搜索

[2091] 2018-12-26_多维度对抗WindowsAppLocker

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-16
2018-12-26_多维度对抗WindowsAppLocker 多 维 度 对 抗 W i n d o w s   A p p L o c k e r 原 创   I v a n 1 e e   d o t N e t 安 全 研 究 僧   2 0 1 8 - 1 2 - 2 6 0 x 0 1   对 抗 安 全 策 略 的 意 义 对 抗 安 全 策 略 的 意 义 对 抗 的 意 义 可 以 从 两 个 维 度 去 考 究 ： 从 运 维 人 员 的 视 角 来 看 往 往 采 用 S R P 或 者 A p p L o c k e r 等 安 全 策 略 提 高 系 统 的 安 全 性 ； 从 黑 客 攻 击 的 视 角 来 看 攻 击 者 们 在 红 队 渗 透 活 动 中 试 图 寻 求 操 作 系 统 中 自 带 微 软 数 字 签 名 的 可 执 行 文 件 或 者 脚 本 、 程 序 集 来 绕 过 安 全 策 略 ， 它 们 的 终 极 目 标 只 有 一 个 “ 实 现 恶 意 软 件 在 低 权 限 下 突 破 安 全 策 略 运 行 ” 。 0 x 0 2   S R P 简 介 简 介 在 介 绍 A p p L o c k e r 之 前 需 要 来 看 下 它 的 前 辈 S R P 策 略 ， S R P 全 称   S o f t W a r e R e s t r i c t i o n   P o l i c i e s   ， 中 文 翻 译 过 来 是 软 件 限 制 策 略 ， 这 套 策 略 从 W i n d o w s X P 开 始 引 入 ， 目 前 各 个 版 本 均 支 持 。 S R P 策 略 有 两 个 子 项 ， 分 别 是 安 全 等 级 和 附 加 规 则 ， 默 认 情 况 下 创 建 的 S R P 策 略 中 附 加 规 则 包 含 两 条 对 注 册 表 键 值 的 添 加 项 ， 分 别 对 % S y s t e m R o o t %   和   % P r o g r a m F i l e s D i r %   两 个 系 统 变 量 目 录 执 行 允 许 运 行 ， 非 受 限 模 式 。 这 样 的 模 式 下 W i n d o w s 和 P r o g r a m F i l e s 目 录 下 的 所 有 应 用 程 序 可 以 正 常 运 行 ， 这 也 是 保 证 了 在 普 通 账 户 下 W i n d o w s 系 统 能 正 常 运 行 。 S R P 策 略 中 的 安 全 等 级 在 不 修 改 注 册 表 的 情 况 下 只 能 看 到 三 种 模 式 ， 分 别 是 U n R e s t r i c t e d   （ 非 受 限 ） 、 B a s i c   U s e r （ 基 本 用 户 ）   、 D i s A l l o w e d （ 不 允 许 ） ， 其 中 非 受 限 模 式 表 示 用 户 当 前 的 访 问 权 限 决 定 了 运 行 时 的 权 限 ； 基 本 用 户 模 式 表 示 运 行 程 序 访 问 一 般 用 户 可 以 访 问 到 的 资 源 ， 但 不 具 有 管 理 员 的 访 问 权 ； 不 允 许 模 式 表 示 系 统 开 始 菜 单 列 表 中 的 软 件 无 法 正 常 运 行 。 0 X 0 3   A p p L o c k e r 简 介 简 介 A p p L o c k e r   也 就 是 应 用 锁 ， 它 隶 属 于 应 用 控 制 策 略 分 类 下 （ A p p l o c a t i o n   C o n t r o l   P o l i c i e s ） ， 功 能 上 和 S R P 很 接 近 属 于 替 代 S R P 功 能 的 全 新 系 统 管 理 工 具 ， 可 配 置 五 种 文 件 类 型 ， 分 别 为 可 执 行 文 件 、 脚 本 、 系 统 安 装 文 件 、 程 序 集 、 应 用 安 装 文 件 。
A p p L o c k e r 支 持 默 认 规 则 和 自 定 义 规 则 两 种 创 建 规 则 方 法 ， 首 先 介 绍 创 建 默 认 规 则 ， 以 可 执 行 文 件 举 例 创 建 的 默 认 规 则 都 是 非 受 限 的 模 式 ， 并 且 只 对 W i n d o w s 目 录 、 P r o g r a m F i l e s 目 录 、 以 及 对 A d m i n i s t r a t o r s 组 开 放 可 执 行 权 限   ，   如 下 创 建 好 默 认 规 则 如 下 图 图 上 默 认 创 建 了 三 条 规 则 ， 并 且 它 们 的 共 同 条 件 都 是 基 于 P a t h 路 径 的 方 式 创 建 。 如 果 创 建 自 定 义 规 则 需 要 从 发 布 者 、 路 径 、 文 件 哈 希 这 三 种 条 件 中 选 择 ， 其 中 以 发 布 者 、 文 件 哈 希 安 全 系 数 高 ； 路 径 安 全 系 数 较 低 ， 因 为 某 些 场 景 下 攻 击 者 通 过 拷 贝 或 移 动 单 个 文 件 就 可 以 绕 过 路 径 的 规 则 限 制 。 接 下 来 分 别 来 看 下 三 种 条 件 ， 笔 者 通 过 新 建 P a t h 路 径 的 方 式 禁 止 运 行 P o w e r S h e l l . e x e 所 在 目 录 下 拒 绝 执 行 的 规 则
第 二 种 基 于 文 件 哈 希 配 置 ， 笔 者 以 P o w e r S h e l l . e x e 为 例 ， 如 下 图 文 件 哈 希 配 置 相 对 来 说 安 全 很 多 ， 假 定 攻 击 者 通 过 改 名 或 者 移 动 文 件 到 其 它 的 目 录 执 行 依 旧 绕 不 过 这 条 安 全 策 略 ， 这 种 配 置 的 方 式 比 路 径 安 全 许 多 。 接 下 来 介 绍 安 全 系 数 最 高 的 基 于 发 布 者 条 件 选 择 配 置 ， 发 布 者 条 件 内 置 了 五 种 级 别 ： 版 本 、 文 件 名 、 产 品 签 名 、 发 布 者 、 任 意 发 布 者 ， 这 五 种 级 别 安 全 系 数 依 次 递 进 增 强 ， 以 下 图 为 例 当 前 笔 者 依 旧 选 择 P o w e r S h e l l . e x e 为 例 ， 将 左 侧 箭 头 选 择 在 文 件 名 级 别 ， 那 么 文 件 版 本 所 在 的 文 本 框 默 认 置 为 星 号 ， 代 表 了 任 意 版 本 均 受 影 响 ， 如 果 将 左 侧 箭 头 继 续 拔 高 到 产 品 签 名 位 置 ， 那 么 文 件 名 和 文 件 版 本 都 将 是 星 号 代 替 ， 进 一 步 扩 大 了 规 则 的 适 用 面 ， 依 次 类 推 逐 级 提 高 安 全 策 略 受 影 响 的 面 会 越 来 越 大 。 从 选 择 条 件 来 看 ， 路 径 条 件 最 容 易 绕 过 ， 发 布 者 和 文 件 哈 希 条 件 相 对 来 说 安 全 系 数 高 ， 为 了 方 便 接 下 来 对 攻 击 向 量 的 演 示 ， 下 图 创 建 了 一 条 基 于 文 件 路 径 的 拒 绝 P o w e r s h e l l 所 在 目 录 下 可 执 行 程 序 运 行 的 规 则 0 x 0 4   攻 击 向 量 （ 攻 击 向 量 （ M S B u i l d &   c s p r o j ） ）   这 个 攻 击 向 量 的 利 用 场 景 ： M S B u i l d . e x e 全 称 M i c r o s o f t   B u i l d E n g i n e   ， 通 常 用 来 生 成 指 定 的 项 目 和 解 决 方 案 ， M S B u i l d 可 在 未 安 装 V i s u a l   S t u d i o 的 环 境 中 编 译 . n e t 的 工 程 文 件 。 所 在 目 录 的 位 置 ” C : W i n d o w s M i c r o s o f t . N E T F r a m e W o r k V 4 . 0 . 3 0 3 1 9 ” 题 外 话 这 个 目 录 下 还 有 很 多 的 可 执 行 文 件 在 红 队 渗 透 中 经 常 能 用 到 ， 例 如 c s c . e x e 、 还 有 v b c . e x e 等 等 ， c s p r o j 文 件 则 是 v i s u a l s t u d i o 平 台 下 的 工 程 文 件 ， 如 果 是 C # 开 发 的 工 程 文 件 就 是 c s p r o j ， 如 果 是
v b 开 发 的 话 就 是 v b p r o j ； M S B u i l d 最 大 的 特 点 可 以 编 译 特 定 格 式 的 X M L 文 件 ， 在 . N E T   F r a m e w o r k   4 . 0 中 支 持 了 一 项 新 功 能   I n l i n e T a s k s ， 被 包 含 在 元 素 U s i n g T a s k 中 ， 可 用 来 在 x m l 文 件 中 执 行 c s p r o j 代 码 ， 参 考 下 面 这 段 d e m o 要 实 现 P o w e r S h e l l 功 能 需 引 入 核 心 程 序 集 S y s t e m . M a n a g e m e n t . A u t o m a t i o n . d l l   ， 国 外 黑 客   @ s u b T e e @ C n 3 3 l i z 已 经 实 现 了 P o w e r S h e l l 的 工 程 文 件 h t t p s : / / r a w . g i t h u b u s e r c o n t e n t . c o m / C n 3 3 l i z / M S B u i l d S h e l l / m a s t e r / M S B u i l d S h e l l . c s p r o j     文 件 中 已 经 实 现 了 P o w e r s h e l l . e x e 所 有 的 方 法 ， 在 命 令 行 下 输 入   M S B u i l d . e x e   S h e l l . c s p r o j 载 入 之 后 的 效 果 见 下 图
生 成 P o w e r S h e l l 时 间 大 约 3 秒 ， 执 行 内 置 命 令 $ p s v e r s i o n t a b l e 得 到 执 行 后 的 结 果 ， 达 到 了 绕 过 安 全 策 略 的 目 的 。 0 x 0 5   攻 击 向 量 （ 攻 击 向 量 （ C L _ L o a d A s s e m b l y ） ）   这 个 攻 击 向 量 的 利 用 场 景 ：
C L _ L o a d A s s e m b l y . p s 1   位 于 C : W i n d o w s d i a g n o s t i c s s y s t e m ( A E R O / A u d i o ) 两 个 目 录 下 均 存 在 ， 功 能 上 来 说 它 是 诊 断 系 统 故 障 的 一 个 p o w e r s h e l l 脚 本 。 脚 本 中 定 义 了 L o a d A s s e m b l y F r o m P a t h 方 法 ， 底 层 通 过 反 射 机 制 调 用 了 静 态 方 法 L o a d F i l e 成 功 加 载 外 界 的 可 执 行 文 件 或 程 序 集 ， 如 下 图 笔 者 当 前 的 环 境 是 W i n d o w s 2 0 1 6 ， 默 认 自 带 的 版 本 是 P o w e r s h e l l 5 . 0 ， 而 5 . 0 中 提 高 了 安 全 机 制 ， 内 置 了 一 种 C o n t r a i n e d   L a n g u a g e M o d e   能 阻 止 某 些 P o w e r s h e l l 代 码 的 运 行 ， 所 以 首 先 需 要 降 级 到 2 . 0 版 本   ， 再 导 入 C L _ L o a d A s s e m b l y . p s 1 ， 调 用 L o a d A s s e m b l y F r o m P a t h 方 法 加 载 T a s k s 目 录 下 的 c a l c r u n . e x e ， 而 c a l c r u n . e x e 是 笔 者 精 心 构 造 的 一 个 可 执 行 文 件 ， 文 件 代 码 如 下 ： 定 义 了 命 名 空 间 为 c a l c r u n 、 声 明 公 共 类 g e t c a l c 、 定 义 公 共 方 法 r u n i n g ( ) ， 文 件 运 行 后 实 现 弹 出 计 算 器 。 如 果 在 p s 脚 本 中 调 用 需 要 使 用 命 令 空 间 . 类 名 : : 静 态 方 法 名 就 O K 了 。 实 施 步 骤 分 为 如 下 四 步 在 命 令 行 下 依 次 输 入 这 四 条 指 令 后 就 可 以 成 功 绕 过 规 则 ， 弹 出 计 算 器 ， 如 图
0 x 0 6   攻 击 向 量 （ 攻 击 向 量 （ I n s t a l l U t i l ） ） 这 个 攻 击 向 量 的 利 用 场 景 ： I n s t a l l U t i l . e x e   位 于 C : W i n d o w s M i c r o s o f t . N e t F r a m e W o r k 版 本 号   两 个 版 本 目 录 下 均 存 在 ， 具 有 安 装 或 者 卸 载 主 机 资 源 文 件 的 功 能 。 攻 击 者 利 用 M e t a S p l o i t 生 成 S h e l l C o d e 放 入 c s 文 件 中 ， 再 利 用 c s c . e x e 生 成 可 执 行 文 件 ， 最 后 利 用 I n s t a l l U t i l   / U 卸 载 动 作 来 加 载 外 界 的 程 序 。 首 先 看 下 c s 文 件 中 的 核 心 实 现 代 码 这 里 声 明 一 个 类 继 承 S y s t e m . C o n f i g u r a t i o n . I n s t a l l . I n s t a l l e r 类 ， 然 后 将 M e t a S p l o i t 生 成 的 S h e l l C o d e 注 入 重 写 的 方 法 U n i n s t a l l 方 法 体 内 ， 再 通 过 c s c . e x e   / u n s a f e / p l a t f o r m : x 8 6   / o u t : I n s t a l l U t i l M e t a s p l o i t . e x e   S h e l l C o d e . c s 编 译 成 可 执 行 文 件 ， 并 调 用 I n s t a l l U t i l 卸 载 攻 击 效 果 如 下 图
0 x 0 7   攻 击 向 量 （ 攻 击 向 量 （ R e g a s m / R e g s v c s ） ） 这 个 攻 击 向 量 的 利 用 场 景 ： R e g a s m . e x e   全 称 R e g i s t r y A s s e m b l y   位 于 C : W i n d o w s M i c r o s o f t . N e t F r a m e W o r k 版 本 号   两 个 版 本 目 录 下 均 存 在 ， 它 是 程 序 集 注 册 工 具 ， 能 读 取 元 数 据 并 且 添 加 到 注 册 表 中 。 R e g s v c s . e x e 全 称   R e g i s t r y   S e r v i c e s   ， 它 是 服 务 安 装 工 具 可 加 载 并 注 册 程 序 集 。 这 里 以 R e g a s m 为 例 ， 攻 击 者 利 用 M e t a S p l o i t 生 成 S h e l l C o d e 放 入 c s 文 件 中 ， 再 利 用 c s c . e x e 生 成 可 执 行 文 件 ， 最 后 利 用 R e g a s m . e x e   / U 卸 载 动 作 来 加 载 外 界 的 程 序 集 。 首 先 看 下 c s 文 件 中 的 核 心 实 现 代 码 代 码 中 声 明 一 个 类 继 承 S e r v i c e d C o m p o n e n t （ 服 务 组 件 ）   ， 再 声 明 一 个 方 法 U n R e g i s t e r C l a s s 被 定 义 为 非 托 管 的 组 件 注 销 方 法 [ C o m U n r e g i s t e r F u n c t i o n ] ， 将 M e t a S p l o i t 生 成 的 S h e l l C o d e 注 入 重 写 的 方 法 U n R e g i s t e r C l a s s 方 法 体 内 ， 从 而 实 现 监 听 反 弹 ， 实 施 步 骤 可 参 考 下 表 攻 击 者 只 需 要 在 M S F 中 监 听 一 个 端 口 ， 反 弹 效 果 如 下
0 x 0 8   其 它 向 量 其 它 向 量 以 下 两 种 攻 击 向 量 攻 击 成 本 较 高 ， 所 以 归 纳 在 一 起 谈 8 . 1 、 、 C M S T P C m s t p . e x e   可 以 通 过 加 载 外 部 的 i n f 文 件 ， 在 i n f 文 件 里 可 加 载 远 程 的 s c t 脚 本 小 程 序 文 件 ， 就 可 以 实 现 旁 路 攻 击 ， 但 是 利 用 成 本 较 高 ， 需 要 在 超 管 权 限 下 触 发 ， 所 以 利 用 场 景 有 限 。 具 体 的 命 令 可 参 考 下 图 8 . 2 、 、 B G I N F O B g i f o . e x e   是 一 款 信 息 显 示 工 具 ， 最 重 要 的 一 点 不 是 系 统 默 认 自 带 的 工 具 ， 需 要 额 外 去 微 软 的 网 站 上 下 载 ， 利 用 成 本 很 高 。 原 理 通 过 加 载 外 部 的 v b s 脚 本 可 以 实 现 旁 路 攻 击 。 0 x 0 9   自 动 化 工 具 自 动 化 工 具 笔 者 在 做 这 个 项 目 的 时 候 有 感 操 作 繁 琐 ， 有 必 要 自 动 化 一 下 ， 支 持 R e g a s m 、 I n s t a l l U t i l 两 种 攻 击 向 量 的 生 成 ， 且 支 持 强 大 的 m s f 的 s h e l l c o d e ， 自 动 生 成 对 应 的 程 序 集 或 者 可 执 行 文 件 。 界 面 如 图 所 示 项 目 地 址 已 经 同 步 到 g i t h u b 上 ： h t t p s : / / g i t h u b . c o m / I v a n 1 e e / R e g a s m _ I n s t a l l U t i l _ A p p l o c k e r B y p a s s 0 x 1 0   一 点 总 结 一 点 总 结 从 运 维 视 角 可 以 加 强 对 W i n d o w s 和 P r o g r a m F i l e s 目 录 下 的 子 目 录 写 入 、 执 行 权 限 的 控 制 ， 为 了 防 止 第 三 方 程 序 调 用 核 心 程 序 集 例 如 P o w e r s h e l l 的 S y s t e m . M a n a g m e n t . A u t o m a t i o n . d l l ， 也 需 要 加 入 禁 止 的 规 则 中 去 ， 策 略 配 置 的 时 候 建 议 选 择 安 全 系 数 高 的 条 件 ， 例 如 发 布 者 。 对 于 红 队 渗 透 来 说 需 要 不 断 拓 展 新 的 旁 路 攻 击 方 式 来 绕 过 A p p L o c k e r 安 全 策 略 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理