Good in study, attitude and health

  • 渗透技巧——Windows单条日志的删除

    0x00 前言 在之前的文章《渗透技巧——Windows日志的删除与绕过》介绍了常见的Windows日志清除与绕过方法,但未提到单条日志的清除。 这一次将要结合刚刚完成的Windows XML Event Log (EVTX)单条日志清除系列文章,介绍在渗透测试中Windows XML Event Log (EVTX)单条日志清除的具体使用方法,同时结合利用思路给出防御建议 Windows XML Event Log (EVTX)单条日志清除系列文章地址: Windows XML Event Log (EVTX)单条日志清除(一)——删除思路与实例 Windows XML Event Log (EVTX)单条日志清除(二)——程序实现删除evtx文件的单条日志记录 Windows XML Event Log (EVTX)单条日志清除(三)——通过解除文件占用删除当前系统单条日志记录 Windows XML Event Log (EVTX)单条日志清除(四)——通过注入获取日志文件句柄删除当前系统单条日志记录 Windows XML Event Log (EVTX)单条日志清除(五)——通过DuplicateHandle获取日志文件句柄删除当前系统单条日志记录 0x01 简介 本文将要介绍以下内容: 通过命令行获得日志信息 通过命令行导出日志文件 将修改后的日志文件覆盖系统原文件 细节和注意点 防御建议...

  • Windows Event Viewer Log (EVT)单条日志清除(三)——删除当前系统指定指定时间段evt日志记录

    0x00 前言 Windows Event Viewer Log (EVT)单条日志清除系列文章的第三篇,介绍删除当前系统指定时间段evt日志记录的方法和详细测试过程,说明无法修改日志数量的原因,最后开源查询日志内容和修改日志内容的实现代码 0x01 简介 本文将要介绍以下内容: XP系统下枚举系统所有句柄的方法 筛选日志文件句柄的条件 XP下Dll注入的实例代码 实际测试过程 无法修改日志数量的原因 日志查询的程序实现细节 日志修改的程序实现细节 0x02 XP系统下枚举系统所有句柄 之前的文章《Windows单条日志清除(五)——通过DuplicateHandle获取日志文件句柄删除当前系统单条日志记录》介绍了Win8及以上系统的实现方法: 利用NtQuerySystemInformation查询SystemHandleInformation能够获得所有进程的句柄信息 通过NtDuplicateObject获取句柄的名称和具体的数值信息 筛选出想要查找的句柄 通过DuplicateHandle复制句柄 获得修改日志文件的权限 在XP系统下,无法使用NtQuerySystemInformation查询SystemHandleInformation获得进程的句柄信息 参考processhacker的源码,寻找实现方法 代码位置: https://github.com/processhacker/processhacker/blob/e2d793289dede80f6e3bda26d6478dc58b20b7f8/ProcessHacker/hndlprv.c#L307 获得参考资料: On Windows 8 and later, NtQueryInformationProcess with ProcessHandleInformation is the most efficient method. On Windows XP and later, NtQuerySystemInformation with...

  • Windows Event Viewer Log (EVT)单条日志清除(二)——程序实现删除evt文件指定时间段的日志记录

    0x00 前言 Windows Event Viewer Log (EVT)单条日志清除系列文章的第二篇,介绍删除evt文件指定时间段日志记录的思路,解决在程序设计上需要考虑的多个问题,开源实现代码。 0x01 简介 本文将要介绍以下内容: 对指定evt文件指定时间段日志记录的删除思路 程序实现细节 开源代码 0x02 删除evt文件指定时间段日志记录的思路 对比之前文章中提到的evtx文件单条日志删除方法,evt文件无法使用相同的思路 这是因为evt的文件结构中不包括唯一值EventRecordID,也就无法定位到指定的日志 经过分析,发现可以选择日志的创建时间作为输入项,指定起始日期和结束日期,删除这个时间段内的日志内容 而日志创建时间的格式为time_t类型,这里需要做一个考虑time_t类型和格林威治标准时间(Greenwich Mean Time,GMT)之间的转换 在程序实现上,思路如下: 遍历所有日志,过滤掉符合删除条件的日志,保存剩下的日志内容 筛选完成后,后续日志的Record number作减法,减去删除的日志条数 更新file header中的End of file record offset,Last (newest) record number和Maximum file size 更新end of file record中的End of file record offset和Last (newest) record number 0x03 time_t类型和格林威治标准时间(Greenwich Mean...

  • Windows Event Viewer Log (EVT)单条日志清除(一)——删除思路与实例

    0x00 前言 Windows Event Viewer Log (EVT)单条日志清除系列文章的第一篇,侧重于介绍evt日志文件的基础知识和删除单条日志的实现思路与实例 Windows Event Viewer Log (EVT)适用于以下Windows系统: Windows NT 4 Windows 2000 Windows XP Windows 2003 注: 之前介绍了Windows XML Event Log (EVTX)适用于Win7及更高版本的系统 0x01 简介 本文将要介绍以下内容: evt文件格式 删除单条日志的思路 删除单条日志的实例 0x02 基础知识 evt文件格式指Windows Vista之前用于保存系统日志信息的文件,最常见的为XP和Server2003系统 日志文件默认保存位置: %systemroot%\system32\config 常见日志文件: 应用程序日志:AppEvent.Evt 安全日志:SecEvent.Evt 系统日志:SysEvent.Evt 查看日志的方法 (1) 通过界面 cmd -> eventvwr (2)...

  • 结束进程导致BSOD的利用分析

    0x00 前言 BSOD,全称Blue Screen of Death,即蓝屏死机。 通常是Ring0级的内核程序出错导致,在提权漏洞中经常遇到。 而在渗透测试中,某些情况下需要重启系统,例如配置Password Filter DLL,启用Wdigest Auth,重启域控服务器等。 某些条件下,可以选择触发BSOD导致系统重新启动。 那么,是否存在一个稳定的方法触发BSOD呢?更进一步的利用思路呢?如何防御? 0x01 简介 本文将要介绍以下内容: 测试几种结束当前进程导致BSOD的方法 修改指定进程,当进程退出后,导致BSOD 如何防御 0x02 结束当前进程导致BSOD的方法 找到如下参考资料: https://blog.csdn.net/qq125096885/article/details/52911870 提供多种结束当前进程导致BSOD的方法 经测试,适用Win7系统的方法有以下三种: CallRtlSetProcessIsCritical CallNtSetInformationThread CallNtRaiseHardError 1、CallRtlSetProcessIsCritical 关键代码: RtlSetProcessIsCritical(TRUE, NULL, FALSE); 参考资料: https://www.codeproject.com/Articles/43405/Protecting-Your-Process-with-RtlSetProcessIsCriti 函数原型: NTSTATUS RtlSetProcessIsCritical ( BOOLEAN bNew, // new setting for process BOOLEAN *pbOld, // pointer...

  • 渗透技巧——Windows系统的文件恢复与删除

    0x00 前言 在渗透测试中,文件的恢复和删除好比矛与盾。 文件恢复是指恢复目标系统已删除的文件,而文件删除是指删除在目标系统上使用过的工具,避免被恢复。 0x01 简介 本文将要介绍以下内容: 文件删除的原理 文件恢复的原理 利用PowerForensics恢复文件 利用SDelete删除文件 利用SDelete删除文件后,能否使用PowerForensics恢复 通过文件覆盖,防止文件被恢复 枚举所有进程,搜索指定文件的句柄,释放该句柄,解除文件占用,实现文件删除 程序实现细节和开源代码 0x02 文件删除与恢复的原理 参考资料: http://www.ntfs.com/ntfs_basics.htm 基本概念 Windows文件系统大都使用NTFS(New Technology File System)技术 NTFS中每个文件对应一个主文件表(Master File Table,MFT) MFT作为文件索引,存储文件的属性 文件删除的直观理解: 只修改了MFT(即文件属性),没有修改删除文件的内容 文件恢复的直观理解: 恢复文件的MFT即可 简单测试 新建文件test.txt,写入内容0123456789 使用工具:WinHex 下载地址: http://www.x-ways.net/winhex/ 选择Tools -> Open Disk,选择盘符 找到文件test.txt,右键 -> Navigation -> Seek FILE Record 查看test.txt的MFT信息,如下图 MFT的结构如下图...

  • Shodan API使用指南

    0x00 前言 Shodan是一个针对网络设备的搜索引擎,通过Shodan API进行搜索,不仅数据更加丰富,而且能够配合自己的程序实现自动化分析。 本文将要介绍Shodan API在使用过程需要注意的问题,分享使用心得和脚本开发技巧。 0x01 本文将要介绍以下内容 Shodan API的简单使用 利用python调用Shodan API获得搜索结果 对搜索结果作进一步处理 三种积分(credits)的区别 通过Shodan官网导出搜索结果和进一步处理 0x02 Shodan API的简单使用 1、注册账号,获得API Key 测试API Key为:SkVS0RAbiTQpzzEsahqnq2Hv6SwjUfs3 2、安装python包 pip install shodan 3、通过Shodan CLI获得搜索结果 参考资料: https://cli.shodan.io/ 注: 未付费只能获得100个搜索结果 CLI全称为command-line interface,即shodan的命令行模式 Windows系统下使用pip install在同级目录产生文件Shodan.exe 如下图 (1) 初始化 shodan init <api key> 实际命令为: shodan init SkVS0RAbiTQpzzEsahqnq2Hv6SwjUfs3 如下图 (2) 搜索指定内容(apache)的数量...

  • Windows XML Event Log (EVTX)单条日志清除(五)——通过DuplicateHandle获取日志文件句柄删除当前系统单条日志记录

    0x00 前言 Windows单条日志清除系列文章的第五篇,介绍第三种删除当前系统单条日志记录的方法:枚举当前系统的所有进程,获得指定日志文件的句柄,通过DuplicateHandle复制句柄,获得权限,利用该句柄实现日志文件的修改 0x01 简介 本文将要介绍以下内容: 利用思路 程序实现 枚举所有进程,获得指定文件句柄 通过DuplicateHandle复制句柄 开源实现代码 0x02 利用分析 上篇文章《Windows XML Event Log (EVTX)单条日志清除(四)——通过注入获取日志文件句柄删除当前系统单条日志记录》提到,某些条件下,高版本的Windows系统不允许注入保护进程svchost.exe,而我们又不想停掉日志服务,那么该怎么办呢? 我在之前的文章《渗透技巧——Windows系统的文件恢复与删除》曾涉及到解决方法,可以尝试通过DuplicateHandle复制句柄,将“伪句柄”转换成实句柄,获得日志文件的操作权限 0x03 枚举所有进程,获得指定文件句柄 思路如下: 使用内核API NtQuerySystemInformation查询SystemHandleInformation,获得所有进程的句柄 筛选出类型为文件的句柄 如果无法打开句柄对应的进程,留下标志位,不再重复打开该进程 过滤出有可能导致挂起的句柄,利用API WaitForSingleObject进行判断 通过NtDuplicateObject获取句柄的名称和具体的数值信息,筛选出指定句柄 代码参考地址: https://github.com/3gstudent/Homework-of-C-Language/blob/master/EnumerateProcess%26GetFile’sHandle%26CloseHandle(Win7).cpp 代码适用于Win7和更高版本的操作系统,并提供了是否选择关闭句柄的功能 当然,也可以先枚举服务信息,找到日志服务对应的进程,缩小查询范围,再获得日志文件的句柄,思路如下: 枚举服务信息,找到日志服务对应的进程 使用内核API NtQuerySystemInformation查询SystemHandleInformation,获得所有进程的句柄 筛选出日志服务对应进程中的句柄 通过NtDuplicateObject获取句柄的名称和具体的数值信息,筛选出指定句柄 在效率上会更高,不会遇到有可能导致挂起的句柄 代码参考地址: https://github.com/3gstudent/Homework-of-C-Language/blob/master/GetPIDandHandle(evtx).cpp 代码实现了自动获得日志服务的进程,缩小查询范围,获得日志文件的句柄 0x04 通过DuplicateHandle复制句柄 通过枚举进程获得了日志文件的句柄后,发现这是一个“伪句柄”,原因如下: 获取句柄的具体内容需要调用NtDuplicateObject DuplicateObject的函数原型: BOOL WINAPI DuplicateHandle(...

  • Windows XML Event Log (EVTX)单条日志清除(四)——通过注入获取日志文件句柄删除当前系统单条日志记录

    0x00 前言 Windows XML Event Log (EVTX)单条日志清除系列文章的第四篇,介绍第二种删除当前系统单条日志记录的方法:获得日志服务Eventlog对应进程中指定日志文件的句柄,通过Dll注入获得该句柄的操作权限,利用该句柄实现日志文件的修改 0x01 简介 本文将要介绍以下内容: 利用思路 程序实现 枚举日志服务Eventlog对应进程的所有句柄,获得指定日志文件的句柄 通过Dll注入获得该句柄的操作权限 进程间消息传递的方法 0x02 利用思路 系统启动日志服务Eventlog后,会以独占模式打开日志文件,导致其他进程无法打开该日志文件,也就无法进行修改操作 那么,如果我们通过Dll注入进入进程的内存,接着获得指定日志文件的句柄,能否获得该日志文件的操作权限呢? 0x03 枚举日志服务Eventlog对应进程的所有句柄,获得指定日志文件的句柄 1、利用工具processhacker获得指定日志文件的句柄 下载地址: https://processhacker.sourceforge.io/ (1)获得日志服务Eventlog对应进程的pid 执行如下powershell代码: Get-WmiObject -Class win32_service -Filter "name = 'eventlog'" | select -exp ProcessId (2)运行processhacker 根据pid找到进程,查看Properties->Handles 能够获得当前进程的所有句柄信息 如下图 可以看到C:\Windows\System32\winevt\Logs\Security.evtx对应的Handle值为0x1c8 2、通过c++程序实现获得指定日志文件的句柄 查看processhacker的源码,寻找实现方法 代码位置: https://github.com/processhacker/processhacker/blob/e2d793289dede80f6e3bda26d6478dc58b20b7f8/ProcessHacker/hndlprv.c#L307 获得参考资料: On Windows 8...

  • Windows XML Event Log (EVTX)单条日志清除(三)——通过解除文件占用删除当前系统单条日志记录

    0x00 前言 Windows XML Event Log (EVTX)单条日志清除系列文章的第三篇,介绍第一种删除当前系统evtx日志文件单条日志记录的方法:关闭服务对应的进程,释放文件句柄,解除文件占用,删除日志,重启服务 0x01 简介 本文将要介绍以下内容: 通过c程序枚举服务信息,提取Eventlog服务对应进程svchost.exe的pid 通过c程序提权关闭Eventlog进程 通过c程序释放文件句柄 通过c程序删除单条日志文件 0x02 删除思路 在上篇文章《Windows XML Event Log (EVTX)单条日志清除(二)——程序实现删除evtx文件的单条日志记录》介绍了删除单条日志记录的方法,但如果直接用来删除当前系统的日志,在打开文件时会报错,提示文件被占用 这是因为当前系统启动日志服务Eventlog后,会以独占模式打开日志文件,导致其他进程无法打开该日志文件,也就无法进行修改操作 有以下两种解决方法: 结束日志服务Eventlog对应的进程,释放文件句柄,获得修改日志文件的权限 获得日志服务Eventlog对应进程中指定日志文件的句柄,利用该句柄实现日志文件的修改 本文将要介绍第一种解决方法,分享在程序实现上的细节,最后开源实现代码 第二种解决方法会在之后的文章进行详细介绍 0x03 获得Eventlog服务对应进程svchost.exe的pid 由于Windows系统有多个svchost.exe进程,无法直接搜索进程名”svchost.exe”获得Eventlog服务对应的进程pid 查询思路: 枚举当前系统服务,根据服务名称筛选出对应的进程pid 1、通过powershell实现 代码如下: Get-WmiObject -Class win32_service -Filter "name = 'eventlog'" | select -exp ProcessId 2、通过c++实现 #include <windows.h> #pragma comment(lib,"Advapi32.lib")...