渗透技巧——Windows下NTFS文件的USN Journal
0x00 前言
在上篇文章《渗透技巧——Windows下NTFS文件的时间属性》介绍了修改NTFS文件时间属性的方法和细节，以及取证上的建议。 本文将要继续研究NTFS文件另一处记录文件修改时间的位置——USN Journal，同样是分析利用思路，给出取证上的建议。
0x01 简介
本文将要介绍以下内容：
- 基本概念
- 读取USN Journal的方法
- 利用思路
- 取证建议
0x02 USN Journal的基本概念
官方文档：
https://docs.microsoft.com/en-us/previous-versions/windows/it-pro/windows-2000-server/bb742450(v=technet.10)
USN Journal (Update Sequence Number Journal)，也称作Change Journal，用来记录NTFS volume中文件修改的信息，能够提高搜索文件的效率
每个NTFS volume对应一个USN Journal，存储在NTFS metafile的$Extend\$UsnJrnl中，也就是说，不同的NTFS volume对应的USN Journal不同
USN Journal会记录文件和目录的创建、删除、修改、重命名和加解密操作，每条记录的格式如下：
typedef struct {
DWORD RecordLength;
WORD MajorVersion;
WORD MinorVersion;
DWORDLONG FileReferenceNumber;
DWORDLONG ParentFileReferenceNumber;
USN Usn;
LARGE_INTEGER TimeStamp;
DWORD Reason;
DWORD SourceInfo;
DWORD SecurityId;
DWORD FileAttributes;
WORD FileNameLength;
WORD FileNameOffset;
WCHAR FileName[1];
} USN_RECORD_V2, *PUSN_RECORD_V2;
官方资料：
https://docs.microsoft.com/en-us/windows/desktop/api/winioctl/ns-winioctl-usn_record_v2
在NTFS metafile的$Extend\$UsnJrnl\$Max保存USN Journal文件的总大小，如果USN Journal的记录长度超出总大小，会从最初始的记录开始覆盖
0x03 读取USN Journal的方法
1、使用命令fsutil usn
官方文档：
https://docs.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2008-R2-and-2008/cc788042(v%3dws.10)
(1)查看C盘的USN Journal信息
fsutil usn queryjournal c:
包括以下信息：
- Usn Journal ID
- First Usn
- Next Usn
- Lowest Valid Usn
- Max Usn
- Maximum Size
- Allocation Delta
(2)查看C盘所有的USN Journal
fsutil usn enumdata 1 0 1 c:
包括以下信息：
- File Ref#
- ParentFile Ref#
- Usn
- SecurityId
- Reason
- Name
输出结果不够详细
2、使用开源工具
(1)导出USN Journal
下载地址：
https://github.com/jschicht/ExtractUsnJrnl
参数如下：
ExtractUsnJrnl /DevicePath:c: /OutputPath:c:\test /OutputName:UsnJrnl_vol1.bin
(2)将USN Journal转为CSV格式输出
下载地址：
https://github.com/jschicht/UsnJrnl2Csv
参数如下：
UsnJrnl2Csv /UsnJrnlFile:c:\test\UsnJrnl_vol1.bin /OutputPath:c:\test
包括以下信息：
- Offset
- FileName
- USN
- Timestamp
- Reason
- MFTReference
- MFTReferenceSeqNo
- MFTParentReference
- MFTParentReferenceSeqNo
- FileAttributes
- MajorVersion
- MinorVersion
- SourceInfo
- SecurityId
输出结果很完整
3、c++实现
我这里写了一个简单的示例代码，下载地址：
https://github.com/3gstudent/Homework-of-C-Language/blob/master/EnumUsnJournal.cpp
代码实现了枚举C盘的USN Journal，仅输出文件名
0x04 利用思路
1、清除所有USN Journal
(1)使用fsutil
fsutil usn deletejournal /d c:
注：
我在测试环境下没有删除成功
(2)API
https://docs.microsoft.com/en-us/windows/desktop/api/winioctl/ns-winioctl-delete_usn_journal_data
注：
我在测试环境下没有删除成功
2、清除单条USN Journal
我还没有找到可用的API接口
唯一的方法是直接修改NTFS文件，但是自nt6.x开始，Windows禁止加载未经签名的驱动文件
这里可以尝试使用付费版的WinHex对NTFS文件进行操作，修改$Extend\$UsnJrnl中的内容
也可以尝试绕过驱动保护
$UsnJrnl的内容可参考：
http://forensicinsight.org/wp-content/uploads/2013/07/F-INSIGHT-Advanced-UsnJrnl-Forensics-English.pdf
按照格式读取USN Journal，删除指定USN Journal，再写入磁盘
3、暴力覆盖
首先查看磁盘USN Journal文件的总长度
然后通过创建、删除、修改、重命名等操作生成USN Journal的记录，当超过总长度后会覆盖最初始的记录，直至覆盖所有的USN Journal
0x05 取证建议
1、读取USN Journal，列出所有记录，查找是否存在可疑记录
该方法并非完全可信，攻击者只要能够绕过驱动保护，就能修改USN Journal
2、尝试其他方法
比如从内存中读取$MFT records
https://github.com/jschicht/HexDump
https://github.com/jschicht/MftCarver
Joakim Schicht的github有很多取证的工具值得参考:
https://github.com/jschicht/
0x06 小结
本文介绍了NTFS文件的USN Journal的利用思路，给出取证上的建议。