繞過AppLocker系列之MSBuild的利用
Microsoft已經在.NET框架中發布了許多可以編譯和執行代碼的二進位文件。最初引入了MSBuild,以便開發人員在不安裝Visual Studio的環境中構建產品。具體來說,這個二進位文件可以編譯XML C#項目文件,因為它有一個名為Tasks的方法,可以執行一個寫入託管代碼的任務。但是,由於此方法可以操作代碼而且MSBuild是受信任的Microsoft二進位文件並且可以執行代碼,因此,攻擊者可能會濫用它,用來繞過AppLocker和其他應用程序白名單解決方案(如Device Guard)。
Casey Smith最初發現了這種繞過方法,他已經發布了幾個存儲庫,可以作為概念驗證來執行代碼並繞過AppLocker限制。
ShellCode
可以使用Metasploit MSFVenom來生成C#shellcode,它將在目標系統上執行,以獲得Meterpreter會話。
生成C#Shellcode
上面的shellcode可以包含在XML文件中,該文件包含了MSBuild編譯和運行的代碼。該文件需要保存為.csproj並通過MSBuild執行,以返回Meterpreter會話:
通過MSBuild執行ShellCode
通過MSBuild獲得Meterpreter會話
PowerShell
使用和上述相同的方法,也可以在cmd被禁用的情況下,參照Casey Smith和Cneelis的方法來執行PowerShell 。
Pshell :
通過MSBuild 執行 PowerShell
MSBuildShell - Cn33liz和Casey Smith
MSBuild - MSBuildShell
MSBuildShell
作為這個繞過方式的擴展,Nick Tyler發布了一個修改版本的PSAttack工具,該工具是攜帶型的PowerShell滲透測試框架,可用於對受限制的系統執行進一步的攻擊。
MSBuild - 執行PSAttack
MSBuild - PSAttack
Mimikatz
除了PowerShell之外,還可以執行Mimikatz,直接從內存獲取明文密碼。
MSBuild - 執行Mimikatz
MSBuild - Mimikatz
通過執行以下命令,Mimikatz將檢索任何登錄憑據:
mimikatz # sekurlsa::logonpasswords
MSBuild - 通過Mimikatz導出證書
資源
1. https://github.com/Cn33liz/MSBuildShell
2. https://github.com/3gstudent/msbuild-inline-task
3. https://github.com/Cn33liz/MS17-012
4. http://subt0x10.blogspot.co.uk/2017/04/bypassing-application-whitelisting.html
點擊展開全文
※超級間諜軟體SpyDealer:可同時監視40餘款安卓應用,包括微信、淘寶、百度網盤等
※為遏制猖獗的刷榜,蘋果把十年前的技術也搬出來用了…
※針對藍牙4.0 BLE通訊過程的逆向和攻擊
※從ntds.dit中提取hash和域信息
※網路安全老兵座談:雲安全審計應該怎麼做?
TAG:嘶吼RoarTalk |
※使用Burpsuite擴展Hackvertor繞過WAF並解密XOR
※手把手教你使用PowerShell繞過AppLocker
※powershell中使用ReflectivePEInjection繞過殺毒
※CobaltStrike-用「混淆」繞過Windows防火牆
※如何利用PowerShell診斷腳本執行命令並繞過AppLocker
※WhatsApp發現隱私漏洞,允許用戶繞過iOS端的Touch ID或Face ID
※利用metasploit繞過UAC的5種方式
※思科Elastic Services Controller服務埠存在身份繞過漏洞,請儘快升級更新
※繞過nftables/PacketFilter防火牆過濾規則傳輸ICMP/ICMPv6數據包的漏洞詳解(上)
※Facebook、谷歌繞過APP Store收集用戶信息,蘋果竟放小扎一馬
※XSS繞過filter高級技術 part1
※繞過CloudFlare WAF和OWASP CRS 3核心規則集
※Cellebrite可繞過運行iOS 11設備的安全防護,包括當前的iPhone X
※如何繞過csrf保護,並在burp suite中使用intruder?
※蘋果撤銷 Facebook 開發者資質,因繞過 App Store 收集用戶隱私
※ASWCrypter:該工具生成的Payload可以繞過目前所有的反病毒產品
※蘋果撤銷 Facebook 開發者資質,因其繞過 App Store 收集用戶隱私
※使用AutoHotkey和Excel中嵌入的惡意腳本來繞過檢測
※劫持者可以繞過 Active Directory 控制機制
※如何使用Apple News Plus訂閱來繞過付費牆