【内网攻击】使用RPC Filter技术防御内网RPC横向攻击

admin

101398
文章

87
评论

2022年11月3日18:35:36评论113 views字数 12628阅读42分5秒阅读模式

网安教育

培养网络安全人才

技术交流、学习咨询

本文介绍了RPC Filter技术的概念与使用，并演示了如何通过RPC Filter阻断基于计划任务的横向攻击，并给出了大量RPC Filter的参考，能够有效的应对impacket所提供的内网横向技术的攻击.....

前言

什么是WFP？

RPC Filer

使用Netsh命令添加RPC Filer规则阻断Impacket atexec

拦截DCOM IOXIDResolver接口网卡探测

批量添加RPC Filter规则

防御PetitPotam漏洞

总结

参考

前言

Impacket工具包中所包含的内网横向技术大多都是依赖于RPC协议的，但对于RPC协议的攻击防御除了网络流量侧的检测识别以外，还可以通过Windows 内置的WFP(Windows Filtering Platform)技术。

这里提一下，流量测如何分析并防御impacket内网横向：https://riccardoancarani.github.io/2020-05-10-hunting-for-impacket/

1impacket-atexec 通过SMB协议认证，利用MS-TSCH RPC协议服务注册任务计划进行横向移动。
2impacket-psexec 通过SMB协议认证，利用MS-SCMR RPC协议注册系统服务进行横向移动。
3impacket-dcomexec 通过SMB认证，利用MS-DCOM RPC协议调用COM组件执行横向移动。
4impacket-wmiexec 通过SMB认证，利用MS-DCOM RPC协议调用COM组件执行横向移动。
5大名鼎鼎的PetitPotam CVE-2021-36942 利用MS-EFSRPC协议让服务器访问攻击者构造的地址进行NTLM重定向攻击。
6PrintNightmare Windows Print Spooler权限提升漏洞（CVE-2021-1675），利用MS-RPRN进行提权，其原理也是 
7通过调用RPC接口，让服务器访问特定的路径。
8除了这类漏洞的利用，还有大部分的土豆提全系列都有使用到RPC接口，让系统SYSTEM特权进程访问攻击者构造的管道，然后进行令牌模拟，达到窃取Token然后提权的目的。

什么是WFP？

Windows Filtering Platform (WFP) is a network traffic processing platform designed to replace the Windows XP and Windows Server 2003 network traffic filtering interfaces. WFP consists of a set of hooks into the network stack and a filtering engine that coordinates network stack interactions.

顾名思义，他是一个网络流量处理平台，用于替代Windows Server 2003、Windows XP平台下的网络流量过滤接口。WFP 由一组进入网络堆栈的钩子和一个协调网络堆栈交互的过滤引擎组成。

随便查看WFP的API，可以大致确定这个技术的支持版本，大部分API还是兼容性较强的，也就是说这个技术在Windows很早就有了：

RPC Filer

而RPC Filter他是一种基于RPC协议的一种过滤技术，可以通过多个维度进行过滤，本文仅仅展开基于UUID来过滤对应的RPC协议。RPC Filter属于在WFP技术中的一部分。通过设置FWPM_FILTER0和FWPM_FILTER_CONDITION0结构可以配置Filter规则，然后调用相对应的API就能够完成Filter的注册。

使用Netsh命令添加RPC Filer规则阻断Impacket atexec

除了API接口以外，我们还可以通过系统自带的netsh命令来直接设置Filter规则，例如这里我直接设置一个不允许MS-TSCH 远程调用的例子：

环境：

1被攻击者 Windows Server 2008 IP: 192.168.31.134
2攻击者 Linux

首先使用atexec.py正常攻击一次：

这里可以看到可以攻击成功，RPC SchRpcRegisterTask 成功，这个API其实就是之前实现的远程创建任务计划工具，原理没有任何区别。

在Windows Server 2008上开始操作netsh，添加Filter：

1rpc
2filter
3add rule layer=um actiontype=block
4add condition field=if_uuid matchtype=equal data=86D35949-83C9-4044-B424-DB363231FD0C
5add filter

86D35949-83C9-4044-B424-DB363231FD0C 这个UUID代表了ITaskSchedulerService，在数据包中我们可以看到：

添加完Filter以后，我们这个时候再进行一次横向测试：

可以看到，已经无法注册任务计划了，atexec执行失败，而且RPC Filter其实和防火墙没有直接的关系，在测试期间Windows Server 2008的防火墙是关闭的状态。

除了计划任务以外还有很多，这里罗列一下：

 11FF70682-0A51-30E8-076D-740BE8CEE98B  Schedueled Task (MS-TSCH) ATSvc
 2378E52B0-C0A9-11CF-822D-00AA0051E40F  Schedueled Task (MS-TSCH) SASec
 386D35949-83C9-4044-B424-DB363231FD0C Schedueled Task (MS-TSCH) ITaskSchedulerService
 44FC742E0-4A10-11CF-8273-00AA004AE673 Distributed File System (DFS): Namespace Management     Protocol MS-DFSNM
 5e3514235-4b06-11d1-ab04-00c04fc2dcd2 Directory Replication Service (MS-DRSR)
 6a8e0653c-2744-4389-a61d-7373df8b2292 File Server Remote VSS Protocol - MS-FSRVP
 7c681d488-d850-11d0-8c52-00c04fd90f7e  Encrypting File System Remote (EFSRPC) Protocol - (MS-EFSR) (unauthenticated implementation)
 8df1941c5-fe89-4e79-bf10-463657acf44d Encrypting File System Remote (EFSRPC) Protocol - (MS-EFSR)
 912345778-1234-ABCD-EF00-0123456789AB Local Security Authority (Domain Policy) Remote Protocol (MS-LSAD) / Local Security Authority (Translation Methods) Remote Protocol (MS-LSAT)
1012345678-1234-ABCD-EF00-01234567CFFB Netlogon Remote Protocol - (NRPC)
1112345678-1234-ABCD-EF00-0123456789AB Print System Remote Protocol (MS-RPRN)
1276F03F96-CDFD-44FC-A22C-64950A001209 Print System Asynchronous Remote Protocol (MS-PAR)
13338CD001-2244-31F1-AAAA-900038001003 Remote Registry (MS-RRP)
1412345778-1234-ABCD-EF00-0123456789AC Security Account Manager (SAM) Remote Protocol (MS-SAMR)
15367ABB81-9844-35F1-AD32-98F038001003 Service Control Manager Remote Protocol (MS-SCMR)
164b324fc8-1670-01d3-1278-5a47bf6ee188 Server Service Remote Protocol (MS-SRVS)
176BFFD098-A112-3610-9833-46C3F87E345A**** Workstation Service Remote Protocol (MS-WKST)
18…..

拦截DCOM IOXIDResolver接口网卡探测

之前有写过一篇《通过OXID解析器获取Windows远程主机上网卡地址》，后来国内红队大部分扫描器就都开始集成这个功能，可以在未授权的情况下访问Windows操作系统的135端口获取网卡上的IP地址，主要是利用了IOXIDResolver 这个接口，通过抓包分析：

IOXIDResolver 对应的UUID是 99fcfec4-5260-101b-bbcb-00aa0021347a ，因此我们也同样可以使用netsh将这个协议给拦截掉。

1add rule layer=um actiontype=block
2add condition field=if_uuid matchtype=equal data=99fcfec4-5260-101b-bbcb-00aa0021347a
3add filter

添加RPC Filter之前：

添加RPC Filter之后：

批量添加RPC Filter规则

netsh命令支持以文件作为命令输入，例如：

1netsh -f <command file>

我们可以将多条指令存放到文件中，执行命令加载：

防御PetitPotam漏洞

Benjamin Delpy 早在去年有提到可以通过RPC Filter阻断PetitPotam漏洞：

1rpc
2filter
3add rule layer=um actiontype=block
4add condition field=if_uuid matchtype=equal data=c681d488-d850-11d0-8c52-00c04fd90f7e
5add filter
6add rule layer=um actiontype=block
7add condition field=if_uuid matchtype=equal data=df1941c5-fe89-4e79-bf10-463657acf44d
8add filter
9quit

这里索性整理一下全部的Filter规则：

  1rpc
  2filter
  3# ----------------------------
  4# 禁用 MS-EFSR PetitPotam 提权 Encrypting File System Remote (EFSRPC) Protocol - (MS-EFSR)
  5add rule layer=um actiontype=block
  6add condition field=if_uuid matchtype=equal data=c681d488-d850-11d0-8c52-00c04fd90f7e
  7add filter
  8add rule layer=um actiontype=block
  9add condition field=if_uuid matchtype=equal data=df1941c5-fe89-4e79-bf10-463657acf44d
 10add filter
 11
 12# ----------------------------
 13# 禁用远程管理系统服务 Service Control Manager Remote Protocol (MS-SCMR) 
 14add rule layer=um actiontype=permit
 15add condition field=if_uuid matchtype=equal data=367ABB81-9844-35F1-AD32-98F038001003
 16add condition field=remote_user_token matchtype=equal data=D:(A;;KA;;;DA)
 17add filter
 18add rule layer=um actiontype=block
 19add condition field=if_uuid matchtype=equal data=367ABB81-9844-35F1-AD32-98F038001003
 20add filter
 21
 22# ----------------------------
 23# 禁用命名空间管理Distributed File System (DFS)
 24add rule layer=um actiontype=permit
 25add condition field=if_uuid matchtype=equal data=4FC742E0-4A10-11CF-8273-00AA004AE673
 26add condition field=auth_type matchtype=equal data=16
 27add condition field=auth_level matchtype=equal data=6
 28add filter
 29add rule layer=um actiontype=block
 30add condition field=if_uuid matchtype=equal data=4FC742E0-4A10-11CF-8273-00AA004AE673
 31add filter
 32
 33# ----------------------------
 34# 禁用DCSync攻击 Directory Replication Service (MS-DRSR)
 35add rule layer=um actiontype=permit
 36add condition field=if_uuid matchtype=equal data=e3514235-4b06-11d1-ab04-00c04fc2dcd2
 37add condition field=remote_user_token matchtype=equal data=D:(A;;CC;;;DD)
 38add filter
 39add rule layer=um actiontype=block
 40add condition field=if_uuid matchtype=equal data=e3514235-4b06-11d1-ab04-00c04fc2dcd2
 41add filter
 42
 43# ----------------------------
 44# 禁用LLMNR/NBT-NS Poisoning and SMB Relay
 45add rule layer=um actiontype=permit
 46add condition field=if_uuid matchtype=equal data=a8e0653c-2744-4389-a61d-7373df8b2292
 47add condition field=auth_type matchtype=equal data=16
 48add condition field=auth_level matchtype=equal data=6
 49add filter
 50add rule layer=um actiontype=block
 51add condition field=if_uuid matchtype=equal data=a8e0653c-2744-4389-a61d-7373df8b2292
 52add filter
 53
 54# ----------------------------
 55# 禁用远程枚举用户、添加用户 MS-LSAD & MS-LSAT. MS-LSAT
 56add rule layer=um actiontype=permit
 57add condition field=if_uuid matchtype=equal data=12345778-1234-ABCD-EF00-0123456789AB
 58add condition field=remote_user_token matchtype=equal data=D:(A;;CC;;;BA)
 59add filter
 60add rule layer=um actiontype=block
 61add condition field=if_uuid matchtype=equal data=12345778-1234-ABCD-EF00-0123456789AB
 62add filter
 63
 64
 65# ----------------------------
 66# 禁用ZeroLogon漏洞Netlogon Remote Protocol - (NRPC)
 67add rule layer=um actiontype=permit
 68add condition field=if_uuid matchtype=equal data=12345678-1234-abcd-ef00-01234567cffb
 69add condition field=remote_user_token matchtype=equal data=D:(A;;CC;;;DC)
 70add condition field=remote_user_token matchtype=equal data=D:(A;;CC;;;AU)
 71add filter
 72add rule layer=um actiontype=block
 73add condition field=if_uuid matchtype=equal data=12345678-1234-abcd-ef00-01234567cffb
 74add filter
 75
 76# ----------------------------
 77# 禁用MS-RPRN & MS-PAR https://payloads.online/archivers/2022-03-04/1/
 78add rule layer=um actiontype=permit
 79add condition field=if_uuid matchtype=equal data=12345678-1234-ABCD-EF00-0123456789AB
 80add condition field=remote_user_token matchtype=equal data=D:(A;;CC;;;DA)
 81add condition field=auth_level matchtype=equal data=6
 82add filter
 83add rule layer=um actiontype=block
 84add condition field=if_uuid matchtype=equal data=12345678-1234-ABCD-EF00-0123456789AB
 85add filter
 86add rule layer=um actiontype=permit
 87add condition field=if_uuid matchtype=equal data=76F03F96-CDFD-44FC-A22C-64950A001209
 88add condition field=remote_user_token matchtype=equal data=D:(A;;CC;;;DA)
 89add condition field=auth_level matchtype=equal data=6
 90add filter
 91add rule layer=um actiontype=block
 92add condition field=if_uuid matchtype=equal data=76F03F96-CDFD-44FC-A22C-64950A001209
 93add filter
 94
 95# ----------------------------
 96# 禁用远程管理注册表
 97add rule layer=um actiontype=permit
 98add condition field=if_uuid matchtype=equal data=338CD001-2244-31F1-AAAA-900038001003
 99add condition field=remote_user_token matchtype=equal data=D:(A;;KA;;;DA)
100add filter
101add rule layer=um actiontype=block
102add condition field=if_uuid matchtype=equal data=367ABB81-9844-35F1-AD32-98F038001003
103add filter
104
105
106# ----------------------------
107# 禁用远程枚举域用户 Security Account Manager (SAM) Remote Protocol (MS-SAMR)
108add rule layer=um actiontype=permit
109add condition field=if_uuid matchtype=equal data=12345778-1234-ABCD-EF00-0123456789AC
110add condition field=remote_user_token matchtype=equal data=D:(A;;RC;;;BA)
111add filter
112add rule layer=um actiontype=block
113add condition field=if_uuid matchtype=equal data=e3514235-4b06-11d1-ab04-00c04fc2dcd2
114add filter
115
116# ----------------------------
117# 禁用远程枚举域用户 Security Account Manager (SAM) Remote Protocol (MS-SAMR)
118add rule layer=um actiontype=permit
119add condition field=if_uuid matchtype=equal data=12345778-1234-ABCD-EF00-0123456789AC
120add condition field=remote_user_token matchtype=equal data=D:(A;;RC;;;BA)
121add filter
122add rule layer=um actiontype=block
123add condition field=if_uuid matchtype=equal data=e3514235-4b06-11d1-ab04-00c04fc2dcd2
124add filter
125
126# ----------------------------
127# 禁用NetSessionEnum 会话枚举
128add rule layer=um actiontype=permit
129add condition field=if_uuid matchtype=equal data=4b324fc8-1670-01d3-1278-5a47bf6ee188
130add condition field=remote_user_token matchtype=equal data=D:(A;;CC;;;BA)
131add filter
132add rule layer=um actiontype=block
133add condition field=if_uuid matchtype=equal data=4b324fc8-1670-01d3-1278-5a47bf6ee188
134add filter
135
136# ----------------------------
137# 禁用远程管理计划任务
138add rule layer=um actiontype=permit
139add condition field=if_uuid matchtype=equal data=1FF70682-0A51-30E8-076D-740BE8CEE98B
140add condition field=remote_user_token matchtype=equal data=D:(A;;CC;;;DA)
141add filter
142add rule layer=um actiontype=block
143add condition field=if_uuid matchtype=equal data=1FF70682-0A51-30E8-076D-740BE8CEE98B
144add filter
145add rule layer=um actiontype=permit
146add condition field=if_uuid matchtype=equal data=378E52B0-C0A9-11CF-822D-00AA0051E40F
147add condition field=remote_user_token matchtype=equal data=D:(A;;CC;;;DA)
148add filter
149add rule layer=um actiontype=block
150add condition field=if_uuid matchtype=equal data=378E52B0-C0A9-11CF-822D-00AA0051E40F
151add filter
152add rule layer=um actiontype=permit
153add condition field=if_uuid matchtype=equal data=86D35949-83C9-4044-B424-DB363231FD0C
154add condition field=remote_user_token matchtype=equal data=D:(A;;CC;;;DA)
155add filter
156add rule layer=um actiontype=block
157add condition field=if_uuid matchtype=equal data=86D35949-83C9-4044-B424-DB363231FD0C
158add filter
159
160quit

”#“是netsh批量执行的注释符号，上面的所有Filter请自行测试。

我们可以根据场景需要来设置对应的RPC Filter，这将有效的降低基于RPC协议接口的内网横向技术所带来的风险。

总结

本文介绍了RPC Filter技术的概念与使用，并演示了如何通过RPC Filter阻断基于计划任务的横向攻击，并给出了大量RPC Filter的参考，能够有效的应对impacket所提供的内网横向技术的攻击，文末参考的链接是我在编写此文所查阅的资料，对我的帮助很大。其中，对于RPC Filter的设置本文并没有介绍太多，微软的文档资料也比较少，后面有空将会编写对应的自动化加固工具，例如：根据系统的某一个用户制订专属的RPC Filter、防御SERVICE提权到SYSTEM特权的问题解决方案，这些netsh命令可能并不具备此功能，但WFP API具备。如果文中有错误，希望读者能够通过留言指教。

参考

https://github.com/akamai/akamai-security-research/tree/main/rpc-filters

https://github.com/jsecurity101/MSRPC-to-ATTACK/

https://www.tiraniddo.dev/2021/08/how-windows-firewall-rpc-filter-works.html

https://googleprojectzero.blogspot.com/2021/08/understanding-network-access-windows-app.html

https://crfilter.com/

https://learn.microsoft.com/en-us/windows/win32/api/fwpmtypes/ns-fwpmtypes-fwpm_filter_condition0

END