InstallUtil
InstallUtil 是一个命令行实用程序，它允许通过执行。net 二进制文件中指定的特定安装程序组件来安装和卸载资源。
InstallUtil 位于 Windows 系统的。NET 目录中：
C:\Windows\Microsoft.NET\Framework\v\InstallUtil.exe 和 C:\Windows\Microsoft.NET\Framework64\v\InstallUtil.exe.
InstallUtil.exe 具有 Microsoft 的数字签名。
攻击者可以通过受信的 Windows 实用程序使用 InstallUtil 来代理代码的执行。
通过利用执行由 [System.ComponentModel.RunInstaller(true)] 修饰的类的二进制文件中的属性，InstallUtil 还可用于来绕过进程白名单。
缓解
在给定的环境中，InstallUtil 可能不是必需的。
如果给定的系统或网络不需要 InstallUtil.exe，配置应用程序白名单来拦截其执行，防止攻击者潜在的滥用。
检测
使用进程监视来监视 InstallUtil.exe 的执行和参数。
将 InstallUtil.exe 最近的调用与之前的已知良好参数调用和已执行的二进制文件进行比较，以确定异常和潜在的攻击活动。
InstallUtil.exe 调用前后使用的命令参数也可能有助于确定执行的二进制文件的来源和目的。
- 译者: 林妙倩、戴亦仑 . source:cve.scap.org.cn
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论