通过符号链接致盲EDR复现

admin
admin
admin
138635
文章
114
评论
2025年2月10日19:15:56评论13 views字数 1174阅读3分54秒阅读模式
创建起因是看到了Ots安全公众号发布了一篇BYOVD 更上一层楼。使用 Windows 符号链接进行盲 EDR。
大概看了一下内容，找了一下原文，是一个老外写的。
https://www.zerosalarium.com/2025/01/byovd%20next%20level%20blind%20EDR%20windows%20symbolic%20link.html
大致的看了一下，对其进行了复现。
本质上是通过创建符号链接来致盲EDR的一个操作。
假设有一个驱动程序需要将文件写入到C:Templog.txt文件中，但是攻击者在C:Templog.txt位置创建了一个符号链接。使它指向了C:WindowsSystem32important_file.dll。当程序试图写入到important_file.dll文件时，实际上它写入到了C:Templog.txt。

如下创建的符号链接：

其实就是说假设驱动程序启动时会去往C:Templog.txt写文件，那么正好我们创建了一个符号链接，当它往这个log.txt文件中写入内容时，其实实际上写到了important_file.dll文件中。

mklink "C:Templog.txt""C:WindowsSystem32important_file.dll"
其实也就是说该文章作者拿到了一个驱动程序，该驱动程序有着写入文件的功能。
该驱动程序会将日志写入到c:windowsprocmon.pmb文件中。而如果对其通过符号链接到EDR的可执行文件中的话。那么当文件写入到c:windowsprocmon.pmb文件中时，实际上其实写入的是EDR可执行程序。这样就导致了致盲。
利用如下:
首先需要去安装promon64.exe。
打开之后->Options->Enable Boot Logging。这样就可以开启日志记录功能了。
通过符号链接致盲EDR复现
然后退出该程序，紧接着就可以符号链接了。
mklink C:WindowsProcMon.pmb"C:Program FilesWindows DefenderMsMpEng.exe"
创建成功之后重新启动操作系统即可致盲。
重启之后我们会发现Defender已经无法启动了。
通过符号链接致盲EDR复现
并且签名也没有了。
通过符号链接致盲EDR复现
如上图我们也发现该文件的大小变得很大，这是因为本身驱动程序本应该写入到 c:windowsprocmon.pmb文件中。
因为符号链接的缘故，最后写入到了MsMpeng.exe文件中了。

欢迎加入我的知识星球，目前正在更新免杀相关的东西，145/永久，每100人加29，每周更新2-3篇上千字PDF文档。文档中会详细描述。目前已更新105+ PDF文档，《2025年了，人生中最好的投资就是投资自己！！！》

加好友备注(星球)！！！

通过符号链接致盲EDR复现

一些纷传的资源:

通过符号链接致盲EDR复现

通过符号链接致盲EDR复现

通过符号链接致盲EDR复现

原文始发于微信公众号（Relay学安全）：通过符号链接致盲EDR复现

免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2025年2月10日19:15:56
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出)：
                   通过符号链接致盲EDR复现https://cn-sec.com/archives/3723085.html
                  免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉.

发表评论

匿名网友 填写信息