干货 | Study Notes Weekly No.1

原创 3gstudent RoarTalk

About:

1. Monitor WMI Persistence

2. Instructions about ExportsToC++

3. My test of using DiskCleanup on Windows 10using DiskCleanup

1. 介绍如何在系统日志中记录WMI Persistence，测试并分析如何绕过

2. dll劫持中会用到的一个辅助工具，自动读取dll的导出函数并生成对应的c++代码

3. 实际测试《using DiskCleanup on Windows 10 usingDiskCleanup》，记录过程，虽然测试失败，但其中包含的绕过思路值得学习

Monitor WMI Persistence

简介

攻击者通常会利用WMI来实现远程执行(如wmiexec)和后门(如WMIPersistence),然而Windows系统默认不会在日志中记录这些操作。于是Timothy Parisi和Evan Pena提出了他们的解决方法：

利用WMI Persistence的方法记录攻击者调用WMI的操作，并将以下结果写入系统日志中，监控系统实时读取系统日志，及时提醒用户受到攻击

1. Event Consumer Name

2. Event Consumer Command

3. Process Call Method

4. Process Call Command

实际测试

作者开源了一个powershell脚本，下载地址如下：https://github.com/realparisi/WMI_Monitor/blob/master/WMIMonitor.ps1

注：powershell版本需要3.0或者更高，以管理员权限运行

测试系统：

Windows 8.1 x86

Powershell v3.0

1、运行脚本开启监控

2、模拟攻击者新建一个定时启动后门

powershell代码如下：

wmic在cmd下直接实现的代码如下：

注：代码具体含义在《WMI Attacks》、《WMI Backdoor》、《WMI Defense》、《Study Notes of WMI Persistence using wmic.exe》作过具体介绍，此处略

3、查看系统日志

控制面板-系统和安全-查看事件日志-事件查看器（本地）-Windows日志-应用程序

找到事件ID为8的事件，查看详细信息，如图

记录了如下信息：

==New WMI Consumer Created==

Consumer Name: BotConsumer23

Command Executed:C:\Windows\System32\notepad.exe

4、结论

系统日志成功记录攻击者留下的后门

站在攻击者角度的思考

如果攻击者能够实现WMI Persistence，代表其已经获得了管理员权限，那么可通过如下命令来查看已注册的WMI信息：

通过powershell查看的代码：

Filters：

Get-WMIObject -Namespace root\Subscription-Class __EventFilter

Event Consumers：

Get-WMIObject -Namespace root\Subscription-Class __EventConsumer

Event Bindings：

Get-WMIObject -Namespace root\Subscription-Class __FilterToConsumerBinding

通过wmic查看的代码：

Filters：

wmic/NAMESPACE:"\\root\subscription" PATH __EventFilter GET __RELPATH/FORMAT:list

Event Consumers：

wmic/NAMESPACE:"\\root\subscription" PATH CommandLineEventConsumer GET__RELPATH /FORMAT:list

Event Bindings：

wmic/NAMESPACE:"\\root\subscription" PATH __FilterToConsumerBinding GET__RELPATH /FORMAT:list

如图，能够查看防御者留下的监控代码，那么当然可以通过命令行来删除监控，而更重要的是查看和删除操作不会被记录到日志中

通过powershell实现的删除代码如下：

综上，站在攻击者的角度，可能的绕过方法如下：

(1) 查看EventFilter 和 EventConsumer instances

(2) 删除监控功能的WMI实例

(3) 留下自己的WMI后门

(4) 手动再次开启监控功能的WMI实例

补充

公开的POC powershell脚本仅作为演示，在实际防御中要对以下操作进行记录：

_FilterToConsumerBinding,__EventFilter, and__EventConsumer instances

Instructions about ExportsToC++

简介

在实现UACBypass或者Persistence的时候常常会用到dll劫持，实现dll劫持通常会先使用dumpbin查看dll的导出函数，构造一个具有相同导出函数的dll，并在其中添加payload。ExportsToC++ 就是为了简化这个过程，尤其对于包含多个导出函数的dll，大大简化了这个过程。

实际测试

下载地址如下：https://github.com/michaellandi/exportstoc

需要环境：

.NET 2.0 Framework

安装Microsoft Visual Studio

测试实例：

https://enigma0x3.net/2016/08/15/fileless-uac-bypass-using-eventvwr-exe-and-registry-hijacking/

https://3gstudent.github.io/3gstudent.github.io/Userland-registry-hijacking/

目的：劫持计划任务UserTask，实现开机启动自己的dll，弹框

方法：

1. 在HKEY_CURRENT_USER\Software\Classes\CLSID\下新22. 建项{58fb76b9-ac85-4e55-ac04-427593b1d060}

3. 新建项InprocServer32