當前位置:
首頁 > 新聞 > 繞過AppLocker系列之MSBuild的利用

繞過AppLocker系列之MSBuild的利用

Microsoft已經在.NET框架中發布了許多可以編譯和執行代碼的二進位文件。最初引入了MSBuild,以便開發人員在不安裝Visual Studio的環境中構建產品。具體來說,這個二進位文件可以編譯XML C#項目文件,因為它有一個名為Tasks的方法,可以執行一個寫入託管代碼的任務。但是,由於此方法可以操作代碼而且MSBuild是受信任的Microsoft二進位文件並且可以執行代碼,因此,攻擊者可能會濫用它,用來繞過AppLocker和其他應用程序白名單解決方案(如Device Guard)。

Casey Smith最初發現了這種繞過方法,他已經發布了幾個存儲庫,可以作為概念驗證來執行代碼並繞過AppLocker限制。

ShellCode

可以使用Metasploit MSFVenom來生成C#shellcode,它將在目標系統上執行,以獲得Meterpreter會話。

生成C#Shellcode

上面的shellcode可以包含在XML文件中,該文件包含了MSBuild編譯和運行的代碼。該文件需要保存為.csproj並通過MSBuild執行,以返回Meterpreter會話:

通過MSBuild執行ShellCode

通過MSBuild獲得Meterpreter會話

PowerShell

使用和上述相同的方法,也可以在cmd被禁用的情況下,參照Casey Smith和Cneelis的方法來執行PowerShell 。

Pshell :

通過MSBuild 執行 PowerShell

MSBuildShell - Cn33liz和Casey Smith

MSBuild - MSBuildShell

MSBuildShell

作為這個繞過方式的擴展,Nick Tyler發布了一個修改版本的PSAttack工具,該工具是攜帶型的PowerShell滲透測試框架,可用於對受限制的系統執行進一步的攻擊。

MSBuild - 執行PSAttack

MSBuild - PSAttack

Mimikatz

除了PowerShell之外,還可以執行Mimikatz,直接從內存獲取明文密碼。

MSBuild - 執行Mimikatz

MSBuild - Mimikatz

通過執行以下命令,Mimikatz將檢索任何登錄憑據:

mimikatz # sekurlsa::logonpasswords

MSBuild - 通過Mimikatz導出證書

資源

1. https://github.com/Cn33liz/MSBuildShell

2. https://github.com/3gstudent/msbuild-inline-task

3. https://github.com/Cn33liz/MS17-012

4. http://subt0x10.blogspot.co.uk/2017/04/bypassing-application-whitelisting.html

點擊展開全文

喜歡這篇文章嗎?立刻分享出去讓更多人知道吧!

本站內容充實豐富,博大精深,小編精選每日熱門資訊,隨時更新,點擊「搶先收到最新資訊」瀏覽吧!


請您繼續閱讀更多來自 嘶吼RoarTalk 的精彩文章:

超級間諜軟體SpyDealer:可同時監視40餘款安卓應用,包括微信、淘寶、百度網盤等
為遏制猖獗的刷榜,蘋果把十年前的技術也搬出來用了…
針對藍牙4.0 BLE通訊過程的逆向和攻擊
從ntds.dit中提取hash和域信息
網路安全老兵座談:雲安全審計應該怎麼做?

TAG:嘶吼RoarTalk |

您可能感興趣

使用Burpsuite擴展Hackvertor繞過WAF並解密XOR
手把手教你使用PowerShell繞過AppLocker
powershell中使用ReflectivePEInjection繞過殺毒
CobaltStrike-用「混淆」繞過Windows防火牆
如何利用PowerShell診斷腳本執行命令並繞過AppLocker
WhatsApp發現隱私漏洞,允許用戶繞過iOS端的Touch ID或Face ID
利用metasploit繞過UAC的5種方式
思科Elastic Services Controller服務埠存在身份繞過漏洞,請儘快升級更新
繞過nftables/PacketFilter防火牆過濾規則傳輸ICMP/ICMPv6數據包的漏洞詳解(上)
Facebook、谷歌繞過APP Store收集用戶信息,蘋果竟放小扎一馬
XSS繞過filter高級技術 part1
繞過CloudFlare WAF和OWASP CRS 3核心規則集
Cellebrite可繞過運行iOS 11設備的安全防護,包括當前的iPhone X
如何繞過csrf保護,並在burp suite中使用intruder?
蘋果撤銷 Facebook 開發者資質,因繞過 App Store 收集用戶隱私
ASWCrypter:該工具生成的Payload可以繞過目前所有的反病毒產品
蘋果撤銷 Facebook 開發者資質,因其繞過 App Store 收集用戶隱私
使用AutoHotkey和Excel中嵌入的惡意腳本來繞過檢測
劫持者可以繞過 Active Directory 控制機制
如何使用Apple News Plus訂閱來繞過付費牆