设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [18561] 2021-05-16_红队Windows命名管道
返回列表 发新帖
查看: 1|回复: 0

[18561] 2021-05-16_红队Windows命名管道

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 5 天前 | 显示全部楼层 |阅读模式
2021-05-16_红队Windows命名管道 红 队   |   W i n d o w s 命 名 管 道 原 创   B u f f e r   H A C K 学 习 呀   2 0 2 1 - 0 5 - 1 6 什 么 是 命 名 管 道 什 么 是 命 名 管 道 先 说 什 么 是 管 道 : m s d n 文 档 : 翻 译 就 是 : 管 道 就 是 一 部 份 共 享 内 存 以 便 进 程 可 以 用 来 相 互 通 信 ， 创 建 了 管 道 就 是 一 部 份 共 享 内 存 以 便 进 程 可 以 用 来 相 互 通 信 ， 创 建 了 P i p e 内 核 对 象 的 进 程 就 是 一 个 内 核 对 象 的 进 程 就 是 一 个 P i p e   S e r v e r ,   当 另 一 个 进 程 与 这 个 进 程 创 建 的 当 另 一 个 进 程 与 这 个 进 程 创 建 的 P i p e   S e r v e r 连 接 时 ， 就 称 为 连 接 时 ， 就 称 为 P i p e   C l i e n t . 当 一 个 进 程 往 当 一 个 进 程 往 P i p l e 当 中 写 入 信 息 时 ， 另 一 个 进 程 便 可 以 从 这 个 当 中 写 入 信 息 时 ， 另 一 个 进 程 便 可 以 从 这 个 P i p e 读 出 这 个 信 息 。 读 出 这 个 信 息 。 那 么 实 际 上 管 道 就 是 一 个 内 核 对 象 , 实 现 原 理 就 是 进 程 间 有 一 块 公 共 的 内 存 在 w i n d w o s 操 作 系 统 中 , 管 道 有 两 种 : 匿 名 管 道 A n o n y m o u s   p i p e s ： 匿 名 管 道 是 基 于 字 符 和 半 双 工 的 （ 即 单 向 ） ， 只 能 本 地 使 用 命 名 管 道 N a m e d   p i p e s ： 命 名 管 道 则 强 大 的 多 ， 它 是 面 向 消 息 和 全 双 工 的 ， 同 时 还 允 许 网 络 通 信 ， 用 于 创 建 客 户 端 / 服 务 器 系 统 。 可 通 过 名 称 引 用 ； 支 持 多 客 户 端 连 接 ； 支 持 双 向 通 信 ； 支 持 异 步 重 叠   I / O 匿 名 管 道 由 于 只 能 在 本 地 使 用 , 操 作 空 间 较 少 , 本 文 主 要 探 讨 命 名 管 道 查 看 管 道 列 表 查 看 管 道 列 表 想 要 查 看 管 道 列 表 需 要 具 有 一 定 的 本 地 操 作 权 限 。 以 下 查 看 管 道 列 表 方 法 均 是 在 本 地 查 看 。 P r o c e s s   E x p l o r e r 查 看 所 有 程 序 的 命 名 管 道 查 看 所 有 程 序 的 命 名 管 道 p o w e r s h e l l 查 看 命 名 管 道 查 看 命 名 管 道 P o w e r s h e l l V 3 以 下 以 下 : P o w e r s h e l l V 3 以 上 以 上 :   A   p i p e   i s   a   s e c t i o n   o f   s h a r e d   m e m o r y   t h a t   p r o c e s s e s   u s e   f o r   c o m m u n i c a t i o n .   T h e   p r o c e s s   t h a t   c r e a t e s   a   p i p e   i s   t h e   p i p e   s e r v e r .   A   p r o c e s s   t h a t   c o n n e c t s   t o   a   p i p e   i s   a   p i p e   c l i e n t .   O n e   p r o c e s s   w r i t e s   i n f o r m a t i o n   F i n d   - - > F i n d   H a n d l e   o r   D L L - - > D e v i d e N a m e d P i p e - - > S e a r c h [ S y s t e m . I O . D i r e c t o r y ] : : G e t F i l e s ( " . p i p e " ) [ S y s t e m . I O . D i r e c t o r y ] : : G e t F i l e s ( " . p i p e " )   或   G e t - C h i l d I t e m   . p i p e
c h r o m e 中 查 看 命 名 管 道 中 查 看 命 名 管 道 f i l e : / / . / / p i p e / /   正 常 情 况 下 ， 管 道 客 户 端 是 无 法 直 接 获 取 管 道 服 务 列 表 的 。 因 此 管 道 客 户 端 P i p e   C l i e n t 要 想 连 接 管 道 服 务 端 P i p e   S e r v e r ， 就 必 须 得 知 道 服 务 端 的 管 道 名 称 。
命 名 管 道 的 创 建 与 访 问 命 名 管 道 的 创 建 与 访 问 创 建 命 名 管 道 只 能 在 本 机 上 创 建 ， 且 得 具 有 一 定 的 权 限 。 管 道 名 称 字 符 串 可 以 包 含 反 斜 杠 以 外 的 任 何 字 符 ， 包 括 数 字 和 特 殊 字 符 。 整 个 管 道 名 称 字 符 串 最 多 可 以 包 含   2 5 6   个 字 符 。 管 道 名 称 不 区 分 大 小 写 。 使 用 使 用 c + + 创 建 命 名 管 道 创 建 命 名 管 道 原 理 ： 原 理 ： 1 .   服 务 端 用   C r e a t e N a m e d P i p e   创 建 命 名 管 道 ， 然 后 调 用   C o n n e c t N a m e d P i p e   等 待 客 户 端 连 接 。 2 .   客 户 端 调 用   W a i t N a m e d P i p e   来 等 待 服 务 端 管 道 的 建 立 ， 而 后 用   C r e a t e F i l e   连 接 管 道 。 3 .   连 接 成 功 后 ， 双 方 进 行 通 信 。 具 体 参 数 这 里 不 就 在 介 绍 了 ， 可 以 自 行 阅 读 w i n d o w s 官 方 文 档 服 务 端 C r e a t e N a m e d P i p e : H A N D L E   C r e a t e N a m e d P i p e A ( L P C S T R                                 l p N a m e , D W O R D                                   d w O p e n M o d e , D W O R D                                   d w P i p e M o d e , D W O R D                                   n M a x I n s t a n c e s , D W O R D                                   n O u t B u f f e r S i z e , D W O R D                                   n I n B u f f e r S i z e , D W O R D                                   n D e f a u l t T i m e O u t , L P S E C U R I T Y _ A T T R I B U T E S   l p S e c u r i t y A t t r i b u t e s ) ; C o n n e c t N a m e d P i p e : B O O L   C o n n e c t N a m e d P i p e ( H A N D L E               h N a m e d P i p e , L P O V E R L A P P E D   l p O v e r l a p p e d ) ; W a i t N a m e d P i p e B O O L   W a i t N a m e d P i p e A ( L P C S T R   l p N a m e d P i p e N a m e , D W O R D     n T i m e O u t ) ; C r e a t e F i l e H A N D L E   C r e a t e F i l e W ( L P C W S T R                               l p F i l e N a m e , D W O R D                                   d w D e s i r e d A c c e s s , D W O R D                                   d w S h a r e M o d e , L P S E C U R I T Y _ A T T R I B U T E S   l p S e c u r i t y A t t r i b u t e s , D W O R D                                   d w C r e a t i o n D i s p o s i t i o n , D W O R D                                   d w F l a g s A n d A t t r i b u t e s , H A N D L E                                 h T e m p l a t e F i l e ) ; h t t p s : / / d o c s . m i c r o s o f t . c o m / e n - u s / w i n d o w s / w i n 3 2 / a p i / w i n b a s e / n f - w i n b a s e - c r e a t e n a m e d p i p e a h t t p s : / / d o c s . m i c r o s o f t . c o m / e n - u s / w i n d o w s / w i n 3 2 / a p i / n a m e d p i p e a p i / n f - n a m e d p i p e a p i - c o n n e c t n a m e d p i p e h t t p s : / / d o c s . m i c r o s o f t . c o m / e n - u s / w i n d o w s / w i n 3 2 / a p i / w i n b a s e / n f - w i n b a s e - w a i t n a m e d p i p e a h t t p s : / / d o c s . m i c r o s o f t . c o m / e n - u s / w i n d o w s / w i n 3 2 / a p i / f i l e a p i / n f - f i l e a p i - c r e a t e f i l e w # i n c l u d e   < i o s t r e a m > # i n c l u d e   < W i n d o w s . h > c o n s t e x p r   a u t o   B U F _ S I Z E   =   1 0 2 4 ; i n t   m a i n ( ) { H A N D L E   h P i p e ; c h a r   b u f _ m s g [ B U F _ S I Z E ] ;       / / 传 递 的 最 大 字 节 数 D W O R D   d w R c v ;       / / 实 际 接 收 到 的 字 节 数 / / 创 建 命 名 管 道 , 命 名 为 M y P i p e , 消 息 只 能 从 客 户 端 流 向 服 务 器 , 读 写 数 据 采 用 阻 塞 模 式 , 字 节 流 形 式 , 超 时 值 置 为 0 表 示 采 用 默 认 的 5 0 毫 秒 h P i p e   =   : : C r e a t e N a m e d P i p e ( L " . p i p e M y P i p e " ,   P I P E _ A C C E S S _ I N B O U N D ,   P I P E _ R E A D M O D E _ B Y T E   |   P I P E _ W A I T   |   P I P E _ A C C E P T _ R E M O T E _ C L I E N T S ,   P I P E _ U N L I M I T E D _ I N S T A N C E S ,   B U F _ S I Z E ,   B U F _ S I Z E , i f   ( h P i p e   = =   I N V A L I D _ H A N D L E _ V A L U E ) { p r i n t f ( " [ ! ]   F a i l e d   t o   c r e a t e   n a m e d   p i p e ! E r r o r   c o d e :   % x n " , : : G e t L a s t E r r o r ( ) ) ;
客 户 端 : p r i n t f ( " [ ! ]   F a i l e d   t o   c r e a t e   n a m e d   p i p e ! E r r o r   c o d e :   % x n " , : : G e t L a s t E r r o r ( ) ) ; s y s t e m ( " p a u s e " ) ; r e t u r n   F A L S E ; } e l s e { p r i n t f ( " [ + ]   N a m e d   p i p e   c r e a t e d   s u c c e s s f u l l y . . . n " ) ; p r i n t f ( " [ + ]   W a i t i n g   f o r   c o n n e c t i o n   o n   n a m e   p i p e ： M y P i p e n " ) ; } i f   ( : : C o n n e c t N a m e d P i p e ( h P i p e ,   n u l l p t r ) ) { p r i n t f ( " { + ]   A   c l i e n t   c o n n e c t e d . . . n " ) ; m e m s e t ( b u f _ m s g ,   0 ,   B U F _ S I Z E ) ; / / 读 取 数 据 w h i l e ( 1 ) { i f   ( : : R e a d F i l e ( h P i p e ,   b u f _ m s g ,   B U F _ S I Z E ,   & d w R c v ,   n u l l p t r ) ) { p r i n t f ( " [ + ]   M e s s a g e   S h o u l d   h a v e   r e c e i v e d   m a x   b y t e s :   % d ,   a c t u a l l y   r e c e i v e d   b y t e s :   % d n " ,   B U F _ S I Z E ,   d w R c v ) ; } e l s e { p r i n t f ( " [ ! ]   F a i l e d   t o   r e c e i v e   m e s s a g e ! E r r o r   c o d e :   % x n " ,   : : G e t L a s t E r r o r ( ) ) ; : : C l o s e H a n d l e ( h P i p e ) ; : : s y s t e m ( " p a u s e " ) ; r e t u r n   F A L S E ; } } } : : C l o s e H a n d l e ( h P i p e ) ; : : s y s t e m ( " p a u s e " ) ; r e t u r n   0 ; } # i n c l u d e   " i o s t r e a m " # i n c l u d e   " w i n d o w s . h " # i n c l u d e   < s t d i o . h > u s i n g   n a m e s p a c e   s t d ; i n t   m a i n ( ) { H A N D L E   h P i p e ; c h a r   B u f f e r [ 1 0 2 4 ] ; D W O R D   d w R c v ;   / / 实 际 发 送 的 字 节 数 p r i n t f ( " [ + ]   T r y   t o   c o n n e c t   n a m e d   p i p e . . . n " ) ; / / 连 接 命 名 管 道 i f   ( : : W a i t N a m e d P i p e ( L " . p i p e M y P i p e " ,   N M P W A I T _ W A I T _ F O R E V E R ) ) { / / 打 开 指 定 命 名 管 道 h P i p e   =   : : C r e a t e F i l e ( L " . p i p e M y P i p e " ,   G E N E R I C _ W R I T E ,   0 ,   n u l l p t r ,   O P E N _ E X I S T I N G ,   F I L E _ A T T R I B U T E _ N O R M A L ,   n u l l p t r ) ; i f   ( h P i p e   = =   I N V A L I D _ H A N D L E _ V A L U E ) { p r i n t f ( " [ ! ]   F a i l e d   t o   o p e n   t h e   a p p o i n t e d   n a m e d   p i p e ! E r r o r   c o d e :   % x " , : : G e t L a s t E r r o r ( ) ) ; : : s y s t e m ( " p a u s e " ) ; r e t u r n   F A L S E ; } e l s e { p r i n t f ( " [ + ]   T h e   n a m e d   p i p e   w a s   s u c c e s s f u l l y   c o n n e c t e d .   N a m e   i s   M y P i p e n " ) ; w h i l e ( 1 ) { g e t s _ s ( B u f f e r ) ; i f   ( : : W r i t e F i l e ( h P i p e ,   B u f f e r ,   s t r l e n ( B u f f e r ) ,   & d w R c v ,   n u l l p t r ) ) { p r i n t f ( " [ + ]   M e s s a g e   s e n t   s u c c e s s f u l l y . . .   % d   b y t e s   w e r e   s e n t n " ,   d w R c v ) ; } e l s e { p r i n t f ( " [ ! ]   F a i l e d   t o   s e n d   m e s s a g e ! E r r o r   c o d e :   % x n   " ,   : : G e t L a s t E r r o r ( ) ) ; : : C l o s e H a n d l e ( h P i p e ) ; : : s y s t e m ( " p a u s e " ) ; r e t u r n   F A L S E ; } }
运 行 效 果 , 这 里 是 一 端 读 一 端 写 查 看 下 管 道   使 用 使 用 p o w e r s h e l l 创 建 管 道 创 建 管 道 创 建 完 成 之 后 ， 使 用   [ S y s t e m . I O . D i r e c t o r y ] : : G e t F i l e s ( " . p i p e " )   命 令 可 以 查 看 到 我 们 创 建 的 S D 命 名 管 道 } } : : C l o s e H a n d l e ( h P i p e ) ; } : : s y s t e m ( " p a u s e " ) ; r e t u r n   0 ; } $ P i p e S e c u r i t y   =   N e w - O b j e c t   S y s t e m . I O . P i p e s . P i p e S e c u r i t y $ A c c e s s R u l e   =   N e w - O b j e c t   S y s t e m . I O . P i p e s . P i p e A c c e s s R u l e (   " E v e r y o n e " ,   " R e a d W r i t e " ,   " A l l o w "   ) $ P i p e S e c u r i t y . A d d A c c e s s R u l e ( $ A c c e s s R u l e ) $ p i p e   =   N e w - O b j e c t   S y s t e m . I O . P i p e s . N a m e d P i p e S e r v e r S t r e a m ( " S D " , " I n O u t " , 1 0 ,   " B y t e " ,   " N o n e " ,   1 0 2 4 ,   1 0 2 4 ,   $ P i p e S e c u r i t y ) w r i t e   " N a m e d   P i p e s   C r e a t e   S u c c e s s ! " $ p i p e . W a i t F o r C o n n e c t i o n ( ) $ p i p e R e a d e r   =   n e w - o b j e c t   S y s t e m . I O . S t r e a m R e a d e r ( $ p i p e ) $ N u l l   =   $ p i p e r e a d e r . R e a d T o E n d ( )
命 名 管 道 的 访 问 命 名 管 道 的 访 问 虽 然 命 名 管 道 支 持 跨 计 算 机 跨 网 的 访 问 连 接 ， 但 是 会 受 到 访 问 控 制 列 表 （ A C L ） 或 者 说 本 地 策 略 限 制 。 在   w i n d o w s   s e r v e r   2 0 0 3   及 以 下 的 版 本 中 ， 默 认 开 启 了 匿 名 管 道 通 信 ； w i n 2 0 0 3 之 后 的 系 统 默 认 禁 止 匿 名 管 道 通 信 。 w i n d o w s   s e r v e r   2 0 0 3   的 默 认 本 地 策 略 ， 默 认 允 许 部 分 管 道 匿 名 访 问 。 而 w i n d o w s   s e r v e r   2 0 0 8   的 默 认 本 地 策 略 ， 完 全 禁 止 匿 名 访 问 管 道 。 也 就 是 说 ， 在 w i n 2 0 0 3 以 后 ， 或 者 说 在 禁 止 匿 名 访 问 命 名 管 道 的 系 统 中 ， 如 果 想 要 实 现 远 程 管 道 访 问 ， 与 管 道 进 行 通 信 ， 就 必 须 需 要 一 个 有 效 的 身 份 进 行 验 证 。 比 如 建 立   s m b   连 接 ， 或 者 建 立   I P C   连 接 等 。
我 们 在 本 地 创 建 一 个 名 为 S D 的 命 名 管 道 , i p 为 1 9 2 . 1 6 8 . 1 . 3 用 另 一 台 主 机 去 连 接 当 我 们 建 立 i p c 连 接 后 就 不 会 提 示 用 户 名 或 密 码 不 正 确 了   就 是 说 相 当 于 需 要 提 供 账 户 名 密 码 这 类 东 西 证 明 身 份 , 非 匿 名 的 访 问 C 2   信 道 信 道
    命 名 管 道 还 常 被 用 作   C 2   信 道 ， 通 讯 执 行 命 令 。 如 图 所 示 ， 每 个 终 端 将 为 每 个 直 接 连 接 的 子 终 端 提 供 一 个 命 名 管 道 服 务 器 和 一 个 命 名 管 道 客 户 端 。 服 务 器 监 听 管 道 名 称 ， 并 等 待 客 户 端 的 连 接 。 客 户 端 连 接 到 特 定 主 机 名 和 管 道 名 称 的 服 务 器 ， 从 而 创 建 命 名 管 道 。 管 道 的 每 一 个 终 端 都 有 从 另 一 个 终 端 读 取 和 写 入 的 能 力 ， 即 ， 将   P a y l o a d   运 行 （ 注 入 ） 后 ， 创 建 了 自 定 义 命 名 管 道 （ 作 服 务 端 ） ， 等 待 连 接 即 可 ， 这 一 过 程 被 称 为   "   绑 定   " （ B i n d ） 连 接 。 这 种 连 接 方 式 很 常 见 ， 如   M e t a s p l o i t   和   C o b a l t   S t r i k e   都 有 类 似 功 能 。 m s 1 7 0 1 0 和 命 名 管 道 和 命 名 管 道 我 们 在 使 用 m s f 打 域 内 有 永 恒 之 蓝 的 主 机 时 , m s 1 7 0 1 0 _ c o m m a n d   和   m s 1 7 0 1 0 _ p s e x e c   模 块 都 是 依 赖 于 N a m e d   P i p e 进 行 攻 击 的 。 而 大 于 w i n 2 0 0 3 的 机 器 ， 默 认 是 关 闭 了 所 有 的 可 匿 名 访 问 的 命 名 管 道 ， 所 有 用 这 些 工 具 打 w i n 2 0 0 3 之 后 的 系 统 会 提 示 找 不 到 N a m e d   P i p e 。 以   m s 1 7 _ 0 1 0 _ c o m m a n d   为 例 ， 对   s e r v e r   2 0 0 8   尝 试 攻 击 可 以 看 到 失 败 了 那 么 ， 在 设 置   2 0 0 8   匿 名 访 问 ， 或 提 供 有 效 的 身 份 验 证 后 ， 就 可 以 执 行 成 功 。 参 考 参 考 h t t p s : / / c l o u d . t e n c e n t . c o m / d e v e l o p e r / a r t i c l e / 1 6 2 5 9 2 4 h t t p s : / / m y . o s c h i n a . n e t / u / 4 9 4 4 8 7 2 / b l o g / 4 9 0 2 1 1 3
推 荐 阅 读 ： 推 荐 阅 读 ： 远 程 线 程 注 入 远 程 线 程 注 入 D l l ， 突 破 ， 突 破 S e s s i o n   0 红 队 红 队   |   I n l i n e H o o k 技 术 实 现 技 术 实 现 红 队 红 队   |   I A T   H o o k 技 术 实 现 技 术 实 现 本 月 报 名 可 以 参 加 抽 奖 送 暗 夜 精 灵 6 P r o 笔 记 本 电 脑 的 优 惠 活 动 点 赞 ， 转 发 ， 在 看 点 赞 ， 转 发 ， 在 看 原 创 投 稿 作 者 ： B u f f e r
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 10:44 , Processed in 0.942300 second(s), 29 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表