applocker 即 “应用程序控制策略”, 顾名思义, 该策略对计算机上的应用程序具有严格的限制.
具体来说, applocker 限制你能运行哪些软件, 哪些脚本, 在哪运行, 能安装哪些软件, 什么厂商的软件, 等等.
在渗透测试中, 目标主机可能配置了 applocker 以禁止例如第三方 exe, vbs ps1 脚本的运行, 不过就现在看来却是个很鸡肋的功能.
applocker 的默认策略允许 C:\Program Files (x86)\, C:\Program Files\, C:\Windows\ 中可执行文件和脚本的运行, 同时允许带数字签名或在 C:\Windows\Installer\ 中 msi 程序的运行.
即使 applocker 限制了可执行文件的路径, 但我们可以利用 windows 自带的程序间接的运行指定的 payload.
以下程序(包括但不限于)可间接执行 payload 绕过 applocker.
mshta
msbuild
msiexec
rundll32
regasm
regsvcs
regsvr32
installutil
演示略.
- By:X1r0z[exp10it.cn]
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论