-
结束进程导致BSOD的利用分析
0x00 前言 BSOD，全称Blue Screen of Death，即蓝屏死机。 通常是Ring0级的内核程序出错导致，在提权漏洞中经常遇到。 而在渗透测试中，某些情况下需要重启系统，例如配置Password Filter DLL，启用Wdigest Auth，重启域控服务器等。 某些条件下，可以选择触发BSOD导致系统重新启动。 那么，是否存在一个稳定的方法触发BSOD呢？更进一步的利用思路呢？如何防御？ 0x01 简介 本文将要介绍以下内容： 测试几种结束当前进程导致BSOD的方法 修改指定进程，当进程退出后，导致BSOD 如何防御 0x02 结束当前进程导致BSOD的方法 找到如下参考资料： https://blog.csdn.net/qq125096885/article/details/52911870 提供多种结束当前进程导致BSOD的方法 经测试，适用Win7系统的方法有以下三种： CallRtlSetProcessIsCritical CallNtSetInformationThread CallNtRaiseHardError 1、CallRtlSetProcessIsCritical 关键代码： RtlSetProcessIsCritical(TRUE, NULL, FALSE); 参考资料： https://www.codeproject.com/Articles/43405/Protecting-Your-Process-with-RtlSetProcessIsCriti 函数原型： NTSTATUS RtlSetProcessIsCritical ( BOOLEAN bNew, // new setting for process BOOLEAN *pbOld, // pointer...
-
渗透技巧——Windows系统的文件恢复与删除
0x00 前言 在渗透测试中，文件的恢复和删除好比矛与盾。 文件恢复是指恢复目标系统已删除的文件，而文件删除是指删除在目标系统上使用过的工具，避免被恢复。 0x01 简介 本文将要介绍以下内容： 文件删除的原理 文件恢复的原理 利用PowerForensics恢复文件 利用SDelete删除文件 利用SDelete删除文件后，能否使用PowerForensics恢复 通过文件覆盖，防止文件被恢复 枚举所有进程，搜索指定文件的句柄，释放该句柄，解除文件占用，实现文件删除 程序实现细节和开源代码 0x02 文件删除与恢复的原理 参考资料： http://www.ntfs.com/ntfs_basics.htm 基本概念 Windows文件系统大都使用NTFS（New Technology File System）技术 NTFS中每个文件对应一个主文件表(Master File Table，MFT) MFT作为文件索引，存储文件的属性 文件删除的直观理解： 只修改了MFT(即文件属性)，没有修改删除文件的内容 文件恢复的直观理解： 恢复文件的MFT即可 简单测试 新建文件test.txt，写入内容0123456789 使用工具：WinHex 下载地址： http://www.x-ways.net/winhex/ 选择Tools -> Open Disk，选择盘符 找到文件test.txt，右键 -> Navigation -> Seek FILE Record 查看test.txt的MFT信息，如下图 MFT的结构如下图...
-
Shodan API使用指南
0x00 前言 Shodan是一个针对网络设备的搜索引擎，通过Shodan API进行搜索，不仅数据更加丰富，而且能够配合自己的程序实现自动化分析。 本文将要介绍Shodan API在使用过程需要注意的问题，分享使用心得和脚本开发技巧。 0x01 本文将要介绍以下内容 Shodan API的简单使用 利用python调用Shodan API获得搜索结果 对搜索结果作进一步处理 三种积分(credits)的区别 通过Shodan官网导出搜索结果和进一步处理 0x02 Shodan API的简单使用 1、注册账号，获得API Key 测试API Key为：SkVS0RAbiTQpzzEsahqnq2Hv6SwjUfs3 2、安装python包 pip install shodan 3、通过Shodan CLI获得搜索结果 参考资料： https://cli.shodan.io/ 注： 未付费只能获得100个搜索结果 CLI全称为command-line interface，即shodan的命令行模式 Windows系统下使用pip install在同级目录产生文件Shodan.exe 如下图 (1) 初始化 shodan init <api key> 实际命令为： shodan init SkVS0RAbiTQpzzEsahqnq2Hv6SwjUfs3 如下图 (2) 搜索指定内容（apache）的数量...
-
Windows XML Event Log (EVTX)单条日志清除（五）——通过DuplicateHandle获取日志文件句柄删除当前系统单条日志记录
0x00 前言 Windows单条日志清除系列文章的第五篇，介绍第三种删除当前系统单条日志记录的方法：枚举当前系统的所有进程，获得指定日志文件的句柄，通过DuplicateHandle复制句柄，获得权限，利用该句柄实现日志文件的修改 0x01 简介 本文将要介绍以下内容： 利用思路 程序实现 枚举所有进程，获得指定文件句柄 通过DuplicateHandle复制句柄 开源实现代码 0x02 利用分析 上篇文章《Windows XML Event Log (EVTX)单条日志清除（四）——通过注入获取日志文件句柄删除当前系统单条日志记录》提到，某些条件下，高版本的Windows系统不允许注入保护进程svchost.exe，而我们又不想停掉日志服务，那么该怎么办呢？ 我在之前的文章《渗透技巧——Windows系统的文件恢复与删除》曾涉及到解决方法，可以尝试通过DuplicateHandle复制句柄，将“伪句柄”转换成实句柄，获得日志文件的操作权限 0x03 枚举所有进程，获得指定文件句柄 思路如下： 使用内核API NtQuerySystemInformation查询SystemHandleInformation，获得所有进程的句柄 筛选出类型为文件的句柄 如果无法打开句柄对应的进程，留下标志位，不再重复打开该进程 过滤出有可能导致挂起的句柄，利用API WaitForSingleObject进行判断 通过NtDuplicateObject获取句柄的名称和具体的数值信息，筛选出指定句柄 代码参考地址： https://github.com/3gstudent/Homework-of-C-Language/blob/master/EnumerateProcess%26GetFile’sHandle%26CloseHandle(Win7).cpp 代码适用于Win7和更高版本的操作系统，并提供了是否选择关闭句柄的功能 当然，也可以先枚举服务信息，找到日志服务对应的进程，缩小查询范围，再获得日志文件的句柄，思路如下： 枚举服务信息，找到日志服务对应的进程 使用内核API NtQuerySystemInformation查询SystemHandleInformation，获得所有进程的句柄 筛选出日志服务对应进程中的句柄 通过NtDuplicateObject获取句柄的名称和具体的数值信息，筛选出指定句柄 在效率上会更高，不会遇到有可能导致挂起的句柄 代码参考地址： https://github.com/3gstudent/Homework-of-C-Language/blob/master/GetPIDandHandle(evtx).cpp 代码实现了自动获得日志服务的进程，缩小查询范围，获得日志文件的句柄 0x04 通过DuplicateHandle复制句柄 通过枚举进程获得了日志文件的句柄后，发现这是一个“伪句柄”，原因如下： 获取句柄的具体内容需要调用NtDuplicateObject DuplicateObject的函数原型： BOOL WINAPI DuplicateHandle(...
-
Windows XML Event Log (EVTX)单条日志清除（四）——通过注入获取日志文件句柄删除当前系统单条日志记录
0x00 前言 Windows XML Event Log (EVTX)单条日志清除系列文章的第四篇，介绍第二种删除当前系统单条日志记录的方法：获得日志服务Eventlog对应进程中指定日志文件的句柄，通过Dll注入获得该句柄的操作权限，利用该句柄实现日志文件的修改 0x01 简介 本文将要介绍以下内容： 利用思路 程序实现 枚举日志服务Eventlog对应进程的所有句柄，获得指定日志文件的句柄 通过Dll注入获得该句柄的操作权限 进程间消息传递的方法 0x02 利用思路 系统启动日志服务Eventlog后，会以独占模式打开日志文件，导致其他进程无法打开该日志文件，也就无法进行修改操作 那么，如果我们通过Dll注入进入进程的内存，接着获得指定日志文件的句柄，能否获得该日志文件的操作权限呢？ 0x03 枚举日志服务Eventlog对应进程的所有句柄，获得指定日志文件的句柄 1、利用工具processhacker获得指定日志文件的句柄 下载地址： https://processhacker.sourceforge.io/ (1)获得日志服务Eventlog对应进程的pid 执行如下powershell代码： Get-WmiObject -Class win32_service -Filter "name = 'eventlog'" | select -exp ProcessId (2)运行processhacker 根据pid找到进程，查看Properties->Handles 能够获得当前进程的所有句柄信息 如下图 可以看到C:\Windows\System32\winevt\Logs\Security.evtx对应的Handle值为0x1c8 2、通过c++程序实现获得指定日志文件的句柄 查看processhacker的源码，寻找实现方法 代码位置： https://github.com/processhacker/processhacker/blob/e2d793289dede80f6e3bda26d6478dc58b20b7f8/ProcessHacker/hndlprv.c#L307 获得参考资料： On Windows 8...
-
Windows XML Event Log (EVTX)单条日志清除（三）——通过解除文件占用删除当前系统单条日志记录
0x00 前言 Windows XML Event Log (EVTX)单条日志清除系列文章的第三篇，介绍第一种删除当前系统evtx日志文件单条日志记录的方法：关闭服务对应的进程，释放文件句柄，解除文件占用，删除日志，重启服务 0x01 简介 本文将要介绍以下内容： 通过c程序枚举服务信息，提取Eventlog服务对应进程svchost.exe的pid 通过c程序提权关闭Eventlog进程 通过c程序释放文件句柄 通过c程序删除单条日志文件 0x02 删除思路 在上篇文章《Windows XML Event Log (EVTX)单条日志清除（二）——程序实现删除evtx文件的单条日志记录》介绍了删除单条日志记录的方法，但如果直接用来删除当前系统的日志，在打开文件时会报错，提示文件被占用 这是因为当前系统启动日志服务Eventlog后，会以独占模式打开日志文件，导致其他进程无法打开该日志文件，也就无法进行修改操作 有以下两种解决方法： 结束日志服务Eventlog对应的进程，释放文件句柄，获得修改日志文件的权限 获得日志服务Eventlog对应进程中指定日志文件的句柄，利用该句柄实现日志文件的修改 本文将要介绍第一种解决方法，分享在程序实现上的细节，最后开源实现代码 第二种解决方法会在之后的文章进行详细介绍 0x03 获得Eventlog服务对应进程svchost.exe的pid 由于Windows系统有多个svchost.exe进程，无法直接搜索进程名”svchost.exe”获得Eventlog服务对应的进程pid 查询思路： 枚举当前系统服务，根据服务名称筛选出对应的进程pid 1、通过powershell实现 代码如下： Get-WmiObject -Class win32_service -Filter "name = 'eventlog'" | select -exp ProcessId 2、通过c++实现 #include <windows.h> #pragma comment(lib,"Advapi32.lib")...
-
Windows XML Event Log (EVTX)单条日志清除（二）——程序实现删除evtx文件的单条日志记录
0x00 前言 Windows XML Event Log (EVTX)单条日志清除系列文章的第二篇，介绍对指定evtx文件的单条日志删除方法，解决在程序设计上需要考虑的多个问题，开源实现代码。 0x01 简介 本文将要介绍以下内容： 对指定evtx文件单条日志的删除思路 程序实现细节 开源代码 0x02 对指定evtx文件单条日志的删除思路 在上篇文章《Windows XML Event Log (EVTX)单条日志清除（一）——删除思路与实例》介绍了evtx日志文件中删除单条日志的原理和一个实例，采用修改日志长度的方法实现日志删除 实现思路如图 注： 图片来自https://blog.fox-it.com/2017/12/08/detection-and-recovery-of-nsas-covered-up-tracks/ 这种方法在实现上相对简单，但是需要考虑多种不同的情况： 删除中间日志 删除最后一条日志 删除第一条日志 0x03 删除中间日志 方法如下： File header中的Next record identifier值减1 重新计算File header中的Checksum 重新计算前一日志长度，共2个位置(偏移4和当前日志的最后4字节) 后续日志的Event record identifier依次减1 ElfChuk中的Last event record number减1 ElfChuk中的Last event record identifier减1 重新计算ElfChuk中Event records...
-
Windows XML Event Log (EVTX)单条日志清除（一）——删除思路与实例
0x00 前言 Windows XML Event Log (EVTX)单条日志清除系列文章的第一篇，侧重于介绍evtx日志文件的基础知识和删除单条日志的实现思路与实例 0x01 简介 本文将要介绍以下内容： evtx文件格式 删除单条日志的思路 删除单条日志的实例 0x02 基础知识：evtx文件格式 可参考的资料： https://github.com/williballenthin/python-evtx evtx文件是指Windows Vista之后用于保存系统日志信息的文件 evtx文件结构包含三部分： file header chunks trailing empty values 注： file header保存evtx文件基本信息，值得注意的是Next record identifier、Number of chunks、File flags和Checksum chunks保存日志内容，包括具体每条日志的内容和校验和，值得注意的是Last event record number、Last event record identifier、Last event record data offset和两个Checksum trailing empty values为尾随空值，用于填充文件长度，内容任意，不会影响evtx文件的有效性 (1) file...
-
渗透基础——Windows下计划任务的使用
0x00 前言 在渗透测试中，尤其是域渗透，常常会用到Windows系统的计划任务，一是用于远程启动程序，二是用于程序的自启动 那么，计划任务具体有哪些使用技巧呢？是否对权限有要求？一定需要管理员权限才能运行吗？ 0x01 简介 本文将要介绍以下内容： 命令行实现 c++实现 不同权限下创建计划任务的区别 COM组件ITaskService能否提权运行 命令行开启和关闭计划任务 日志位置 0x02 简介 官方说明文档： https://msdn.microsoft.com/en-us/library/windows/desktop/aa446802(v=vs.85).aspx 需要开启服务Task Scheduler 可在以下情况触发： When a specific system event occurs. At a specific time. At a specific time on a daily schedule. At a specific time on a weekly schedule. At a specific time...
-
通过COM组件IARPUninstallStringLauncher绕过UAC
0x00 前言 在上篇文章《通过COM组件NetFwPolicy2越权关闭防火墙》验证结论：对于explorer.exe(或是模拟成explorer.exe)，加载高权限的COM组件不会弹出UAC的对话框。同时介绍了如何在注册表中寻找可以高权限运行的COM组件。 本次将要继续，介绍另一个可供使用的COM组件。 在我搜索到HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{FCC74B77-EC3E-4dd8-A80B-008A702075A9}时，获得名称ARP UninstallString Launcher 经过进一步搜索，发现ExpLife已经公开了这个COM组件的利用方法，地址如下： http://www.freebuf.com/articles/system/116611.html 感谢ExpLife的分享，缩短了我研究的时间，所以本文将要在此基础上，侧重于分析原理和介绍更多利用方式 0x01 简介 本文将要介绍以下内容： 复现通过COM组件IARPUninstallStringLauncher绕过UAC的方法 利用分析 更多利用方式 0x02 复现通过COM组件IARPUninstallStringLauncher绕过UAC的方法 ExpLife是从寻找不会弹出UAC对话框的功能入手，通过逆向找到可供利用的COM组件 而我的思路是先找到支持提升权限的COM组件，然后查找这个COM组件对应的功能 两种方法各有利弊： ExpLife的方法需要对系统有足够了解，得找到不会弹出UAC对话框的功能 我采用的方法能够找到一些不常见的COM组件，其中的功能在平时也许很难接触 但使用Explife的方法，如果找到了一个功能，使用动态下断点和静态分析的方法对COM组件的逆向会很高效 而我采用的方法只能通过注册表键值内容做一个大概的判断，需要进一步搜索才能定位具体的COM组件，效率不高 可以将两种方法相结合，但最重要的一点，找到的COM组件不仅要能够提升权限，还要能够执行程序(或是其他有用的功能)才可以 下面开始介绍利用原理： 1、“偷偷”绕过UAC 在之前的文章《渗透基础——获得当前系统已安装的程序列表》曾提到过控制面板 -> 程序 -> 程序和功能中的程序列表对应以下注册表键值： 高权限程序对应注册表键值HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\ 低权限程序对应注册表键值HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Uninstall\(实际上为HKEY_USERS\[sid]\Software\Microsoft\Windows\CurrentVersion\Uninstall\) 在卸载程序时，同时会删除程序对应的注册表键值 而我们在删除高权限的程序时，会删除HKEY_LOCAL_MACHINE\下的键值，正常情况下该操作会弹出UAC对话框，但实际上并没有，这里就可以判断系统“偷偷”绕过了UAC 如果我们能够模拟这个功能，那么也能“偷偷”绕过UAC 2、执行程序 注册表项Uninstall下有一个键为”UninstallString”，内容为要执行的命令 如果我们替换成payload，就能实现高权限执行，即UAC绕过并执行任意程序 以上两点相结合，满足了通过COM组件绕过UAC的必要条件 所以，接下来只要能够模拟卸载程序的功能即可 逆向分析过程和模拟卸载的功能ExpLife在他的文章中已经写得很详细，不再赘述 引用文中的分析： 通过调用位于CARPUninstallStringLauncherCOM组件中IARPUninstallStringLauncher接口的LaunchUninstallStringAndWait方法来实现卸载程序 关键代码如下： CLSID clsid; IID...