渗透测试的WINDOWS NTFS技巧集合（二）

技巧5:隐藏供选数据流

如前所述，可以通过dir命令中的/r开关查看ADS。而streams.exe是Sysinternals里的一个工具，它也可以查看数据流:

图17：streams.exe查看ADS  

在旧版本的Windows中，可以使用保留名作为基本名称来隐藏ADS (例如: CON, NUL, COM1, COM2, LPT1, …)。而在Windows 10上就做不到了，但“…”仍然有效:

图18：测试保留名隐藏ADS  

“…”上的ADS是成功创建的，但是没有被streams.exe工具列出。在COM1上创建ADS会导致错误，在NUL上创建ADS没有任何提示(ADS没被创建)。

请注意，还可以在驱动器上创建一个ADS，比如“echo 123 > C:\:abc.txt”。将隐藏在C:\ 中的“dir /r” 命令中。但是，它将在“..”目录的C：\子文件夹中显示ADS。例如：

图19：在C:创建ADS的效果  

红色标记的部分ADS是由 C:\:abc.txt 创建。如果直接在C:\上调用 ,那么通过Sysinternals工具流也看到ADS。因此，为了避开这两种工具，应该使用“…”技巧。

所以还存在可用于隐藏工具的第二技巧。在Windows上可以添加“.<空格>.”在文件的末尾，Windows将会自动删除它(规范化将其删除)。

图20：添加...的技巧，echo 123 > "abc. ."  

但是我们可以用ADS创建这样的文件！用工具不能打开这个文件，因为像“xyz. .”这样的路径会自动地更改为“xyz”，而这个文件不存在。

这是证明:

图21：“xyz. .”文件被创建  

创建的ADS foobar.txt通过工具是无法找到的:

图22：foobar.txt

附注1:此类文件也可以通过以下方式创建： echo test > “test. .::$DATA”

附注2:请注意“..:abc.txt”是在“C:\:abc.txt”上创建的ADS。

我们还可以创建一个名为“. .” 的目录，如下所示:

图23：创建一个名为“. .” 的目录

这个文件夹是不可以进入的:

图24：不可以进入名为“. .” 的目录  

前面提到过(像cd . .. .\ 无法正常使用)，但是cd “. .::$INDEX_ALLOCATION” 是可以使用的(双引号很重要)。

如果我们可以在文件夹名之间添加空格，那我们也可以在末尾添加空格，如 “b ” 或“.. ” 或“. “。

图25：文件夹末尾添加空格  

说明:有一个“b”和一个“b ”文件夹，一个名为“a”的文件，一个名为“a ”的文件，两个默认的目录“.”和“..”和“. ”和“. .”。

名称为“.. ”的目录可以使用我们已经讨论过的技术进行写入文件:

图26：写入文件到“. . ”目录中  

附注1:如果在文件夹上单击两次，可以通过文件管理器打开该文件夹。也会正确显示文件夹的内容。但是由于路径错误，无法打开其中的文件（explorer.exe 使用 C:\test22.. .. \123.txt 而不是 C:\test22.. \123.txt）。在搜索这样的文件夹时，Powershell将再次陷入无限循环。

附注2:还可以在一个名为“abc”的文件夹上创建ADS。然后可以将文件夹重命名为仅包含数字的名称(如“1”)。之后你仍然可以看到ADS，但是你不能打开它。(用数字作为名称的文件夹上的ADS不起作用)。要打开ADS数据，必须首先将文件夹重命名为“abc”。

文件系统与反病毒产品/取证软件:

我快速验证了上述针对AntiVirus产品的技巧，以验证它们是否可以捕获滥用技巧的恶意软件。最值得关注之处是文件/文件夹以 “. .”结尾产生的变化。例如我将eicar(测试病毒)储存在一个文件夹中，并用以下命令复制：

copy eicar.com >"123. .::$DATA"  copy eicar.com > tester  echo123>"foo. .::INDEX_ALLOCATION"  cd"foo. .::$INDEX_ALLOCATION"  copy ..\eicar.com .  copy ..\eicar.com .\eicar

之后，我重新启用了AntiVirus解决方案并扫描了该文件夹，所有AntiVirus解决方案都在此文件夹中找到了“eicar.com”和“tester”，而不是“123. .” 中的eicar病毒或“foo. .” 文件夹中的两个文件。但是进入该文件夹并启动文件时，AntiVirus产品会找到它们(因为内容是从文件系统加载到内存的)。Windows Defender的“删除”操作无法删除文件，因此没有影响。但是Emsisoft的“删除”操作可以删除文件夹中的tester病毒（译者注：Emsisoft是来自澳大利亚的杀毒软件）。

Emsisoft删除了 “foo. .” 文件夹中的 “eicar.com” 文件，“eicar”文件没有被删除，内容可以毫无问题地读取（Emsisoft回应我们，只有映射为可执行文件的文件才会被扫描，有些特定的文件扩展名如.com除外）。这种行为可以在文件保护设置中通过切换到“彻底扫描”来读取就可以进行查杀；另一方面，Windows Defender也阻止了将“eicar”作为文本文件读取)。

我还对Autopsy 4.6.0（免费取证软件）进行了一个简短的测试。通过将“logical files ”模式加载到工具中（从正在运行的系统;不是一个磁盘映像），可以输入“…” 文件夹，但是不能输入“foo. .” 文件夹。我创建了两个文件，一个命名为“valid”，内容为“valid”，还有一个文件命名为“valid.”，内容为“secret”。Autopsy 显示了两个文件的内容“valid”(而不是“secret”的内容)。在“logical files ”模式下双击“.. ”文件夹(末尾有空格)后被转化为“..” 。在磁盘镜像(raw)模式下，一切都显示正确(在live模式中，Autopsy使用Windows API访问数据，才会出现问题）

技巧6:隐藏进程二进制

正如上面已经讨论过的:Windows会在文件的末尾自动删除“. .” 。如果我们可以以“file1. .” 这样的名称来启动一个进程呢?好吧，那就会在“file1”执行的情况发生检查(例如:来自AntiVirus产品的签名检查)。让我们试试以下命令:

图27：复制了三个文件

我们创建了3个文件:

来自taskmgr具有微软签名的文件“file”

“file. .”这是我们的"假恶意软件"，应该隐藏但执行

“filex x”包含WinSCP的签名，此文件稍后将变得重要。

我们现在需要一种方法来从 “file. .” 二进制文件启动进程，这不是一项简单的任务，因为所有Microsoft Windows API调用都会自动从文件名中删除“. .”，然后启动“file”(taskmgr)。为了解决这个问题，我们使用以下代码:

图28：解决自动从文件名中删除“. .”的代码  

上面的代码只是调用CreateProcessA来从“filex x”(WinSCP)创建一个进程。如果我们编译这个应用程序并启动它，最终将执行的是WinSCP。可我们不能正常启动这个文件。相反，我们在调试器内启动应用程序（例如：WinDbg）。现在我们在函数中设置一个断点，它将产生相关的系统函数调用，调用:“bp ntdll!NtCreateUserProcess”。我们可以使用 “g” (go) 命令在调试器中启动程序并命中断点。在断点处，可以dump当前堆栈 (“dq rsp”) 。堆栈上的第12个指针很重要，应该被dump。这个地址的第四个值是指向文件名的指针。

图29：windbg

文件名(绿色框)现在是标准化显示(以\??\C:\… 开头)。这种标准化还需要从文件名末尾删除 “. .” ——这就是为什么上面的C代码不使用“file. .” 作为进程名的原因。但是由于文件已经被改变为标准化，现在可以修改这个值。让我们用“.” 覆盖 “x” 字符。(命令“eb”用于编辑字节):

图30：编辑字节为"."

然后继续执行“g”。猜猜会发生什么?

“file. .” (恶意软件)被执行。但如果用户右键单击任务管理器中的进程并选择“属性”，则显示“file” (taskmgr) 的Microsoft签名。

图31：显示“file” (taskmgr) 的Microsoft签名  

但是“filex x” （WiSCP）是什么呢？是的，这个文件也显示为正在运行的进程，即进程资源管理器(因为路径是在调用NtCreateUserProcess之前设置的)。

图32："filex x"运行情况

与PowerShell有什么关系？是的，也是错误的二进制文件：

图33：Powershell显示情况  

这是不是安全问题得视情况而定。首先，攻击者可以启动一个进程(恶意软件)，重命名/删除它，然后将一个有效的文件重命名为相同的名称。在taskmanager和process explorer中也会出现上述效果。但是不同之处在于，使用上述技巧，得在进程启动的同时发生。

例如，如果在云中已知二进制哈希，请考虑已经安装的端点保护检查每个已启动的进程。通过此技巧，端点保护可能会使用错误的二进制文件来验证哈希是否为白名单。另外还要注意创建此类进程并不需要调试器，应用程序可以挂钩 NtCreateUserProcess函数并在钩子中就可以实现修改。

WINDOWS CMD的技巧:

这些技巧与文件系统技巧没有任何关系，但是我认为它们很适合这篇博文。在Windows cmd中，可以在命令中的任何位置写入^符号，CMD将完全忽略掉这个符号。例如,“calc.exe” 和“ca^l^c”效果相同。^是不是最后一个符号不重要，并且两个^符号在相邻时无法使用。使用双引号"隔开就没有限制了（它可以是最后一个字符或多次使用）。例如，^ca^“^”^lc^“将启动计算器。

这同样适用于零长度环境变量。可以通过％name％访问环境变量。如果环境变量的长度为零，则“cal％name％c”将与“calc”相同。由于环境变量的默认值长度不为零，因此不能直接使用。但是，可以使用特殊语法（:~start,end）在环境变量上调用substring。下图显示了“windir”环境变量以及子字符串如何与negativ值一起使用以获取返回的零长度变量：

图34：环境变量取字符

下图显示了这些技术的组合，以隐藏Powershell在版本2中启动（这些技巧在之前很有用，但在最新的Windows 10系统上应该是实现不了）：

图35：运行Powershell技巧

可以看到使用^和环境变量技巧（%os:~0,-56%），还使用版本“00000000002.0000”（而不仅仅是2）并且参数是“?ver ”不是“-ver”（注意，这不是正常的？符号，它是U+2015 ;光使用?不起作用）。

在Windows上除了“\” 也可以把“/”作为路径使用。例如，C:\Windows/\//\system32\calc.exe 与C:\Windows\system32\calc.exe 相同。 而且还可以通过UNC路径访问二进制文件不用 “C:\”模式： \\127.0.0.1\C$\windows\system32\calc.exe

通常可以使用类似的技巧来突破使用黑名单的方法（例如，如果禁止使用Powershell.exe，则攻击者可以调用Power^shell.exe来绕过限制。或者如果禁止使用calc，则可以执行：^"%LOCALAPPDATA:~-3%^%SYSTEMROOT:~0,1%^"启动calc.exe等）。

这篇博客文章由RenéFreingruber (@ReneFreingruber) 代表SEC Consult Vulnerability Lab撰写。James Forshaw(@tiraniddo)将一系列的技术列表文档化。Alex Inführ (@insertScript) 在他的博客文章中记录了一些ADS隐藏技巧。有关ADS之前的参考文献，请参阅以下参考资料部分。

参考文献

https://msdn.microsoft.com/en-us/library/dn393272.aspx

https://tyranidslair.blogspot.co.at/2014/05/abusive-directory-syndrome.html

https://tyranidslair.blogspot.co.at/2014/06/addictive-double-quoting-sickness.html

https://googleprojectzero.blogspot.co.at/2016/02/the-definitive-guide-on-win32-to-nt.html

https://googleprojectzero.blogspot.co.at/2015/12/between-rock-and-hard-link.html

https://googleprojectzero.blogspot.co.at/2015/08/windows-10hh-symbolic-link-mitigations.html

http://insert-script.blogspot.co.at/2012/11/hidden-alternative-data-streams.html

https://bogner.sh/2017/11/avgater-getting-local-admin-by-abusing-the-anti-virus-quarantine/

附录

译者注：经过测试Windows XP后微软就禁止用户从ADS里执行程序了。不允许执行，但是写入，读出操作都可以。其实只是禁用了OWASP中提到的start命令，文章中用WMIC运行就很巧妙的绕过封堵，测试方法如下（需要使用绝对路径）。

wmic process call create"C:\ProjectCode\test\test:putty.exe"

文中的zone.identifier是一个文本文件，然后作为数据流存放到了putty.exe里。ADS并不是一个新的话题了，在翻译过程中发现国内有许多相关资料写得都不错，国人很棒棒。根据目前知识量的储备在WinDBG调试部分翻译的词汇翻译不够准确，根据需求请参考原文。

文章来源

1）https://www.sec-consult.com/en/blog/2018/06/pentesters-windows-ntfs-tricks-collection/

2）OWASP alternate_data_stream

3）https://www.owasp.org/index.php/Windows_::DATA_alternate_data_stream

4）一个用ADS（供选数据流）隐藏Windows后门的方法

5）http://www.freebuf.com/articles/73270.html

6）文件流-MSDN说明

7）https://msdn.microsoft.com/en-us/library/dn410405.aspx

8）https://docs.microsoft.com/zh-cn/windows/desktop/FileIO/file-streams

9）Hidden Alternative Data Streams的进阶利用技巧

10）http://www.4hou.com/technology/4783.html

本文译者：lipss（看雪ID)

完整版链接： https://bbs.pediy.com/thread-246089.htm 

转载请注明：转自看雪论坛

看雪阅读推荐：

1、[原创]觉醒之战Ⅰ:洞察HW程序员的脑洞

2、[原创]Windows对象管理【垃圾篇】

3、UltraISO7me注册方法分析

4、从一个简单破解中浅谈破解的思路[原创]

5、[翻译]Windows漏洞利用开发 - 第1部分：基础知识