' } - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -                 [ + ]   P o t e n t i a l   D l l M a i n   S i d e l o a d i n g :   L o a d L i b r a r y E x W , L P C W S T R   :   g d i p l u s . d l l ,   d w F l a g s   :   N O N E                 [ - ]   P o t e n t i a l   D l l E x p o r t   S i d e l o a d i n g :   G e t P r o c A d d r e s s , h M o d u l e   :   C : W I N D O W S W i n S x S a m d 6 4 _ m i c r o s o f t . w i n d o w s . g d i p l u s _ 6 5 9 5 b 6 4 1 4 4 c c f 1 d f _ 1 . 1 . 1 9 0 4 1 . 7 8 9 _ n o n e _ f a f 0 a 7 e 9 7 6 1 2 e 7 b b g d i p l u s . d l l ,   L P C S T R :   G d i p l u s S t a r t u p                 [ + ]   P o t e n t i a l   D l l M a i n   S i d e l o a d i n g :   L o a d L i b r a r y W , L P C W S T R :   M S F T E D I T . D L L                 [ + ]   P o t e n t i a l   D l l M a i n   S i d e l o a d i n g :   L o a d L i b r a r y E x W , L P C W S T R   :   M S F T E D I T . D L L ,   d w F l a g s   :   N O N E [ * ]   W r i t i n g   r a w   F r i d a   i n s t r u m e n t a t i o n   t o   m s p a i n t . e x e - r a w . l o g [ * ]   W r i t i n g   P o t e n t i a l   D L L   S i d e l o a d i n g   t o   m s p a i n t . e x e - s i d e l o a d . l o g
C O M 劫 持 识 别 劫 持 识 别 工 具 使 用 样 例 工 具 使 用 样 例 原 生 原 生 W i n d o w s 签 名 代 码 签 名 代 码 将 所 有 的 原 生 W i n d o w s 签 名 代 码 拷 贝 至 W F H 脚 本 所 在 目 录 ： 搜 索 搜 索 D L L 侧 加 载 机 会 侧 加 载 机 会 搜 索 搜 索 C O M 劫 持 机 会 劫 持 机 会 项 目 地 址 项 目 地 址 W F H ： ： 【 点 击 文 末 阅 读 原 文 】 精 彩 推 荐 精 彩 推 荐 [ * ]   W r i t i n g   P o t e n t i a l   D L L   S i d e l o a d i n g   t o   m s p a i n t . e x e - s i d e l o a d . l o g - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = [ * ]   W r i t i n g   d l l   r e s u l t s   t o   d l l _ r e s u l t s . c s v P S   C : T o o l s W F H   >   p y t h o n   . w f h . p y   - t   " C : P r o g r a m   F i l e s I n t e r n e t   E x p l o r e r i e x p l o r e . e x e "   - m   c o m = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = R u n n i n g   F r i d a   a g a i n s t   C : P r o g r a m   F i l e s I n t e r n e t   E x p l o r e r i e x p l o r e . e x e - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -                 [ + ]   P o t e n t i a l   C O M   H i j a c k :   P a t h   :   H K E Y _ L O C A L _ M A C H I N E S o f t w a r e C l a s s e s C L S I D { 0 E 5 A A E 1 1 - A 4 7 5 - 4 C 5 B - A B 0 0 - C 6 6 D E 4 0 0 2 7 4 E } I n P r o c S e r v e r * 3 2 , l p V a l u e N a m e   :   n u l l , T y p e   :   R E G _ E X P A N D _ S Z ,   V a l u e   :   % S y s t e m R o o t % s y s t e m 3 2 W i n d o w s . S t o r a g e . d l l                 [ + ]   P o t e n t i a l   C O M   H i j a c k :   P a t h   :   H K E Y _ C L A S S E S _ R O O T C L S I D { 1 F D 4 9 7 1 8 - 1 D 0 0 - 4 B 1 9 - A F 5 F - 0 7 0 A F 6 D 5 D 5 4 C } I n P r o c S e r v e r * 3 2 , l p V a l u e N a m e   :   n u l l , T y p e   :   R E G _ S Z ,   V a l u e   :   C : P r o g r a m   F i l e s [ * ]   W r i t i n g   r a w   F r i d a   i n s t r u m e n t a t i o n   t o   . i e x p l o r e . e x e - r a w . l o g [ * ]   W r i t i n g   P o t e n t i a l   C O M   H i j a c k   t o   . i e x p l o r e . e x e - c o m h i j a c k . l o g - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = [ * ]   W r i t i n g   d l l   r e s u l t s   t o   c o m h i j a c k _ r e s u l t s . c s v G e t - C h i l d I t e m   c :   - F i l e   |   F o r E a c h - O b j e c t   {   i f ( $ _   - m a t c h   ' . + ? e x e $ ' )   { G e t - A u t h e n t i c o d e S i g n a t u r e   $ _ . f u l l n a m e }   }   |   w h e r e   { $ _ . I s O S B i n a r y }   |   F o r E a c h - O b j e c t   { C o p y - I t e m   $ _ . p a t h   .   } p y t h o n   w f h . p y   - t   *   - m   d l l p y t h o n   w f h . p y   - t   *   - m   c o m
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理