红队行动之高级进程监控技术

gclome

原文链接：红队行动之高级进程监控技术

No.1 前言
本文我们探讨著名进程监控实用程序的使用实例，以及在红队行动中如何利用这些工具背后的技术。
在红蓝对抗期间，更好的理解系统是决定下一步行动的关键。从目标系统运行的进程上收集和分析数据能给我们提供很多有用的信息，帮我们更好的理解目标组织IT环境。
此外，定期轮询进程数据使我们能够快速地对环境中的变化作出反应，提供定制的触发条件。
为了能够从目标系统收集详细的进程数据，outflank编写了一套进程工具，这些工具将高级进程实用程序的功能引入了C2框架。
Git项目地址：https://github.com/outflanknl/Ps-Tools

No.2 Windows内部系统实用程序
首先我们会探讨下，哪些实用程序可以用于从Windows上获取进程信息。然后再了解如何使用它们收集此类信息，以便在后续的红队行动中利用这些技术。
Windows操作系统自带了许多现成的实用程序来管理系统，例如Windows任务管理器，但它无法进行更高级别的故障排除和进程监控。我们可能需要更详细的信息，如对象句柄、网络连接、或已加载的模块信息等等。
要收集系统详细信息，可以使用更高级的工具，如微软的Sysinternals套件。
​
在需要Windows故障排除或病毒查杀的客户端中，大多数时候我会使用Process Explorer或Process monitor。从数字取证角度来看，这些工具对于恶意软件样本的动态分析非常有用。

No.3  使用Process Explorer
启动Process Explorer以后，我们会看到当前系统全部的进程列表/树。默认它为我们提供了进程名称、进程ID、以及用户上下文和进程版本信息等。如果需要展示更多信息，我们可以通过自定义列实现。
​
如果我们启动了lower pane，我们可以看到特定进程的模块加载信息，或切换到句柄试图，显示进程正在使用的命名的句柄对象。
​
查看模块对于当前进程已加载的恶意库非常有用。
​
切换到句柄视图可以帮助我们查看进程中正在使用的对象类型和名称。这对于查看程序打开了哪些文件对象和注册表项，或是进程间通讯的命名管道很有用。
如果我们双击进程名称，将会弹出一个包含更多详细信息的窗口：
​
镜像选项卡向我们展示了程序路径、工作目录、命令行参数的信息，自启动位置。此外，还有用户上下文、父进程、镜像类型（x86/x64）等信息。
​
线程选项卡提供了进程中运行的线程信息。选择一个线程，然后点击堆栈按钮，将展示该线程的调用栈。
​
从DFIR的角度来看，线程信息对于发现恶意软件无文件内存注入技术有时候会很有用。如果你想对线程和内存有更多的了解，建议看看Process Hacker这个工具。
​
TCP/IP选项卡向我们展示与该进程相关的所有网络连接。

No.4  使用Ps-Tools利用这些技术
这款红队工具使用C语言编写为DLL，以反射DLL的方式在进程中加载，我们可以在各类支持反射DLL注入的C2框架中使用。对于CobaltStrike，Outflank还编写了一个aggressor脚本，该脚本可用于在CobaltStrike脚本管理器加载。


PSX
该工具可以展示系统上正在运行的进程的详细信息，我们可以将输出与Process Explorer的输出进行比较。它的输出信息有进程名称、进程ID、父ID，创建时间，以及和二进制文件相关的信息（架构、公司名称和版本等）。
​
如果我们有足够的权限打开该进程句柄，则可以从其令牌中读取更多信息，例如用户上下文和完整性级别。枚举PEB及其相关结构可以使我们获取镜像路径和命令行参数信息。
​
我们从二进制镜像中读取和显示版本信息，例如公司名称和说明。使用公司名称可以很容易枚举系统中的安全产品。此工具将所有活动进程的公司名称与知名安全产品供应商的列表进行比较并显示结果摘要：
​
PSK
该工具展示正在运行的内核详细信息，包括所有已加载的驱动程序模块。和psx工具一样，它也提供了来自知名安全厂商的已加载内核模块的摘要：
​
​
PSC
该工具使用相同的技术来枚举PSX之类的活动进程，它仅展示具有活动网络连接的进程：
​
PSM
该工具用于列出特定进程相关的信息。它可以展示进程网络通讯中正在使用的dll列表：
​
PSH
和psm相同，但不显示加载模块，而是进程正在使用的句柄列表：
​
PSW
用户桌面上打开了哪些活动窗口句柄的进程列表，包括窗口标题。这可以确定用户打开了哪些GUI应用程序而不必创建桌面屏幕快照：
​