搜索

[402] 2021-07-07_Windows权限维持-AMSI

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-16
2021-07-07_Windows权限维持-AMSI W i n d o w s 权 限 维 持 - A M S I 原 创   a F a 攻 防 实 验 室   a F a 攻 防 实 验 室   2 0 2 1 - 0 7 - 0 7 收 录 于 话 题   # 内 网 攻 防   , 4 3 个 A M S I A M S I 是 W i n d o w s 下 的 一 个 接 口 ， 全 称 是 A n t i - M a l w a r e   S c a n   I n t e r f a c e ， 叫 反 恶 意 软 件 扫 描 接 口 ， 用 来 检 测 恶 意 程 序 的 。 例 如 W i n d o w s   D e f e n d e r 就 会 和 A M S I   A P I 进 行 交 互 ， 大 概 过 程 是 这 样 的 ： 比 如 要 执 行 一 段 P o w e r s h e l l 脚 本 ， 执 行 前 会 向 P o w e r s h e l l 进 程 注 入 一 个 A M S I . d l l ， 该 D L L 会 检 测 缓 冲 区 内 容 、 命 令 的 内 容 ， 如 果 发 现 恶 意 关 键 字 或 恶 意 软 件 的 签 名 ， W i n d o w s   D e f e n d e r 就 会 阻 止 并 提 醒 存 在 危 险 操 作 。 不 仅 是 W i n d o w s   D e f e n d e r ， 任 何 杀 软 都 可 以 通 过 A M S I 接 口 来 进 行 相 关 功 能 的 开 发 ， A M S I 除 了 会 检 测 P o w e r s h e l l 外 ， 还 会 检 测 V B S r i p t 、 e x e 、 S c r i p t l e t 等 。
例 如 这 里 打 开 P o w e r s h e l l （ P r o c e s s   E x p l o r e r ） 会 发 现 进 程 中 有 出 现 a m s i . d l l ： 维 持 原 理 维 持 原 理 向 第 三 方 杀 软 也 可 以 使 用 A M S I 接 口 来 进 行 交 互 ， 以 此 识 别 恶 意 脚 本 或 命 令 ， 微 软 提 供 了 示 例 代 码 ， 该 示 例 代 码 编 译 为 d l l ， 文 件 名 为 A m s i P r o v i d e r ， 使 用 r e g s v r 3 2 注 册 后 ， 会 随 着 a m s i 一 块 注 入 到 相 关 进 程 中 。 d l l 中 可 指 定 触 发 命 令 的 关 键 字 ， 当 p o w e r s h e l l 命 令 包 含 关 键 字 时 ， 恶 意 命 令 将 运 行 ， 大 概 类 似 下 面 这 个 流 程 ：
维 持 测 试 维 持 测 试 这 里 站 在 巨 人 的 肩 膀 上 ， 直 接 使 用 写 好 的 测 试 ， 链 接 参 考 在 最 后 面 ， 下 载 A m s i P r o v i d e r . d l l 进 行 注 册 ： 注 册 后 打 开 p o w e r s h e l l ， 输 入 关 键 字 p e n t e s t l a b 来 触 发 命 令 ， 上 面 命 令 会 调 用 计 算 器 ：
作 者 提 供 了 c p p 源 码 ， 关 键 字 以 及 触 发 后 执 行 的 命 令 都 可 以 修 改 ， 使 用 v s 将 源 码 导 入 从 新 编 译 即 可 。 例 如 把 关 键 字 改 为 p o w e r s h e l l ， 命 令 改 为 运 行 n o t e p a d ： 备 注 ： A M S I 应 该 是 只 有 w i n 1 0 专 业 版 、 企 业 版 和 w i n s e r v e r 2 0 1 6 支 持 。 参 考 链 接 参 考 链 接 h t t p s : / / g i t h u b . c o m / n e t b i o s X / A M S I - P r o v i d e r h t t p s : / / d o c s . m i c r o s o f t . c o m / e n - u s / s a m p l e s / m i c r o s o f t / w i n d o w s - c l a s s i c - s a m p l e s / i a n t i m a l w a r e p r o v i d e r - s a m p l e /
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理