搜索

[1867] 2020-11-16_基于smb协议的wmiexec浅析

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-16
2020-11-16_基于smb协议的wmiexec浅析 基 于 s m b 协 议 的 w m i e x e c 浅 析 r v 0 p 1 1 1   D a y 1 安 全 团 队   2 0 2 0 - 1 1 - 1 6 前 言 之 前 研 究 过 之 前 研 究 过 C r a c k m a p e x e c 这 款 工 具 ， 对 这 个 工 具 基 于 这 款 工 具 ， 对 这 个 工 具 基 于 s m b 协 议 的 协 议 的 w m i e x e c 执 行 方 法 产 生 的 流 量 进 行 了 分 析 ， 网 上 似 乎 执 行 方 法 产 生 的 流 量 进 行 了 分 析 ， 网 上 似 乎 还 没 有 相 关 的 文 章 ， 这 里 旨 在 抛 砖 引 玉 ， 简 单 梳 理 下 整 个 过 程 ， 以 初 学 者 的 视 角 ， 探 索 流 量 当 中 存 在 的 奥 妙 之 处 。 还 没 有 相 关 的 文 章 ， 这 里 旨 在 抛 砖 引 玉 ， 简 单 梳 理 下 整 个 过 程 ， 以 初 学 者 的 视 角 ， 探 索 流 量 当 中 存 在 的 奥 妙 之 处 。 前 序 知 识 O P C 协 议 O P C 协 议 ： O P C 是 一 种 利 用 微 软 的 C O M / D C O M 技 术 来 达 成 自 动 化 控 制 的 协 定 ， 采 用 典 型 的 C / S 模 式 ， 针 对 硬 件 设 备 的 驱 动 程 序 由 硬 件 厂 商 完 成 ， 提 供 统 一 O P C 接 口 标 准 的 S e r v e r 程 序 ， 软 件 厂 商 只 需 按 照 O P C 标 准 接 口 编 写 C l i e n t 程 序 就 访 问 S e r v e r 程 序 进 行 读 写 ， 即 可 实 现 与 硬 件 设 备 的 通 信 。 与 大 多 数 应 用 层 协 议 不 同 ， O P C 的 基 础 协 议 D C O M 协 议 使 用 动 态 端 口 机 制 ， 在 真 正 建 立 数 据 连 接 之 前 通 讯 双 方 还 需 要 协 商 需 要 使 用 的 端 口 。 用 一 张 网 上 的 图 来 表 示 下 ： 用 一 张 网 上 的 图 来 表 示 下 ：
上 图 中 ， 上 图 中 ， O P C 客 户 端 使 用 客 户 端 使 用 5 5 6 8 作 为 源 端 口 首 先 向 作 为 源 端 口 首 先 向 O P C 服 务 器 的 服 务 器 的 1 3 5 端 口 发 起 连 接 ， 连 接 成 功 后 再 经 过 端 口 发 起 连 接 ， 连 接 成 功 后 再 经 过 O P C 服 务 器 分 配 服 务 器 分 配 新 端 口 新 端 口 1 1 1 8 ， 并 通 过 接 口 ， 并 通 过 接 口 I S y s t e m A c t i v a t o r 的 方 法 的 方 法 R e m o t e C r e a t e I n s t a n c e 的 应 答 报 文 返 回 给 客 户 端 ， 之 后 客 户 端 使 用 的 应 答 报 文 返 回 给 客 户 端 ， 之 后 客 户 端 使 用 5 5 6 9 作 为 源 端 口 向 服 务 器 的 作 为 源 端 口 向 服 务 器 的 1 1 1 8 端 口 发 起 新 的 连 接 用 来 后 面 的 真 正 数 据 的 传 输 。 为 什 么 会 是 这 个 流 程 那 是 因 为 在 端 口 发 起 新 的 连 接 用 来 后 面 的 真 正 数 据 的 传 输 。 为 什 么 会 是 这 个 流 程 那 是 因 为 在 W i n d o w s 当 中 有 一 个 运 行 在 当 中 有 一 个 运 行 在 1 3 5 端 口 的 端 口 的 r p c s s 服 务 也 就 是 服 务 也 就 是 d c o m 的 激 活 服 务 负 责 协 调 本 机 所 有 的 激 活 服 务 负 责 协 调 本 机 所 有 c o m 对 象 的 激 活 对 象 的 激 活 , 当 本 机 激 活 当 本 机 激 活
时 采 用 通 过 内 核 通 信 时 采 用 通 过 内 核 通 信 , 无 法 捕 获 数 据 包 无 法 捕 获 数 据 包 , 属 于 内 部 操 作 属 于 内 部 操 作 , 只 有 当 远 程 激 活 或 远 程 重 定 向 到 本 机 激 活 这 种 方 式 才 可 以 捕 获 只 有 当 远 程 激 活 或 远 程 重 定 向 到 本 机 激 活 这 种 方 式 才 可 以 捕 获 到 数 据 包 到 数 据 包 . 远 程 激 活 有 远 程 激 活 有 2 种 方 式 种 方 式 , 一 种 是 采 用 一 种 是 采 用 C o C r e a t e I n s t a n c e E x 方 式 指 定 远 程 服 务 器 和 激 活 身 份 等 参 数 调 用 方 式 指 定 远 程 服 务 器 和 激 活 身 份 等 参 数 调 用 r p s c s s 的 的 I R e m o t e S C M A c t i v a t o r 接 口 的 接 口 的 R e m o t e C r e a t e I n s t a n c e 方 法 激 活 方 法 激 活 , 或 者 或 者 C o G e t C l a s s O b j e c t 等 于 调 用 等 于 调 用 r p s c s s 的 的 I R e m o t e S C M A c t i v a t o r 接 口 的 接 口 的 R e m o t e G e t C l a s s O b j e c t 方 法 激 活 同 样 可 选 指 定 远 程 服 务 器 和 激 活 身 份 等 参 数 ， 这 里 就 是 方 法 激 活 同 样 可 选 指 定 远 程 服 务 器 和 激 活 身 份 等 参 数 ， 这 里 就 是 采 取 了 调 用 采 取 了 调 用 r p s c s s 的 的 I R e m o t e S C M A c t i v a t o r 接 口 的 接 口 的 R e m o t e C r e a t e I n s t a n c e 方 法 激 活 的 方 式 方 法 激 活 的 方 式 D C E R P C R P C 是 一 种 编 程 模 型 ， 主 要 用 于 应 用 程 序 实 现 远 程 过 程 调 用 ， 微 软 的 D C E P R C 即 是 对 远 程 过 程 调 用 的 一 种 实 现 和 扩 展 ， 实 际 上 W i n d o w s 上 的 很 多 服 务 以 R P C 的 形 式 对 外 提 供 调 用 接 口 ， 外 部 应 用 程 序 可 以 通 过 调 用 这 些 P R C 接 口 来 实 现 对 特 定 服 务 的 访 问 。 D C E R P C 有 多 种 不 同 的 承 载 方 式 ， 如 T C P 、 U D P 、 H T T P 、 S M B 命 名 管 道 等 ， 客 户 端 通 过 不 同 的 承 载 协 议 连 接 到 指 定 的 服 务 端 ， 由 U U I D 绑 定 （ B i n d ） 到 需 要 使 用 的 终 端 接 口 （ e n d p o i n t / i n t e r f a c e ） 上 ， 再 传 递 所 需 参 数 来 调 用 接 口 上 指 定 的 方 法 （ o p e r a t i o n ） ， 服 务 端 随 后 将 执 行 结 果 封 装 到 协 议 数 据 包 中 返 回 。 当 使 用 T C P 作 为 承 载 协 议 时 D C E R P C 的 知 名 端 口 号 为 1 3 5 。 在 在 R P C 中 ， 不 同 的 终 端 定 义 了 各 自 的 一 系 列 操 作 方 法 以 供 被 调 用 ， 这 些 终 端 由 各 自 唯 一 的 中 ， 不 同 的 终 端 定 义 了 各 自 的 一 系 列 操 作 方 法 以 供 被 调 用 ， 这 些 终 端 由 各 自 唯 一 的 U U I D 作 为 标 识 ， 在 作 为 标 识 ， 在 D C E R P C 的 的 B i n d 操 作 中 指 定 操 作 中 指 定 U U I D ， 以 告 诉 服 务 端 使 用 哪 个 终 端 接 口 ， ， 以 告 诉 服 务 端 使 用 哪 个 终 端 接 口 ， T C P 三 次 握 手 连 接 建 立 之 后 ， 例 如 三 次 握 手 连 接 建 立 之 后 ， 例 如 D C E R P C 的 的 绑 定 操 作 中 通 过 指 定 绑 定 操 作 中 通 过 指 定 U U I D 为 为 3 6 7 A B B 8 1 - 9 8 4 4 - 3 5 F 1 - A D 3 2 - 9 8 F 0 3 8 0 0 1 0 0 3 ， 该 ， 该 U U I D 对 应 的 终 端 是 对 应 的 终 端 是 S V C C T L （ （ S e r v i c e C o n t r o l ， 与 服 务 管 理 相 关 的 调 用 ） 。 ， 与 服 务 管 理 相 关 的 调 用 ） 。 S M B 协 议 可 以 由 多 种 命 令 来 承 载 协 议 可 以 由 多 种 命 令 来 承 载 D C E / M S   R P C 层 数 据 ， 同 样 是 层 数 据 ， 同 样 是 1 3 9 、 、 4 4 5 / T C P 上 的 通 信 ， 因 不 同 的 上 的 通 信 ， 因 不 同 的 S M B 命 令 而 导 致 不 命 令 而 导 致 不 同 的 同 的 S M B 层 解 码 。 层 解 码 。 环 境 攻 击 者 ： 攻 击 者 ： M A C - 1 9 2 . 1 6 8 . 5 6 . 1 受 害 者 ： 受 害 者 ： W i n 7 - 1 9 2 . 1 6 8 . 5 6 . 3 执 行 命 令 方 式 s u d o   c m e   s m b   1 9 2 . 1 6 8 . 5 6 . 3   - u   A d m i n i s t r a t o r   - p   ' 1 2 3 4 5 6 '   - - e x e c - m e t h o d   w m i e x e c   - x   w h o a m i 流 量 特 征 简 要 分 析 1 、 、 C r a c k m a p e x e c 基 于 基 于 w m i e x e c 执 行 命 令 ， 首 先 也 是 先 建 立 执 行 命 令 ， 首 先 也 是 先 建 立 s m b 连 接 ， 首 先 攻 击 者 发 送 一 个 连 接 ， 首 先 攻 击 者 发 送 一 个 S M B   n e g o t i a t e p r o t o c o l r e q u e s t 请 求 数 据 包 请 求 数 据 包 在 用 户 级 共 享 ( 与 之 相 对 的 是 共 享 级 共 享 ) 中 " N T L M   0 . 1 2 " 是 首 选 S M B   d i a l e c t ， 也 就 是 N T L M 版 本 为 0 . 1 2 ， 如 果 在 N E G T I A T E   R e q u e s t 中 说 了 ， 我 可 以 支 持 D i a l e c t ： 2 0 2 、 2 1 0 、 3 0 0 、 3 0 2 、 3 1 1 ， 对 应 版 本 即 为 S M B   2 . 0 2   2 . 1   3 . 0   3 . 0 . 2   3 . 1 . 1 在 下 图 当 中 我 们 看 到 首 选 的 确 实 为 在 下 图 当 中 我 们 看 到 首 选 的 确 实 为 N T L M   0 . 1 2
2 、 攻 击 者 机 器 发 起 认 证 协 商 请 求 、 攻 击 者 机 器 发 起 认 证 协 商 请 求 3 、 受 害 者 机 器 发 起 响 应 ， 返 回 一 个 、 受 害 者 机 器 发 起 响 应 ， 返 回 一 个 N T L M   S e r v e r   C h a l l e n g e
4 、 然 后 攻 击 者 机 器 发 送 、 然 后 攻 击 者 机 器 发 送 U s e r   N a m e 、 、 H o s t   N a m e 、 、 D o m a i n   N a m e 和 和 r e s p o n s e 给 受 害 者 机 器 给 受 害 者 机 器 5 、 然 后 服 务 端 返 回 ， 没 有 提 示 出 错 信 息 ， 说 明 成 功 建 立 连 接 了 、 然 后 服 务 端 返 回 ， 没 有 提 示 出 错 信 息 ， 说 明 成 功 建 立 连 接 了
6 、 我 们 会 发 现 它 是 先 进 行 了 、 我 们 会 发 现 它 是 先 进 行 了 s m b   v 1 的 认 证 之 后 ， 然 后 又 进 行 了 的 认 证 之 后 ， 然 后 又 进 行 了 s m b   v 2 的 认 证 的 认 证 7 、 当 攻 击 者 和 受 害 者 完 成 了 磋 商 和 认 证 之 后 ， 它 会 发 送 一 个 、 当 攻 击 者 和 受 害 者 完 成 了 磋 商 和 认 证 之 后 ， 它 会 发 送 一 个 t r e e   c o n n e c t   a n d x   r e r q u e s t   S M B 数 据 报 并 列 出 它 想 访 问 网 数 据 报 并 列 出 它 想 访 问 网 络 资 源 的 名 称 络 资 源 的 名 称
8 、 受 害 者 机 器 会 发 送 一 个 、 受 害 者 机 器 会 发 送 一 个 t r e e   c o n n e c t   a n d x   r e s p o n s e 应 答 数 据 报 以 表 示 此 次 连 接 是 否 被 接 受 或 拒 绝 应 答 数 据 报 以 表 示 此 次 连 接 是 否 被 接 受 或 拒 绝 , 下 图 可 以 看 到 没 下 图 可 以 看 到 没 有 提 示 错 误 ， 说 明 连 接 成 功 有 提 示 错 误 ， 说 明 连 接 成 功 9 、 下 面 是 攻 击 者 去 告 诉 受 害 者 这 台 机 器 ， 它 想 去 连 接 、 下 面 是 攻 击 者 去 告 诉 受 害 者 这 台 机 器 ， 它 想 去 连 接 s v c c t l 服 务 服 务
1 0 、 下 面 是 响 应 内 容 、 下 面 是 响 应 内 容 1 1 、 接 下 来 我 们 的 攻 击 者 机 器 开 始 进 行 、 接 下 来 我 们 的 攻 击 者 机 器 开 始 进 行 D C E R P C 的 绑 定 操 作 ， 通 过 指 定 的 绑 定 操 作 ， 通 过 指 定 U U I D 为 为 3 6 7 A B B 8 1 - 9 8 4 4 - 3 5 F 1 - A D 3 2 - 9 8 F 0 3 8 0 0 1 0 0 3 ， 该 ， 该 U U I D 对 应 的 终 端 是 对 应 的 终 端 是 S V C C T L （ （ S e r v i c e C o n t r o l ， 与 服 务 管 理 相 关 的 调 用 ） ， 与 服 务 管 理 相 关 的 调 用 ）
1 2 、 接 着 我 们 攻 击 者 机 器 收 到 了 、 接 着 我 们 攻 击 者 机 器 收 到 了 B i n d a c k ( 1 2 ) 报 文 ， 但 是 并 不 意 味 着 B I N D 操 作 成 功 ， 要 检 查 A c k   r e s u l t 字 段 ， 解 析 B i n d a c k 报 报 文 时 ， 务 必 判 断 文 时 ， 务 必 判 断 A c k   r e s u l t 字 段 是 否 字 段 是 否 等 于 等 于 A c c e p t a n c e ( 0 ) ， 此 时 意 味 着 ， 此 时 意 味 着 B I N D 操 作 成 功 ， 操 作 成 功 ， B i n d _ a c k ( 1 2 ) 报 文 的 报 文 的 R P C 层 大 小 与 协 议 序 列 有 关 层 大 小 与 协 议 序 列 有 关
1 3 、 绑 定 操 作 完 成 后 ， 将 对 选 用 的 终 端 接 口 执 行 指 定 方 法 调 用 ， 调 用 方 法 通 过 、 绑 定 操 作 完 成 后 ， 将 对 选 用 的 终 端 接 口 执 行 指 定 方 法 调 用 ， 调 用 方 法 通 过 o p n u m 指 定 ， 调 用 指 定 ， 调 用 S V C C T L 中 编 号 为 中 编 号 为 1 5 的 方 法 ， 即 的 方 法 ， 即 O p e n S C M a n a g e r W （ 调 用 参 数 已 经 过 编 码 加 密 ） （ 调 用 参 数 已 经 过 编 码 加 密 ） 1 4 、 然 后 受 害 者 机 器 返 回 相 应 的 响 应 信 息 ， 这 里 还 没 有 用 到 、 然 后 受 害 者 机 器 返 回 相 应 的 响 应 信 息 ， 这 里 还 没 有 用 到 O p e n S C M a n a g e r W 的 返 回 的 句 柄 只 是 流 量 当 中 存 在 这 个 的 返 回 的 句 柄 只 是 流 量 当 中 存 在 这 个 过 程 所 以 做 了 下 分 析 过 程 所 以 做 了 下 分 析
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理