搜索

[18256] 2021-01-10_Windows权限维持技巧之隐藏服务

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2021-01-10_Windows权限维持技巧之隐藏服务 W i n d o w s 权 限 维 持 技 巧 之 隐 藏 服 务 Q u e e n _ S e a _ S u r f e r   H A C K 之 道   2 0 2 1 - 0 1 - 1 0 0 x 0 1 注 册 服 务 注 册 服 务 将 后 门 注 册 为 w i n d o w s 自 启 动 服 务 是 常 见 的 后 门 维 持 手 法 ， 使 用 命 令 s c 或 者 p o w e r s h e l l 命 令 都 可 以 将 自 己 的 后 门 程 序 注 册 为 自 启 动 服 务 。 使 用 s c 命 令 将 后 门 程 序 注 册 为 自 启 动 服 务 ， 并 以 L o c a l S y s t e m 的 身 份 运 行 ： 手 动 启 动 服 务 或 重 启 计 算 机 ， 后 门 执 行 。 虽 然 手 动 执 行 时 提 示 启 动 失 败 ， 但 实 际 上 后 门 已 经 成 功 执 行 ： m s f 成 功 建 立 新 会 话 ， 查 看 权 限 为 s y s t e m 虽 然 成 功 实 现 了 服 务 自 启 动 ， 但 是 这 个 权 限 维 持 的 方 法 很 容 易 被 检 测 。 因 为 创 建 新 的 服 务 后 可 以 检 索 到 这 个 服 务 ， 如 果 防 御 者 看 到 名 字 不 熟 悉 的 服 务 就 会 怀 疑 这 是 恶 意 的 服 务 。 通 过 s c 命 令 或 者 g e t - s e r v i c e 命 令 可 以 查 看 该 服 务 的 信 息 。 使 用 s c 查 看 指 定 名 字 的 服 务 信 息 状 态 ：
或 使 用 s c 命 令 查 看 服 务 的 配 置 信 息 ， 后 门 文 件 直 接 保 留 ： 使 用 p o w e r s h e l l 中 的 g e t - s e r v i c e   也 可 以 查 看 服 务 信 息 0 x 0 2   隐 藏 服 务 隐 藏 服 务 为 了 不 被 防 御 者 发 现 用 于 权 限 维 持 的 服 务 ， 可 以 考 虑 将 服 务 隐 藏 。 J o s h u a   W r i g h t 提 供 了 一 种 方 法 ， 通 过 S D D L ( 安 全 描 述 符 语 言 ) 修 改 服 务 的 安 全 描 述 符 ， 文 章 附 在 文 末 的 参 考 文 献 中 。 W i n d o w s 系 统 中 服 务 和 文 件 一 样 ， 都 使 用 了 安 全 描 述 符 ( S D ) 配 置 该 安 全 对 象 对 于 哪 些 访 问 对 象 都 允 许 哪 些 权 限 。 J o s h u a   W r i g h t 提 供 的 方 法 使 用 s c   命 令 的 s d s e t 模 块 可 以 修 改 服 务 的 安 全 描 述 符 ， 命 令 如 下 : s c . e x e   s d s e t   t e s t   " D : ( D ; ; D C L C W P D T S D ; ; ; I U ) ( D ; ; D C L C W P D T S D ; ; ; S U ) ( D ; ; D C L C W P D T S D ; ; ; B A ) ( A ; ; C C L C S W L O C R R C ; ; ; I U ) ( A ; ; C C L C S W L O C R R C ; ; ; S U ) ( A ; ; C C L C S W R P W P D T L O C R R C ; ; ; S Y ) ( A ; ; C C D C L C S W R P W P D T L O C R S D R C W D W O ; ; ; B A ) S : ( A U ; F A ; C C D C L C S W R P W P D T L O C R S D R C W D W O ; ; ; W D ) "
再 次 使 用 g e t - s e r v i c e 命 令 查 看 服 务 信 息 ， 服 务 不 存 在 使 用 s c . e x e 查 看 服 务 信 息 拒 绝 访 问 使 用 s c . e x e 查 询 所 有 服 务 信 息 并 过 滤 名 为 “ t e s t ” 的 服 务 ， 结 果 为 空 0 x 0 3   原 理 原 理 S D D L W i n d o w s 服 务 支 持 使 用 安 全 描 述 符 定 义 语 言 （ S e c u r i t y   D e s c r i p t o r   D e f i n i t i o n   L a n g u a g e   |   S D D L ） 控 制 服 务 权 限 的 功 能 。 通 过 修 改 S D D L 可 以 修 改 对 象 （ 文 件 或 者 服 务 ） 的 D A C L （ 自 主 访 问 控 制 列 表 ） ， 从 而 修 改 用 户 对 对 象 的 访 问 控 制 。 通 过 对 服 务 的 S D D L 进 行 编 辑 ， 拒 绝 所 有 用 户 对 该 服 务 的 读 取 权 限 ， 即 实 现 服 务 隐 藏 的 效 果 。 S D D L 语 法 ： 符 号 描 述 O :   -     O w n e r G :   -     P r i m a r y   G r o u p D :   -     D i s c r e t i o n a r y   A C L   ( D A C L )   S :   -     S y s t e m   A C L   ( S A C L )  
使 用 p o w e r s h e l l   命 令 查 看 文 件 夹 的 S S D L ： g e t - a c l   [ c : w i n d o w s ]   |   f l A C E   类 型 描 述 A :   -     A c c e s s   A l l o w e d D :   -     A c c e s s   D e n i e d O A :   -   O b j e c t     A c c e s s   A l l o w e d O D :   -   O b j e c t     A c c e s s   D e n i e d A U :   -   S y s t e m   A u i d t A L :   -   S y s t e m   A l a r m O U :   -   S y s t e m   O b j e c t   A u d i t O L :   -   S y s t e m   O b j e c t   A l a r m M L :   -   S y s t e m   M A n d a t o r y   L a b e l 服 务 相 关 符 号 权 限 C C ： -   服 务 配 置 查 询 L C :   -   服 务 状 态 查 询 S W :   -   S E R V I C E _ E N U M E R A T E _ D E P E N D E N T S R P :   -   服 务 启 动 W P :   -   服 务 停 止 D T :   -   服 务 暂 停 D C :   -   服 务 配 置 更 改 S D :   -   删 除 继 承 标 志 位 O I ： -   表 示 该 A C E 可 以 被 子 对 象 继 承 C I ： -   表 示 该 A C E 可 以 被 子 容 器 继 承 I O ： -   仅 作 用 于 子 对 象 N P ： -   仅 被 直 接 子 容 器 继 承 ， 不 继 续 向 下 继 承 对 象 " I U " ： -   交 互 登 陆 用 户 " A U " ： -   认 证 用 户 " S U " ： -   服 务 登 陆 用 户 格 式 ( 允 许 / 拒 绝 ; 继 承 ; 权 限 列 表 ; ; 对 象 )
那 么 分 析 之 前 隐 藏 服 务 的 命 令 ， 隐 藏 服 务 主 要 用 到 的 S D D L 为 ： 组 策 略 实 现 服 务 隐 藏 组 策 略 实 现 服 务 隐 藏 在 了 解 了 原 理 之 后 ， 发 现 实 际 隐 藏 服 务 的 操 作 实 际 是 修 改 服 务 权 限 ， 使 服 务 对 所 有 用 户 的 查 询 等 权 限 拒 绝 。 在 【 组 策 略 管 理 编 辑 器 - > 计 算 机 配 置 - > 策 略 - > W i n d o w s 配 置 - > 安 全 设 置 - > 系 统 服 务 】 中 同 样 可 以 修 改 服 务 的 权 限 通 过 组 策 略 编 辑 器 取 消 所 有 用 户 对 服 务 D H C P   C l i e n t   服 务 的 读 取 权 限 D : ( D ; ; D C L C W P D T S D ; ; ; I U )     / / 拒 绝 交 互 登 陆 用 户 的 服 务 配 置 、 查 询 、 状 态 查 询 、 暂 停 和 删 除 权 限 ( D ; ; D C L C W P D T S D ; ; ; S U )         / / 拒 绝 登 陆 用 户 的 服 务 配 置 、 查 询 、 状 态 查 询 、 暂 停 和 删 除 权 限 ( D ; ; D C L C W P D T S D ; ; ; B A )         / / 拒 绝 认 证 用 户 的 服 务 配 置 、 查 询 、 状 态 查 询 、 暂 停 和 删 除 权 限
使 用 g e t - s e r v i c e   查 看 D H C P   C l i e n t   查 看 该 服 务 ， 发 现 服 务 不 存 在 0 x 0 4   防 御 防 御 在 通 过 本 文 的 方 法 隐 藏 后 ， 下 列 方 法 都 无 法 查 询 到 服 务 的 信 息 如 果 事 先 知 道 服 务 的 名 称 并 拥 有 服 务 停 止 权 限 ， 使 用 G e t - S e r v i c e 停 止 服 务 会 提 示 无 法 打 开 如 果 服 务 不 存 在 ， 则 停 止 服 务 时 会 提 示 服 务 不 存 在 P S   C : W I N D O W S s y s t e m 3 2 >   G e t - S e r v i c e   |   S e l e c t - O b j e c t   N a m e   |   S e l e c t - S t r i n g   - P a t t e r n   ' t e s t ' P S   C : W I N D O W S s y s t e m 3 2 >   G e t - W m i O b j e c t   W i n 3 2 _ S e r v i c e   |   S e l e c t - S t r i n g   - P a t t e r n   ' t e s t ' P S   C : W I N D O W S s y s t e m 3 2 > s c . e x e   q u e r y   |   S e l e c t - S t r i n g   - P a t t e r n   ' t e s t '
或 使 用 s c 查 询 服 务 信 息 ， 会 提 示 没 有 权 限 但 是 使 用 s c 查 询 服 务 配 置 信 息 可 以 查 到 ， 因 为 没 有 拒 绝 用 户 的 服 务 配 置 查 询 权 限 上 述 方 法 还 拒 绝 了 停 止 权 限 ， 因 此 无 法 停 止 ， 但 依 然 会 提 示 与 服 务 相 关 的 信 息 所 以 为 了 更 好 的 隐 藏 服 务 信 息 ， 可 以 对 上 述 方 法 的 S D D L 进 行 更 改 ， 增 加 查 询 服 务 配 置 信 息 拒 绝 项 （ C C ） ： 0 x 0 5   还 原 还 原 s c . e x e   s d s e t   t e s t   " D : ( D ; ; D C L C W P D T S D C C ; ; ; I U ) ( D ; ; D C L C W P D T S D C C ; ; ; S U ) ( D ; ; D C L C W P D T S D C C ; ; ; B A ) ( A ; ; C C L C S W L O C R R C ; ; ; I U ) ( A ; ; C C L C S W L O C R R C ; ; ; S U ) ( A ; ; C C L C S W R P W P D T L O C R R C ; ; ; S Y ) ( A ; ; C C D C L C S W R P W P D T L O C R S D R C W D W O ; ; ; B A ) S : ( A U ; F A ; C C D C L C S W R P W P D T L O C R S D R C W D W O ; ; ; W D ) "
通 过 删 除 拒 绝 相 关 的 S D D L 语 句 ， 即 可 让 服 务 正 常 被 查 询 0 x 0 6   参 考 文 章 参 考 文 章 h t t p s : / / c q u r e a c a d e m y . c o m / b l o g / w i n d o w s - i n t e r n a l s / s d d l h t t p s : / / w w w . s a n s . o r g / b l o g / r e d - t e a m - t a c t i c s - h i d i n g - w i n d o w s - s e r v i c e s / 作 者 ： Q u e e n _ s e a _ s u r f e r ， 文 章 来 源 ： F r e e B u f 关 注 公 众 号 关 注 公 众 号 : H A C K 之 道 之 道 如 文 章 对 你 有 帮 助 ， 请 支 持 点 下 “ 赞 ” “ 在 看 ” 阅 读 原 文 &   $ e n v : S y s t e m R o o t S y s t e m 3 2 s c . e x e   s d s e t   a u t o _ c a l c   " D : ( A ; ; C C L C S W R P W P D T L O C R R C ; ; ; S Y ) ( A ; ; C C D C L C S W R P W P D T L O C R S D R C W D W O ; ; ; B A ) ( A ; ; C C L C S W L O C R R C ; ; ; I U ) ( A ; ; C C L C S W L O C R R C ; ; ; S U ) S : ( A U ; F A ; C C D C L C S W R P W P D T L O C R S D R C W D W O ; ; ; W D ) "
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理