搜索

[20838] 2017-08-02_Windows环境变量应用：注入和提权（转）

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2017-08-02_Windows环境变量应用：注入和提权（转） W i n d o w s 环 境 变 量 应 用 ： 注 入 和 提 权 （ 转 ） L e m o n S e c   2 0 1 7 - 0 8 - 0 2 导 语 ： 导 语 ： 操 作 系 统 的 正 常 运 行 都 离 不 开 环 境 变 量 ， 而 关 于 环 境 变 量 的 安 全 却 很 少 引 人 关 注 。 本 文 就 将 讨 论 如 何 在   W i n d o w s   中 利 用 环 境 变 量 完 成 不 同 的 攻 击 。 操 作 系 统 的 正 常 运 行 都 离 不 开 环 境 变 量 ， 而 关 于 环 境 变 量 的 安 全 却 很 少 引 人 关 注 。 本 文 就 将 讨 论 如 何 在   W i n d o w s   中 利 用 环 境 变 量 完 成 不 同 的 攻 击 。 进 程 环 境 变 量 进 程 环 境 变 量 什 么 是 环 境 变 量 ？ 简 言 之 ， 环 境 变 量 就 是 一 组 可 以 被 用 户 或 进 程 直 接 读 写 的 变 量 ， 这 个 变 量 可 以 由 用 户 、 程 序 或 者 操 作 系 统 进 行 设 置 ， 用 于 保 障 进 程 的 正 常 运 行 。 一 个 典 型 的 例 子 就 是 文 件 系 统 中 的 路 劲 。 W i n d o w s   中 的 环 境 变 量 中 的 环 境 变 量 W i n d o w s   中 的 环 境 变 量 可 以 通 过 使 用   D O S   命 令   s e t   进 行 读 写 。 读 取 环 境 变 量 ： s e t   < 变 量 > 写 入 环 境 变 量 ： s e t   < 变 量 > = < 值 > 在 命 令 行 下 单 独 输 入   s e t   会 显 示 当 前 可 用 的 所 有 环 境 变 量 。 而 对 于 程 序 来 说 ， 则 可 以 直 接 调 用   K e r n e l 3 2   库 中 的 S e t E n v i r o n m e n t V a r i a b l e   函 数 来 完 成 同 样 的 操 作 。 当 然 ， 程 序 设 置 的 环 境 变 量 只 会 对 当 前 进 程 及 其 子 进 程 有 效 。 系 统 在 允 许 的 情 况 下 ， 会 直 接 将   % 变 量 %   直 接 替 换 为 变 量 的 值 ， 这 种 替 换 称 为   “ 扩 展 ( e x p a n s i o n ) ” 。 例 如 ， 如 果 我 们 在 命 令 行 中 输 入   e c h o   % u s e r n a m e % ， 输 出 会 是 扩 展 后 变 量 的 值 。 另 外 在 使 用 中 ， 我 们 调 用 环 境 变 量 和 直 接 使 用 环 境 变 量 的 值 ， 得 到 的 效 果 是 一 样 的 。 临 时 环 境 变 量 临 时 环 境 变 量 就 像 前 面 说 的 ， 由 程 序 设 置 的 环 境 变 量 只 对 当 前 进 程 及 其 子 进 程 有 效 。 这 类 环 境 变 量 在   W i n d o w s   中 被 称 为 “ 临 时 环 境 变 量 ( v o l a t i l e   e n v i r o n m e n t ) ” ， 一 旦 进 程 终 止 就 会 从 系 统 中 消 失 的 无 影 无 踪 。
相 对 临 时 环 境 变 量 ， W i n d o w s   中 还 有 另 一 种 环 境 变 量 ， 可 以 在 系 统 重 启 后 作 用 于 全 系 统 。 这 种 环 境 变 量 可 以 由 管 理 员 使 用 命 令   s e t x   进 行 设 置 ， 或 是 通 过 修 改 以 下 的 注 册 表 键 值 ： H K E Y _ C U R R E N T _ U S E R / E n v i r o n m e n t 扩 展 注 册 表 值 扩 展 注 册 表 值 W i n d o w s   注 册 表 中 支 持 一 种 类 型 名 为   " R E G _ E X P A N D _ S Z "   长 度 可 变 的 数 据 字 符 串 ， 这 种 数 据 类 型 包 括 程 序 或 服 务 使 用 该 数 据 时 解 析 的 变 量 。 使 用 这 个 扩 展 的 程 序 会 在 该 值 被 程 序 调 用 前 被 执 行 ， 而 这 个 过 程 只 依 赖 于 注 册 表 中 的 值 无 需 开 发 人 员 跟 踪 环 境 变 量 的 值 。 扩 展 扩 展   W i n d o w s   程 序 程 序 通 过 搜 索   W i n d o w s   注 册 表 ， 我 们 会 发 现 大 量 的 程 序 、 库 和 对 象 依 赖 环 境 变 量 来 指 定 路 径 ， 其 中 最 常 用 的 变 量 是 " S y s t e m R o o t " ， 正 常 状 况 下 它 应 当 指 向   W i n d o w s   安 装 路 径   C : W i n d o w s 。 基 于 环 境 变 量 的 攻 击 场 景 基 于 环 境 变 量 的 攻 击 场 景 场 景 场 景   1 ： 无 注 入 的 ： 无 注 入 的   D L L   注 入 注 入 猜 想 ： 如 果 某 一 环 境 变 量 控 制 加 载 一 个   D L L   文 件 ， 那 么 攻 击 者 可 能 通 过 修 改 环 境 变 量 来 加 载 其 他 的   D L L   文 件 。 也 就 是 说 ， 攻 击 者 控 制 进 程 下 的 子 进 程 ， 都 会 使 用 攻 击 者 指 定 的 环 境 变 量 。 可 行 性 ： 进 程 加 载 的   D L L   文 件 ， 无 论 是 经 过 复 制 、 修 改 或 者 完 全 替 换 都 会 具 有 相 同 的 权 限 。 这 是 一 种 非 常 有 效 的 无 需 使 用 任 何 注 入 技 术 的   D L L   注 入 方 法 。 应 用 ： 实 现 这 一 种 注 入 最 简 单 的 方 法 就 是 使 用 命 令 行 ， 一 般 来 说 流 程 类 似 如 下 方 式 ： 1 .   将   C : / W i n d o w s   复 制 到 另 一 个 地 方   C : / W h e r e v e r 2 .   设 置 环 境 变 量 ： s e t   S y s t e m R o o t = C : / / W h e r e v e r 3 .   重 启   e x p l o r e r . e x e   进 程 ： t a s k k i l l   / F   / I M   e x p l o r e r . e x e C : W i n d o w s e x p l o r e r . e x e 4 .   E x p l o r e r   重 启 后 会 从 我 们 指 定 的 目 录 中 加 载 少 量 的   D L L ， 而 攻 击 者 则 可 以 替 换 这 些   D L L   文 件 并 修 改 执 行 流 程 。
注 ： 尽 管 只 有 很 少 几 个 文 件 会 被 加 载 ， 但 这 却 是 最 简 单 的 方 法 。 场 景 场 景   2 ： 无 注 入 远 程 加 载 ： 无 注 入 远 程 加 载   D L L 这 个 同 场 景   1   基 本 相 同 ， 除 了 是 加 载 远 程   D L L 。 在   W i n d o w s   中 ， 调 用   A P I   需 要 指 定 一 个 文 件 或 目 录 的 路 径 ， 通 常 也 会 接 受 指 向 远 程 机 器 的   U N C   路 径 。 当 给 定   U N C   路 径 后 ， 进 程 会 尝 试 使 用   S M B   协 议 来 访 问 指 定 的 路 径 。 猜 想 ： 如 果 攻 击 者 能 将   % S y s t e m R o o t %   扩 展 为 一 个   U N C   网 络 路 径 ， 那 么   W i n d o w s   则 会 尝 试 使 用   S M B   协 议 加 载 远 程 的 资 源 。 可 行 性 ： 首 先 需 要 一 台 远 程 加 载   D L L   文 件 的   S M B   服 务 器 ， 而 通 常 使 用   S M B   协 议 进 行 访 问 还 需 要 用 户 凭 证 ， 这 些 都 需 要 攻 击 者 之 前 能 够 解 决 。 应 用 ： 步 骤 基 本 类 似 场 景   1 ， 除 了 将 路 径 替 换 为 远 程   U N C   路 径 ， 例 如 如 下 路 径 ： s e t   S y s t e m R o o t = 1 2 7 . 0 . 0 . 1 c $ W i n d o w s 场 景 场 景   3 ： 启 动 时 加 载 ： 启 动 时 加 载   D L L 前 两 个 场 景 的 攻 击 都 不 是 持 久 的 ， 意 味 着 一 旦 重 启 系 统 甚 至 重 启 进 程 ， 攻 击 都 将 失 效 。 猜 想 ： 攻 击 者 能 够 设 置 一 个 持 久 性 环 境 变 量 ， 无 论 系 统 是 否 重 启 都 能 一 直 影 响 系 统 控 制 流 。 可 行 性 ： 在 系 统 启 动 时 加 载   D L L   文 件 ， 或 者 满 足 其 他 特 定 条 。 应 用 ： 还 是 基 本 类 似 场 景   1   的 情 况 ， 仅 仅 只 是 把 命 令   s e t   换 成   s e t x ： s e t x   S y s t e m R o o t   C : W h e r e v e r 这 样 当 系 统 重 启 后 还 是 会 加 载 攻 击 者 指 定 目 录 下 的   D L L 。 场 景 场 景   4 ： 提 权 ： 提 权 # 1 到 目 前 为 止 ， 我 们 谈 论 的 都 是 攻 击 者 能 够 掌 控 影 响 当 前 用 户 进 程 运 行 的 环 境 变 量 。 而 如 果 用 户 想 要 执 行 需 要 更 高 权 限 被 U A C   控 制 的 进 程 ， 那 么 这 个 进 程 会 被 创 建 为   s v c h o s t . e x e   的 子 进 程 并 具 有 不 受 用 户 控 制 的 预 定 义 环 境 变 量 。 但 这 里 却 有 个 问 题 ， 尽 管 这 个 子 进 程 是 由   s v c h o s t . e x e   创 建 的 ， 但 它 依 旧 会 有 一 份 之 前 用 户 控 制 环 境 变 量 的 拷 贝 。
这 里 绕 过   U A C   能 否 称 之 为 提 权 ， 取 决 于 你 对 提 权 的 看 法 ， 但 微 软 官 方 却 不 认 为 这 是 一 个 漏 洞 ， 尽 管 他 们 也 确 实 采 取 了 一 系 列 行 动 解 决 这 一 问 题 。 猜 想 ： 默 认 情 况 下 ， 部 分 进 程 无 需 用 户 同 意 即 会 被 赋 予 较 高 的 权 限 。 一 般 来 说 ， 存 在 一 个 微 软 定 义 的 允 许 可 执 行 文 件 直 接 静 默 执 行 的 文 件 列 表 ， 这 个 列 表 就 是 微 软 为 了 同 时 兼 顾 安 全 与 用 户 体 验 所 采 取 的 一 种 折 衷 方 法 。 而 攻 击 者 却 可 以 利 用 这 种 折 衷 方 法 ， 使 操 作 系 统 在 运 行 时 加 载 不 受 信 任 的   D L L   文 件 并 绕 过   U A C   赋 予 其 较 高 的 权 限 。 可 行 性 ： 在 默 认 配 置 下 ， 是 可 以 在 无 需 用 户 同 意 或 者 不 告 知 用 户 的 情 况 下 实 现 提 权 的 。 而 安 全 管 理 员 则 可 能 通 过 更 改 默 认 的   U A C   配 置 来 提 高 安 全 性 ， 强 制   W i n d o w s   显 示 任 何 请 求 提 升 权 限 的 通 知 。 不 过 ， 攻 击 者 依 旧 可 以 在 用 户 同 意 后 加 载 恶 意   D L L   文 件 。 当 然 ， 正 常 用 户 是 不 会 同 意 的 ， 那 么 就 需 要 掩 盖 在 一 些 合 法 的 进 程 之 下 ， W i n d o w s   任 务 管 理 器 ( t a s k m g r . e x e ) 就 是 一 个 常 见 的 例 子 。 应 用 ： 1 .   设 置 同 场 景   3   一 样 的 环 境 变 量 ； 2 .   以 管 理 员 权 限 执 行 提 权 进 程 ， 本 例 中 我 们 使 用   l p k s e t u p . e x e ： S h e l l E x e c u t e ( 0 , ” r u n a s ” , ” C : W i n d o w s S y s t e m 3 2 l p k s e t u p . e x e ” , N U L L , N U L L , 0 ) ; 场 景 场 景   5 ： 提 权 ： 提 权 # 2
在 上 一 个 场 景 中 ， 我 们 使 用 的 是   S h e l l E x e c u t e   来 完 成 提 权 操 作 的 ， 而   W i n d o w s   还 支 持 用 户 调 用   C O M   对 象 。 关 于   C O M   对 象 的 概 念 不 在 本 文 讨 论 范 围 之 列 ， 如 果 不 清 楚 ， 你 可 以 把 它 当 作 常 规 的 程 序 、 可 执 行 文 件 或 是 类 库 。 猜 想 ： 如 果 存 在 一 个   C O M   对 象 可 以 在 无 需 用 户 同 意 的 情 况 下 实 现 提 权 ， 那 么 攻 击 者 就 可 以 利 用 这 种 机 制 ， 而 非 自 己 执 行 命 令 或 者 创 建 进 程 。 可 行 性 ： 存 在 在 无 需 用 户 同 意 的 情 况 下 实 现 提 权 。 应 用 ： 对 于 本 例 ， 我 们 选 择 的 对 象 是   W i n d o w s   提 供 用 于 设 置 防 火 墙 的   C O M   接 口 。 对 象 的   C L S I D   为   { 7 5 2 4 3 8 C B - E 9 4 1 - 4 3 3 F - B C B 4 - 8 B 7 D 2 3 2 9 F 0 C 8 } ： 1 .   同 场 景   4 / 1 ； 2 .   C o I n i t i a l i z e ( ) ; C o C r e a t e I n s t a n c e ( )   给 定 一 个   C L S I D ,   会 返 回 一 个 指 向   I F w l C p l   接 口 的 指 针 。 I F w l C p l - > L a u n c h A d v a n c e d U I ( ) 以 上 会 让 具 有 高 权 限 的   W i n d o w s   管 理 控 制 台 在 进 程   s v c h o s t . e x e   中 加 载   m m c . e x e ， 这 就 意 味 着 ， 会 从 攻 击 者 控 制 的 目 录 C : W h e r e v e r   中 加 载   D L L 。 场 景 场 景   6 ： 命 令 注 入 ： 命 令 注 入 猜 想 ： 如 果 要 执 行 的 命 令 包 含 环 境 变 量 参 数 ， 那 么 就 可 以 被 扩 展 成 执 行 多 条 命 令 。 可 行 性 ： 攻 击 者 可 以 在 环 境 变 量 中 拼 接 进 要 执 行 的 其 他 命 令 。 应 用 ： 假 设 我 们 使 用   n o t e p a d . e x e   打 开 一 个 正 常 的 文 本 文 件 ( . t x t ) ， 那 么 打 开 命 令 如 下 所 示 ： % S y s t e m R o o t % S y s t e m 3 2 N O T E P A D . E X E   % 1 实 际 上 执 行 的 命 令 如 下 ： C : W i n d o w s S y s t e m 3 2 N O T E P A D . E X E   < f i l e n a m e . t x t > 那 么 ， 现 在 让 我 们 先 使 用 以 下 命 令 ： s e t x   S y s t e m R o o t   “ C : W i n d o w s S y s t e m 3 2 c m d . e x e   & &   C : W i n d o w s ” 此 时 ， 我 们 最 初 执 行 的 命 令 就 变 成 了 ： C : W i n d o w s S y s t e m 3 2 c m d . e x e   & &   C : W i n d o w s S y s t e m 3 2 N O T E P A D . E X E   < f i l e n a m e . t x t > 这 就 意 味 着 ， 在 打 开 记 事 本 前 还 打 开 了 C M D 窗 口 ， 当 然 这 里 使 用 的   & &   也 可 以 替 换 成 其 他 连 接 符 。 场 景 场 景   7 ： 参 数 操 作 ： 参 数 操 作 W i n d o w s   注 册 表 中 可 以 使 用 多 个 百 分 号 ( ' % ' ) 来 扩 展 多 个 参 数 。
猜 想 ： 两 个 百 分 号 之 间 的 内 容 通 常 被 认 为 是 一 个 环 境 变 量 。 可 行 性 ： 攻 击 者 可 以 设 置 环 境 变 量 来 将 参 数 内 容 改 变 成 其 他 攻 击 者 定 义 的 内 容 。 应 用 ： 首 先 新 定 义 一 个 名 为   1 "   的 环 境 变 量 指 向 其 他 文 件 ， 注 意 引 号 需 要 被 转 义 ： s e t x   " 1 " , "   " C : T e m p e v i l . d l l " , " 这 样 做 的 结 果 就 是 ， 以 后 当 我 们 在 要 运 行   . c p l   文 件 时 ， 都 会 运 行   e v i l . d l l 。 场 景 场 景   8 ： 在 说 提 权 ： 在 说 提 权 右 击   " 我 的 电 脑 "   选 择 菜 单 中 的   " 管 理 " ， 此 时 打 开 的   " 计 算 机 管 理 "   会 具 有 高 权 限 ， 但 这 个 过 程 却 不 会 收 到 任 何   U A C   的 提 示 。 这 一 操 作 过 程 是 在 注 册 表 中   " M a n a g e "   表 项 中 定 义 的 ， 注 册 表 路 径 如 下 ： H K C R C L S I D { 2 0 D 0 4 F E 0 - 3 A E A - 1 0 6 9 - A 2 D 8 - 0 8 0 0 2 B 3 0 3 0 9 D } s h e l l M a n a g e c o m m a n d 具 体 的   " 计 算 机 管 理 "   键 值 为 ： % S y s t e m R o o t % s y s t e m 3 2 C o m p M g m t L a u n c h e r . e x e 猜 想 ： 使 用   C o m p M g m t L a u n c h e r . e x e   来 实 现 提 权 。 可 行 性 ： 攻 击 者 可 以 通 过 设 置   S y s t e m R o o t   环 境 变 量 来 实 现 提 权 。 结 果 ： 失 败 ！ 我 们 的 假 设 是 有 问 题 的 ， 更 改 路 径 确 实 会 运 行 其 他 的 可 执 行 文 件 ， 但 仍 然 是 以 当 前 权 限 运 行 的 而 没 有 实 现 提 权 操 作 。 深 入 研 究 那 么   C o m p M g m t L a u n c h e r . e x e   这 个 程 序 在 启 动 时 到 底 是 怎 么 完 成 提 权 的 呢 ？ C o m p M g m t L a u n c h e r . e x e   实 际 上 执 行 的 是 另 一 个   . l n k   链 接 文 件 ， 可 以 在 开 始 菜 单 中 的   " W i n d o w s 管 理 工 具 "   中 找 到 ： C : P r o g r a m D a t a M i c r o s o f t W i n d o w s S t a r t   M e n u P r o g r a m s A d m i n i s t r a t i v e   T o o l s C o m p u t e r   M a n a g e m e n t . l n k 这 个 链 接 指 向 了 位 于   W i n d o w s 3 2   下 的   m m c . e x e ， 并 给 定 了 一 个   . m s c   文 件 作 为 参 数 ， 这 里 是   c o m p m g m t . m s c ， 看 上 去 单 独 运 行 m m c . e x e   会 收 到   U A C   的 提 示 ， 而 当 在 给 定 一 个 特 定 的   . m s c   文 件 当 参 数 后 就 不 会 受 到   U A C   的 提 示 了 。 猜 想 ： 运 行   C o m p M g m t L a u n c h e r . e x e   时 给 定 一 个   . l n k   文 件 指 针 来 实 现 提 权 。 可 行 性 ： 攻 击 者 控 制 目 标   . l n k `   文 件 来 绕 过   U A C 。 结 果 ： 失 败 ！ 但 有 进 步 ， 写 入 目 标 和   . l n k `   文 件 时 需 要 更 高 的 权 限 。 继 续 研 究 ： 目 标 文 件 夹 引 用 了 两 个 环 境 变 量 ： A L L U S E R S P R O F I L E = C : P r o g r a m D a t a
P r o g r a m D a t a = C : P r o g r a m D a t a 猜 想 ： C o m p M g m t L a u n c h e r . e x e   使 用 了 其 中 一 个 环 境 变 量 来 访 问   . l n k `   文 件 。 可 行 性 ： 攻 击 者 可 以 通 过 控 制 其 中 一 个 或 两 个 环 境 变 量 来 操 控   . l n k `   文 件 。 应 用 ： 1 .   设 置   P r o g r a m D a t a   指 向 其 他   C : P r o g r a m D a t a   以 外 的 文 件 夹 ； 2 .   创 建 目 录 树 ： M i c r o s o f t W i n d o w s S t a r t   M e n u P r o g r a m s A d m i n i s t r a t i v e   T o o l s 3 .   创 建 一 个 链 接 文 件 ( . l n k ) ， 其 指 向 的 路 径 前 面 包 含 我 们 要 执 行 的 命 令 ； 4 .   运 行   C o m p M g m t L a u n c h e r . e x e   或 是 点 击   " 管 理 " 。 结 果 ： 终 于 成 功 了 ！ 总 结 总 结 W i n d o w s   中 的 环 境 变 量 不 仅 可 以 帮 助 攻 击 者 在 攻 击 之 前 进 行 信 息 收 集 ， 更 可 以 帮 助 到 后 续 的 各 种 攻 击 ， 本 文 只 讨 论 了 W i n d o w s   环 境 变 量 的 部 分 利 用 ， 更 多 方 法 还 需 要 大 家 不 停 的 探 索 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理