Good in study, attitude and health

  • 渗透技巧——Token窃取与利用

    0x00 前言 在之前的文章《渗透技巧——程序的降权启动》介绍了使用SelectMyParent降权的方法,本质上是通过token窃取实现的。这一次将要对token窃取和利用做进一步介绍,测试常用工具,分享利用技巧。 0x01 简介 本文将要介绍以下内容; Token简介 Metasploit中的incognito Windows平台下的incognito Invoke-TokenManipulation.ps1用法 利用token获得system权限 利用token获得TrustedInstaller权限 0x02 Token简介 Windows有两种类型的Token: Delegation token(授权令牌):用于交互会话登录(例如本地用户直接登录、远程桌面登录) Impersonation token(模拟令牌):用于非交互登录(利用net use访问共享文件夹) 注: 两种token只在系统重启后清除 具有Delegation token的用户在注销后,该Token将变成Impersonation token,依旧有效 实际测试 使用Test\a登录后注销,再使用administrator登录 查看token: incognito.exe list_tokens -u 能够获取到已注销用户Test\a的token,如下图 利用该token执行calc.exe: incognito.exe execute -c "TEST\a" calc.exe 后台显示进程calc.exe的用户名为a,如下图 0x03 Metasploit中的incognito 在Metasploit中,可使用incognito实现token窃取,常用命令如下: 加载incognito:load incognito 列举token:list_tokens -u 查看当前token:getuid 提示至system权限:getsystem token窃取:impersonate_token "NT...

  • 域渗透——利用SYSVOL还原组策略中保存的密码

    0x00 前言 在之前的文章《域渗透——Local Administrator Password Solution》对LAPS的利用进行了分析。使用LAPS最大的优点是能够确保每台域内主机有不同的密码,并且定期更换。 那么,如果域内未配置LAPS,如何批量设置域内主机的本地管理员密码呢?这其中又存在哪些可被利用的地方呢? 本文将要介绍如何利用SYSVOL还原组策略中保存的密码,分析技术细节,最后给出防御建议 0x01 简介 本文将要介绍以下内容: 域内共享文件夹\SYSVOL介绍 域管理员批量修改域内主机本地管理员密码的方法 组策略中可被利用的地方 实际测试 防御建议 0x02 域内共享文件夹\SYSVOL介绍 在域中,存在一个默认的共享路径: \\<DOMAIN>\SYSVOL\<DOMAIN>\ 所有域内主机都能访问,里面保存组策略相关数据,包含登录脚本配置文件等 例如,测试主机所在域为test.local,可访问共享文件夹\\test.local\SYSVOL\test.local,如下图 0x03 域管理员批量修改域内主机本地管理员密码的方法 1、测试Server 2003系统 对于server2003,想要批量修改域内主机本地管理员密码,常常通过配置组策略执行vbs脚本的方式 给出一个修改密码的vbs脚本(实现方式不唯一),代码如下: strComputer = "." Set objUser = GetObject("WinNT://" & strComputer & "/Administrator, user") objUser.SetPassword "domain123!" objUser.SetInfo 这种实现方式,最大的弊端在于修改后的密码会明文保存在vbs脚本中 而该vbs脚本通常会保存在共享文件夹\SYSVOL 这就存在一个隐患: 任何域用户都能读取该vbs脚本,也就能够获取脚本中保存的明文密码 2、测试Server 2008系统 对于server...

  • Use CLR to bypass UAC

    0x00 前言 在之前的文章《Use CLR to maintain persistence》介绍了通过CLR劫持.Net程序的后门,特点是无需管理员权限,并能够劫持所有.Net程序。那么,如果劫持了高权限的.Net程序,就能够绕过UAC,比如gpedit.msc 最近我在clem@clavoillotte的博客上也看到了相同的利用思路,并且,他的博客里有更多值得学习的地方。于是,我对他博客介绍的内容进行了整理,结合自己的经验,适当作补充,分享给大家。 clem@clavoillotte的博客地址: https://offsec.provadys.com/UAC-bypass-dotnet.html 0x01 简介 本文将要介绍以下内容: 使用CLR绕过UAC的方法 劫持系统CLSID绕过UAC的方法 0x02 使用CLR绕过UAC 我在《Use CLR to maintain persistence》一文中使用了wmic修改环境变量,代码如下: wmic ENVIRONMENT create name="COR_ENABLE_PROFILING",username="%username%",VariableValue="1" wmic ENVIRONMENT create name="COR_PROFILER",username="%username%",VariableValue="{11111111-1111-1111-1111-111111111111}" 在《Use Logon Scripts to maintain persistence》补充了使用powershell修改环境变量的方法,代码如下: New-ItemProperty "HKCU:\Environment\" COR_ENABLE_PROFILING -value "1" -propertyType string | Out-Null New-ItemProperty "HKCU:\Environment\" COR_PROFILER -value "{11111111-1111-1111-1111-111111111111}"...

  • 域渗透——利用DCOM在远程系统执行程序

    0x00 前言 在以前的文章《在远程系统上执行程序的技术整理》整理过域环境下常用的程序执行方法:at、psexec、WMIC、wmiexec、smbexec和powershell remoting,这次将基于Matt Nelson‏ @enigma0x3的研究,详细介绍在域环境下使用DCOM执行程序的方法,分析相关攻防思路。 学习链接如下: https://enigma0x3.net/2017/01/05/lateral-movement-using-the-mmc20-application-com-object/ https://enigma0x3.net/2017/01/23/lateral-movement-via-dcom-round-2/ 0x01 简介 本文将要介绍以下内容: DCOM使用介绍 实际利用思路 命令行配置防火墙的技巧 防御思路 0x02 DCOM使用介绍 相关基础知识暂略,关于DCOM的介绍可参考如下链接: https://msdn.microsoft.com/en-us/library/cc226801.aspx http://blog.csdn.net/ervinsas/article/details/36424127 本节主要选取Matt Nelson‏ @enigma0x3博客中的主要利用方法进行复现 获得DCOM的程序列表: powershell代码: Get-CimInstance Win32_DCOMApplication 注: Get-CimInstance只适用于Powershell 3.0及以上,Win7默认为2.0不支持,可使用以下替代命令: Get-WmiObject -Namespace ROOT\CIMV2 -Class Win32_DCOMApplication 当然,直接使用wmic查询也可以,代码如下: wmic /NAMESPACE:"\\root\CIMV2" PATH Win32_DCOMApplication GET /all /FORMAT:list powershell对WMI的调用可使用wmic命令进行替换,详情可参考: https://3gstudent.github.io/Study-Notes-of-WMI-Persistence-using-wmic.exe 1、对本机测试 管理员权限,powershell代码如下: 获得"MMC20.Application"支持的操作: $com...

  • Empire中的Invoke-WScriptBypassUAC利用分析

    0x00 前言 知名的后渗透测试框架Empire是一个很好的学习模板,其中包含的后渗透技巧很值得深入研究。 本文将要挑选Empire中一个经典的UAC绕过方法Invoke-WScriptBypassUAC进行分析,介绍绕过原理以及在渗透测试中的更多利用技巧。知道如何利用,才能知道如何防御。 Invoke-WScriptBypassUAC地址: https://github.com/EmpireProject/Empire/blob/master/data/module_source/privesc/Invoke-WScriptBypassUAC.ps1 0x01 简介 本文将要介绍如下内容: Invoke-WScriptBypassUAC绕过原理 利用扩展 防御检测 0x02 Invoke-WScriptBypassUAC绕过原理 Invoke-WScriptBypassUAC通过powershell实现,思路上借鉴了Vozzie分享的github,地址如下: https://github.com/Vozzie/uacscript Vozzie提到ZDI和微软选择忽略该UAC绕过“漏洞”,ZDI认为这不是一个远程漏洞,微软认为UAC绕过不属于漏洞范畴 Invoke-WScriptBypassUAC在实现上使用了一些实用的小技巧,所以本文主要对Invoke-WScriptBypassUAC的绕过方法进行分析 该方法只适用于Win7,而Win8、Win10不适用(原因在后面介绍) 测试系统: Win7 x86 由于powershell格式的源代码公开,所以直接介绍该脚本关键的操作流程: 判断操作系统是否为Win7,是否为普通权限 Temp目录释放文件wscript.exe.manifest 使用makecab.exe对wscript.exe.manifest和wscript.exe进行压缩 使用wusa将压缩包解压缩,将wscript.exe.manifest和wscript.exe释放至c:\Windows目录 payload保存在Appdata文件夹的ADS中 使用c:\Windows\wscript.exe执行payload,实现管理员权限执行payload,绕过UAC 0x03 利用扩展 掌握操作流程后,我们完全可以手动进行拆分测试,在这个过程中能发现更多利用思路 1、保存wscript.exe.manifest文件 代码如下: <?xml version="1.0" encoding="UTF-8" standalone="yes"?> <assembly xmlns="urn:schemas-microsoft-com:asm.v1" xmlns:asmv3="urn:schemas-microsoft-com:asm.v3" manifestVersion="1.0"> <asmv3:trustInfo> <security> <requestedPrivileges> <requestedExecutionLevel level="RequireAdministrator" uiAccess="false"/> </requestedPrivileges> </security>...

  • Use powershell to find a writable windows service

    0x00 前言 从DidierStevens的博客学到了一些技巧,本文将要对其中涉及到的技巧进行测试总结,并开源一个powershell脚本,用来寻找可被替换的服务,实现自动化利用。 DidierStevens的博客链接: https://blog.didierstevens.com/2017/09/05/abusing-a-writable-windows-service/ 0x01 简介 本文将要介绍以下内容: 使用c#编写可供Windows服务调用的程序 psexec的-i参数使用技巧 sc命令使用技巧 通过powershell获取服务对应的可执行文件路径 自动化利用脚本开发细节 0x02 使用c#编写可供Windows服务调用的程序 可供Windows服务调用的程序需要能够同SCM(Services Control Manager)进行交互,所以在程序编写上需要注意 Didier Stevens在博客中给出了c#开发的模板,代码如下: using System.ServiceProcess; namespace Demo { public class Service : ServiceBase { protected override void OnStart(string[] args) { System.Diagnostics.Process.Start("cmd.exe"); } } static class Program { static void Main() { ServiceBase.Run(new ServiceBase[]...

  • Use Logon Scripts to maintain persistence

    0x00 前言 依旧是对后门利用方法做介绍,本次介绍的是使用Logon Scripts的方法。然而我在研究过程中发现了一个特别的用法,脚本优先于杀毒软件执行,能够绕过杀毒软件对敏感操作的拦截,本文将要具体介绍这个技巧。 注: 有些杀毒软件是可以做到优先于Logon Scripts启动的 0x01 简介 Logon Scripts用法 绕过360对wmi调用的拦截 特别用法 0x02 Logon Scripts用法 思路来自于Adam@Hexacorn,地址如下: http://www.hexacorn.com/blog/2014/11/14/beyond-good-ol-run-key-part-18/ 简要介绍Logon Scripts的用法 注册表路径:HKCU\Environment\ 创建字符串键值: UserInitMprLogonScript 键值设置为bat的绝对路径:c:\test\11.bat 如下图 bat内容如下: start calc.exe 注销,登录 执行脚本11.bat,弹出计算器 0x03 绕过360对通过wmi修改环境变量的拦截 在之前的文章《Use CLR to maintain persistence》提到过使用wmic修改环境变量的方法 命令如下: wmic ENVIRONMENT create name="COR_ENABLE_PROFILING",username="%username%",VariableValue="1" wmic ENVIRONMENT create name="COR_PROFILER",username="%username%",VariableValue="{11111111-1111-1111-1111-111111111111}" 然而,360会对WMI的操作进行拦截,如下图 其实通过WMI添加环境变量等价于在注册表HKCR\Environment\新建键值 所以对WMI的操作可以通过写注册表的操作进行代替 以上WMI命令可替换为如下powershell代码:...

  • Use COM Object hijacking to maintain persistence——Hijack explorer.exe

    0x00 前言 在之前的文章介绍了两种利用COM对象劫持实现的后门,利用思路有一些区别: 第一种,通过CLR劫持.Net程序 正常CLR的用法: 设置注册表键值HKEY_CURRENT_USER\Software\Classes\CLSID\ cmd下输入: SET COR_ENABLE_PROFILING=1 SET COR_PROFILER={11111111-1111-1111-1111-111111111111} CLR能够劫持当前cmd下所有.Net程序的启动 后门利用思路: 我尝试通过WMI修改环境变量,使CLR作用于全局,就能够劫持所有.Net程序的启动 经实际测试,该方法有效,系统启动后默认会调用.Net程序,加载CLR,后门触发 第二种,劫持CAccPropServicesClass和MMDeviceEnumerator 该方法曾被木马COMpfun使用,所以思路也是从COMpfun学到的 设置注册表键值HKEY_CURRENT_USER\Software\Classes\CLSID\能够指定实例CAccPropServicesClass和MMDeviceEnumerator对应加载的dll 而IE浏览器进程iexplore.exe启动时会调用以上两个实例 所以通过注册表设置CAccPropServicesClass和MMDeviceEnumerator对应加载的dll,能够劫持IE浏览器的启动,实现后门触发 当然,该方法只能算得上是一个被动后门,只有用户启动IE浏览器,才能触发后门 然而,在众多COM对象中,可供利用的劫持对象不唯一,甚至存在能够劫持桌面进程explorer.exe的方法,相当于一个主动后门 例如:劫持MruPidlList 注: 该方法曾被多个已知的恶意软件使用 本着通过研究所有已公开的COM对象后门利用方法,进而总结应对COM劫持防御方法的原则,本文将要介绍另外两种COM劫持的后门利用方法 之前的文章: 《Use CLR to maintain persistence》 《Use COM Object hijacking to maintain persistence——Hijack CAccPropServicesClass and MMDeviceEnumerator》 0x01 简介 本文将要介绍以下内容 通过劫持MruPidlList实现的后门思路 恶意利用实例 总结应对COM劫持的防御方法 0x02 通过劫持MruPidlList实现的后门思路...

  • Use COM Object hijacking to maintain persistence——Hijack CAccPropServicesClass and MMDeviceEnumerator

    0x00 前言 在之前的文章《Use CLR to maintain persistence》介绍了通过CLR劫持所有.Net程序的方法,无需管理员权限,可用作后门。美中不足的是通过WMI添加环境变量需要重启系统。 本文将继续介绍另一种后门的利用方法,原理类似,但优点是不需要重启系统,同样也不需要管理员权限。 注: 本文介绍的方法曾被木马COMpfun使用 详细介绍地址: https://www.gdatasoftware.com/blog/2014/10/23941-com-object-hijacking-the-discreet-way-of-persistence 0x01 简介 本文将要介绍以下内容: 后门思路 POC编写 防御检测 0x02 COM组件 COM是Component Object Model (组件对象模型)的缩写 COM组件由DLL和EXE形式发布的可执行代码所组成 COM与语言,平台无关 COM组件对应注册表中CLSID下的注册表键值 0x03 后门思路 注: 思路来自于https://www.gdatasoftware.com/blog/2014/10/23941-com-object-hijacking-the-discreet-way-of-persistence 同使用CLR劫持.Net程序的方法类似,也是通过修改CLSID下的注册表键值,实现对CAccPropServicesClass和MMDeviceEnumerator劫持,而系统很多正常程序启动时需要调用这两个实例,所以,这就可以用作后门来使用,并且,该方法也能够绕过Autoruns对启动项的检测。 32位系统利用方法: 1、新建文件 在%APPDATA%\Microsoft\Installer\{BCDE0395-E52F-467C-8E3D-C4579291692E}\下放入测试dll,重命名为api-ms-win-downlevel-[4char-random]-l1-1-0._dl 注: 测试dll下载地址:https://github.com/3gstudent/test/blob/master/calc.dll 重命名为api-ms-win-downlevel-1x86-l1-1-0._dl 如下图 2、修改注册表 注册表位置:HKCU\Software\Classes\CLSID\ 创建项{b5f8350b-0548-48b1-a6ee-88bd00b4a5e7} 创建子项InprocServer32 Default的键值为测试dll的绝对路径: C:\Users\a\AppData\Roaming\Microsoft\Installer\{BCDE0395-E52F-467C-8E3D-C4579291692E}\api-ms-win-downlevel-1x86-l1-1-0._dl 创建键值: ThreadingModel REG_SZ Apartment 注册表内容如下图...

  • Use xwizard.exe to load dll

    0x00 前言 在之前的文章介绍了利用Excel.Application object’s RegisterXLL()加载dll的技巧。本文继续,介绍最近学习到的一种更为通用的方法——利用xwizard.exe加载dll。 该方法最大的特点是xwizard.exe自带微软签名,在某种程度上说,能够绕过应用程序白名单的拦截。 参考链接: http://www.hexacorn.com/blog/2017/07/31/the-wizard-of-x-oppa-plugx-style/ 0x01 简介 本文将要介绍以下内容: xwizard.exe简介 利用思路 实际测试 0x02 xwizard.exe简介 应该为Extensible wizard的缩写,中文翻译可扩展的向导主机进程,暂时无法获得官方资料 支持Win7及以上操作系统 位于%windir%\system32\下 双击运行,弹出操作说明,如下图 支持参数如下: xwizard processXMLFile xwizard RunWizard xwizard RunPropertySheet 示例: xwizard processXMLFile 1.txt xwizard RunWizard /u {11111111-1111-1111-1111-111111111111} xwizard RunPropertySheet /u {11111111-1111-1111-1111-111111111111} 注: 参数中的GUID长度固定,否则弹框报错,如下图 0x03 利用思路 本节对Adam@Hexacorn的思路进行验证,文章地址: http://www.hexacorn.com/blog/2017/07/31/the-wizard-of-x-oppa-plugx-style/ xwizard.exe的同级目录存在一个特别的文件xwizards.dll 使用IDA查看xwizards.dll的导出函数,如下图 我们可以看到,xwizards.dll的导出函数名称同xwizard.exe支持的参数名称十分接近 猜测xwizard.exe的功能是通过调用xwizards.dll实现的...