通过regsrv32exe绕过Applocker应用程序白名单的多种方

2019-07-22 22:08 来源:未知

  在大型组织的安全领域中,AppLocker正在扮演越来越重要的角色。应用AppLocker规则可以显著降低企业的安全风险,AppLocker规则可以应用于目标应用,这些规则也是构成AppLocker策略的基本组件。

  AppLocker控制台以规则集合作为组织单元,这些集合包括可执行文件、脚本、Windows安装文件、封装的应用和应用安装包以及DLL文件。这些规则可以让我们轻松区分开不同类型的应用。

  规则条件可以帮助AppLocker识别哪些应用对应哪些规则。三个主要的规则条件分别为应用发布者、路径以及文件哈希。

  看似这些强大的规则让黑客攻击无处遁形,但不幸的是,对于防御者来说,除了默认规则以外,AppLocker还涉及到许多自定义配置,而黑客正是利用这些配置作为突破口的。本文将介绍通过 regsrv32.exe绕过Applocker应用程序白名单的多种方法。

  Regsvr32全称是Microsoft Register Server。它是windows的命令行实用工具。虽然regsvr32有时会引起一些莫名其妙的问题,但作为Windows系统文件,它仍是一个重要的文件。该文件位于C:\Windows的子文件夹中,该文件能够观察、跟踪和影响其他程序。由于它是.exe格式,所以主要被用于在Windows文件扩展名中注册和注销程序,它的进程可以广泛地协助OLE(对象链接和嵌入),DLL(数据链接库)和OCX(ActiveX控件模块)。上述流程在后台工作,可以通过任务管理器查看。终止,它是微软最受信任的文件之一。

  当你在regsvr32中注册DLL文件时,与regsvr32关联的程序的信息将添加到Windows中。然后访问这些信息,以了解程序数据的位置以及如何与程序数据进行交互。在注册DLL文件时,信息会被添加到目录的中央,以便windows可以使用它。这些文件的整个路径都有可执行代码,由于这些文件,windows可以调用特定的函数。这些文件非常方便,当软件更新时,这些文件会自动调用更新后的版本。简而言之,它有助于避免软件的版本问题。通常,除了注册和注销DLL文件外,通常不使用此文件。

  此模块会快速启动一个提供有效载荷的web服务器,所提供的命令将允许下载和执行有效载荷。它将通过指定的脚本语言解释器或通过regsvr32.exe的“squiblydoo”来绕过应用程序白名单。该模块的主要目的是当攻击者不得不手动输入命令时,在目标设备上快速建立会话,例如命令注入。

  Regsvr32使用“squiblydoo”技术来绕过应用程序白名单,签名的Microsoft二进制文件Regsvr32能够请求.sct文件,然后在其中执行包含的PowerShell命令。两个web请求(即, .sct文件和PowerShell下载或执行)都可以发生在同一个端口上。PSH(Binary)”会将文件写入磁盘,允许自定义二进制文件被下载或执行。

  一旦使用这些文本开始运行漏洞,你将拥有一个为自定义的URL,就可以在受害者电脑的命令提示符中运行该URL。

  在命令执行后按回车键,就将进行会话。输入“sysinfo”以获取目标电脑的信息。

  Empire是一款类似Metasploit的渗透测试框架,基于python编写,Empire是一个纯粹的PowerShell后开发代理,建立在密码安全通信和灵活的架构上。Empire实现了无需powershell.exe即可运行PowerShell代理的功能,从键盘记录器到Mimikatz等快速部署的后期开发模块,以及适应性通信以避开网络检测,所有这些都包含在以可用性为重点的框架中。

  如下所示,启动Empire框架后,输入listener命令,以检查是否存在反侦查进程。

  使用上述命令,你将拥有一个反侦查进程。输入back命令,就可以退出反侦查进程,以便启动PowerShell。

  一旦你退出listener命令,就需要使用一个漏洞来创建恶意文件。在Empire中,stage代表一段代码,它允许我们的恶意代码通过受感染的主机上的代理运行。这意味着要创建一个漏洞,我们将不得不通过usestager。命令如下:

  执行命令后,usestager将在/ tmp中创建一个launcher.sct。现在要获得会话,就必须通过输入以下内容来启动python服务器:

  当服务器启动时,剩下的唯一步骤就是在受害者的电脑中执行我们的恶意软件。此时,就要在命令提示符中输入以下命令:

  在上面的命令中,我们使用了端口8080,这是因为我们的python服务器在同一个端口上被激活。

  该方法必须利用一个漏洞才能实现,使用的漏洞会帮助我们创建powershell代码,现在就让我们首先创建powershell吧!

  现在我们需要创建一个.sct文件,以便我们的攻击能够运行。为此,我们在网上找到了一个脚本来创建.sct文件。

  复制由web_delivery创建的PowerShell代码并将其粘贴到上面的脚本中,其中显示“calc.exe”,最后使用.sct扩展名保存。

  然后像之前一样,运行以下命令,在受害者的电脑上用regsvr32.exe执行.sct文件:

  执行上述命令后,你将通过web_delivery进行会话。我们要访问会话类型“sessions 1”和“info”才能获取有关系统的基本信息。

  现在,我们讲的是使用msfvenom。Msfvenom是Metasploit的命令行实例,用于生成和输出Metasploit中提供的所有各种类型的shellcode。通过这种方法,我们将创建两个.sct文件,一个用于下载我们的恶意软件,另一个用于执行它。首先,让我们输入以下msfvenom命令:

  同时,在前一个方法中使用的同一脚本中,我们是通过注入certutil.exe命令以从远程服务器调用shell.exe文件。因此,使用 “calc .exe”编写以下脚本并使用.sct扩展名再次保存文件:

  我们在这里使用了certutil,因为它允许在Windows中下载文件并将文件保存为3.sct。

  此时,我们将创建另一个文件来执行我们以前的文件“shell.exe”。为此,再次使用 “calc .exe”编写脚本:

  Meterpreter是Metasploit框架中的一个扩展模块,作为溢出成功以后的攻击载荷使用,攻击载荷在溢出攻击成功以后给我们返回一个控制通道。使用它作为攻击载荷能够获得目标系统的一个Meterpreter shell的链接。Meterpreter shell作为渗透模块有很多有用的功能,比如添加一个用户、隐藏一些东西、打开shell、得到用户密码、上传下载远程主机的文件、运行cmd.exe、捕捉屏幕、得到远程控制权、捕获按键信息、清除应用程序、显示远程主机的系统信息、显示远程机器的网络接口和IP地址等信息。另外Meterpreter能够躲避入侵检测系统。在远程主机上隐藏自己,它不改变系统硬盘中的文件,因此HIDS[基于主机的入侵检测系统]很难对它做出响应。此外它在运行的时候系统时间是变化的,所以跟踪它或者终止它会非常困难。

  攻击者与目标设备中Meterpreter的通信是通过Stager套接字实现的meterpreter作为后渗透模块有多种类型,并且命令由核心命令和扩展库命令组成。Stager这种载荷负责建立目标用户与攻击者之间的网络连接,并下载额外的组件或应用程序。一种常见的Stagers Payload就是reverse_tcp,它可以让目标系统与攻击者建立一条tcp连接。另一种常见的是bind_tcp,它可以让目标系统开启一个tcp,而攻击者随时可以与目标系统进行通信。

  JSRAT是一个由Python编写的脚本,它可以实现对远程PC的shell管理,下载地址请点此。这是一个非常小的命令和控制框架,就像koadic和Powershell Empire一样,不过它仅为rundll32.exe和regsvr32.exe生成恶意任务。 JSRat创建了一个Web服务器后,在该Web服务器上,我们就可以找到.sct文件。输入命令如下:

  在浏览器中打开它,此时,你将找到需要在受害者的PC上运行的.sct文件。

  借助GreatSCT这样一个工具,我们不仅可以使用me tasploit的漏洞利用代码,并且还能对其进行免杀处理,以绕过大多数防病毒程序。目前,GreatSCT是由@_ConsciousHacker.进行维护的,你可以点此下载。

  然后它会询问你的有效载荷,此时,你只需按Enter即可将windows/meterpreter/reverse_tcp作为默认有效载荷,而这就是我们需要的载荷。在像这样提供IP之后,我们已经给出了192.168.1.107和给定的端口,此时,我们将lport命名为2345。

  在得到详细信息后,它会询问你恶意软件的名称。默认情况下,设置名称都是“payload”,以便你可以给出名称或只按回车键以进行默认设置。

  按回车键后,它将生成两个文件。其中一个将是资源文件,另一个是.sct文件。

  同时,使用资源文件启动multi / handler。输入命令如下所示:

  使用regsvr32获取会话是一种非常复杂且另辟蹊径的方式,因此,上述方法要使用到不同的工具和软件,以允许我们完成此攻击。

TAG标签: msf命令
版权声明:转载须经版权人书面授权并注明来源