好友 阅读权限 100
听众 最后登录 1970-1-1
涛之雨
发表于 2018-9-30 13:41
上一篇：传送门 原贴上面还有很多排版和发布时的问题。 《《《《《《《《《《《《《《《《《《《《《《《《《《原文开始》》》》》》》》》》》》》》》》》》》》》》》》》》 背景 Windows用户模式信任架构 Authenticode )数字签名，可以验证来自于特定供应商的可执行代码的合法性。在用户模式下，验证签名代码的信任的API是WinVerifyTrust 和WinVerifyTrustEx )（它只是WinVerifyTrust的包装器，具有更明确定义的函数原型）。PE文件格式 subject interface package ,SIP）架构旨在支持数字签名的创建，检索和哈希计算、验证。使用信任提供者 来执行签名代码的信任验证。通过使用WinVerifyTrust和wintrust.dll、crypt32.dll中的各种导出函数， 信任提供者和SIP架构帮助软件开发人员从执行代码签名和信任验证的具体步骤中完全抽象出来。在撰写本文时，没有证据表明该架构的文档已被扩展到可支持第三方软件开发人员希望支持的其特定文件格式的签名。这可能是因为无论格式如何变化任何文件都可以在技术上通过使用目录签名(catalog signing Windows SDK MSDN文档 外，信任提供者和SIP并没有文档化。由于第三方实施的复杂性，微软可能故意选择对这些架构不进行文档化。该白皮书用于记录信任提供者和SIP架构，同时还解释攻击者如何将其滥用的方式作为破坏信任的手段，并且在执行信任验证的进程的上下文中获取代码执行的权限。CryptoAPI 的可扩展性，主要包括加密编码、解码、证书管理等。微软不可能预见未来的加密要求，所以他们设计了一个完全可扩展的架构（大概可追溯到90年代初），以适应当前和未来的需求。不幸的是，这一非常广泛的可扩展性，有可能允许攻击者（具有提升的权限）来劫持现有的功能。什么文件可以被签名呢 怎么知道一个可执行文件是否被签名呢？一个最简单直接的方法就是右键查看文件属性，然后切换到数字签名选项卡。
“数字签名”选项卡显示是否存在嵌入的认证签名 PowerShell脚本模块 [Python] 纯文本查看 复制代码
# SIG # Begin signature block
# MIIXXAYJKoZIhvcNAQcCoIIXTTCCF0kCAQExCzAJBgUrDgMCGgUAMGkGCisGAQQB
# gjcCAQSgWzBZMDQGCisGAQQBgjcCAR4wJgIDAQAABBAfzDtgWUsITrck0sYpfvNR
# AgEAAgEAAgEAAgEAAgEAMCEwCQYFKw4DAhoFAAQUv0M9fHFPOaghmrZBoun/tqPG
# zE6gghIxMIIEYDCCA0ygAwIBAgIKLqsR3FD/XJ3LwDAJBgUrDgMCHQUAMHAxKzAp
# BgNVBAsTIkNvcHlyaWdodCAoYykgMTk5NyBNaWNyb3NvZnQgQ29ycC4xHjAcBgNV
# BAsTFU1pY3Jvc29mdCBDb3Jwb3JhdGlvbjEhMB8GA1UEAxMYTWljcm9zb2Z0IFJv
# b3QgQXV0aG9yaXR5MB4XDTA3MDgyMjIyMzEwMloXDTEyMDgyNTA3MDAwMFoweTEL
# MAkGA1UEBhMCVVMxEzARBgNVBAgTCldhc2hpbmd0b24xEDAOBgNVBAcTB1JlZG1v
# bmQxHjAcBgNVBAoTFU1pY3Jvc29mdCBDb3Jwb3JhdGlvbjEjMCEGA1UEAxMaTWlj
# cm9zb2Z0IENvZGUgU2lnbmluZyBQQ0EwggEiMA0GCSqGSIb3DQEBAQUAA4IBDwAw
# ggEKAoIBAQC3eX3WXbNFOag0rDHa+SU1SXfA+x+ex0Vx79FG6NSMw2tMUmL0mQLD
# TdhJbC8kPmW/ziO3C0i3f3XdRb2qjw5QxSUr8qDnDSMf0UEk+mKZzxlFpZNKH5nN
# sy8iw0otfG/ZFR47jDkQOd29KfRmOy0BMv/+J0imtWwBh5z7urJjf4L5XKCBhIWO
# sPK4lKPPOKZQhRcnh07dMPYAPfTG+T2BvobtbDmnLjT2tC6vCn1ikXhmnJhzDYav
...
# HNHPPQanI9HpDNBxWrVzcH6zIV1vBHSeB/tFtZpOI+beHjx7X3d1cyCg5lfERzyQ
# 3jJyjSbMMbz8Pj/1meM0rlWQ/ZnYYiQAtJYqUN3ctT21Uu3ZVVnw46A8voTnSRMd
# 5mVFLFMeFyJkWgsyqLroBTm4U/G+gZ2BB0ImzSbSfIo=
# SIG # End signature block PE签名认证规范 WinVerifyTrust CryptSIPRetrieveSubjectGuid 根据文件魔数，尝试确定该文件是PE，编录文件，CTL还是cabinet文件。如果是任何这些文件类型，它将返回以下相应的SIP GUID：C689AAB8-8E78-11D0-8C47-00C04FC295EE -PE DE351A43-8E59-11D0-8C47-00C04FC295EE -Catalog 9BA61D3F-E73A-11D0-8CD2-00C04FC295EE -CTL C689AABA-8E78-11D0-8C47-00C04FC295EE -Cabinet 如果文件不匹配任何以前的文件类型，它将调用CryptEnumOIDFunction HKLM\SOFTWARE\[WOW6432Node]\Microsoft\Cryptography\OID\EncodingType 0\CryptSIPDllIsMyFileType\<All sub-GUIDs> HKLM\SOFTWARE\[WOW6432Node]\Microsoft\Cryptography\OID\EncodingType 0\CryptSIPDllIsMyFileType2\<All sub-GUIDs> “CryptSIPDllIsMyFileType”的功能原型文档（ 戳我 ），“CryptSIPDllIsMyFileType2”的功能原型文档（ 戳我 ）。 如果有实现，“CryptSIPDllIsMyFileType” 函数首先被调用，如果其中一个函数返回“TRUE”，则返回处理签名的SIP GUID。 在实践中（至少在Windows 10上），没有SIP实现“CryptSIPDllIsMyFileType”，所以随后调用“CryptSIPDllIsMyFileType2”函数来尝试解决处理SIP。 例如，PowerShell（SIP GUID：603BCC1F-4B59-4E08-B724-D2C6297EF351）将CryptSIPDllIsMyFileType2实现为pwrshsip！PsIsMyFileType。 经过反汇编、反编译及整理输出，这里是 PsIsMyFileType 函数的C语言版的原型： [C] 纯文本查看 复制代码
#define CRYPT_SUBJTYPE_POWERSHELL_IMAGE \
{ 0x603BCC1F, \
0x4B59, \
0x4E08, \
{ 0xB7, 0x24, 0xD2, 0xC6, 0x29, 0x7E, 0xF3, 0x51 } \
}
BOOL WINAPI PsIsMyFileType(IN WCHAR *pwszFileName, OUT GUID *pgSubject) {
BOOL bResult;
WCHAR *SupportedExtensions[7];
WCHAR *Extension;
GUID PowerShellSIPGUID = CRYPT_SUBJTYPE_POWERSHELL_IMAGE;
SupportedExtensions[0] = L"ps1";
SupportedExtensions[1] = L"ps1xml";
SupportedExtensions[2] = L"psc1";
SupportedExtensions[3] = L"psd1";
SupportedExtensions[4] = L"psm1";
SupportedExtensions[5] = L"cdxml";
SupportedExtensions[6] = L"mof";
bResult = FALSE;
if (pwszFileName && pgSubject) {
Extension = wcsrchr(pwszFileName, '.');
if (Extension) {
Extension++;
for (int i = 0; i < 7; i++) {
if (!_wcsicmp(Extension, SupportedExtensions[i])) {
bResult = TRUE;
memcpy(pgSubject, &PowerShellSIPGUID, sizeof(GUID));
break;
}
}
}
}
else
{
SetLastError(
ERROR_INVALID_PARAMETER
);
}
return
bResult;
} 000C10F1-0000-0000-C000-000000000046 06C9E010-38CE-11D4-A2A3-00104BD35090 0AC5DF4B-CE07-4DE2-B76E-23C839A09FD1 0F5F58B3-AADE-4B9A-A434-95742D92ECEB 1629F04E-2799-4DB5-8FE5-ACE10F17EBAB 1A610570-38CE-11D4-A2A3-00104BD35090 5598CFF1-68DB-4340-B57F-1CACF88C9A51 603BCC1F-4B59-4E08-B724-D2C6297EF351 9F3053C5-439D-4BF7-8A77-04F0450A1D9F CF78C6DE-64A2-4799-B506-89ADFF5D16D6 D1D04F0C-9ABA-430D-B0E4-D7E96ACCE66C 文件签名检索和哈希验证 HKLM\SOFTWARE\[WOW6432Node]\Microsoft\Cryptography\OID\EncodingType 0\CryptSIPDllGetSignedDataMsg\{SIP Guid} Dll FuncName HKLM\SOFTWARE\[WOW6432Node]\Microsoft\Cryptography\OID\EncodingType 0\CryptSIPDllVerifyIndirectData\{SIP Guid} CryptSIPDllGetSignedDataMsg CryptSIPDllVerifyIndirectData [Python] 纯文本查看 复制代码
BOOL WINAPI CryptSIPGetSignedDataMsg(
IN SIP_SUBJECTINFO *pSubjectInfo,
OUT DWORD *pdwEncodingType,
IN DWORD dwIndex,
IN OUT DWORD *pcbSignedDataMsg,
OUT BYTE *pbSignedDataMsg); SIP 哈希验证函数原型： [Python] 纯文本查看 复制代码
BOOL WINAPI CryptSIPVerifyIndirectData(
IN SIP_SUBJECTINFO *pSubjectInfo,
IN SIP_INDIRECT_DATA *pIndirectData); SIP_SUBJECTINFO 和 SIP_INDIRECT_DATA CERT_SIGNED_CONTENT_INFO 在野
在使用微软认证码签名的未签名文件上显示哈希不匹配错误的示例（注意相同的SignerCertificate指纹值）
未签名的文件在应用于签名文件的认证码签名时无法验证。微软就是这么设计的。 信任提供者架构 GUID
描述
A7F4C378-21BE-494e-BA0F-BB12C5D208C5
UNKNOWN .NET VERIFIER
7801EBD0-CF4B-11D0-851F-0060979387EA
CERT_CERTIFICATE_ACTION_VERIFY
6078065B-8F22-4B13-BD9B-5B762776F386
CONFIG_CI_ACTION_VERIFY
D41E4F1F-A407-11D1-8BC9-00C04FA30A41
COR_POLICY_LOCKDOWN_CHECK
D41E4F1D-A407-11D1-8BC9-00C04FA30A41
COR_POLICY_PROVIDER_DOWNLOAD
31D1ADC1-D329-11D1-8ED8-0080C76516C6
COREE_POLICY_PROVIDER
F750E6C3-38EE-11D1-85E5-00C04FC295EE
DRIVER_ACTION_VERIFY
573E31F8-AABA-11D0-8CCB-00C04FC295EE
HTTPSPROV_ACTION
5555C2CD-17FB-11d1-85C4-00C04FC295EE
OFFICESIGN_ACTION_VERIFY
64B9D180-8DA2-11CF-8736-00AA00A485EB
WIN_SPUB_ACTION_PUBLISHED_SOFTWARE
C6B2E8D0-E005-11CF-A134-00C04FD7BF43
WIN_SPUB_ACTION_PUBLISHED_SOFTWARE_NOB
189A3842-3041-11D1-85E1-00C04FC295EE
WINTRUST_ACTION_GENERIC_CERT_VERIFY
FC451C16-AC75-11D1-B4B8-00C04FB66EA0
WINTRUST_ACTION_GENERIC_CHAIN_VERIFY
00AAC56B-CD44-11D0-8CC2-00C04FC295EE
WINTRUST_ACTION_GENERIC_VERIFY_V2
573E31F8-DDBA-11D0-8CCB-00C04FC295EE
WINTRUST_ACTION_TRUSTPROVIDER_TEST
[Python] 纯文本查看 复制代码
- HKLM\\SOFTWARE\\[WOW6432Node\\]Microsoft\\Cryptography\\Providers\\Trust $DLL 和 $Function 。
在注册表中注册的信任提供者的示例 初始化：CRYPT_PROVIDER_DATA WINTRUST_DATA 消息： 签名： 证书： 认证检查： 最终策略： 诊断策略：WINTRUST_ACTION_TRUSTPROVIDER_TEST 是实现此步骤的唯一信任提供程序。WINTRUST_ACTION_TRUSTPROVIDER_TEST 和WINTRUST_ACTION_GENERIC_VERIFY_V2 是相同的，不过它是实现wintrust!SoftpubDumpStructure 的一个额外步骤。SoftpubDumpStructure 将填充的 CRYPT_DATA_PROVIDER 结构转储到 C:\TRUSTPOL.txt 。从命令提示符(需要有写入c盘的权限)使用 signtool.exe (在 Windows SDK 中) 可以轻松地测试此步骤。指定WINTRUST_ACTION_TRUSTPROVIDER_TEST (认证码测试) 信任提供程序的GUID: 清理：CRYPT_PROVIDER_PRIVDATA 结构体, 以便跨信任提供程序步骤传递特定策略的数据。 信任提供者和SIP注册 SIP 注册 DllRegisterServer CryptSIPAddProvider SIP_ADD_NEWPROVIDER [Python] 纯文本查看 复制代码
HKLM\SOFTWARE\[WOW6432Node\]Microsoft\Cryptography\OID\EncodingType 0 DllUnregisterServer CryptSIPRemoveProvider 信任提供者注册 WintrustAddActionID CRYPT_REGISTER_ACTIONID [Python] 纯文本查看 复制代码
HKLM\SOFTWARE\[WOW6432Node\]Microsoft\Cryptography\Providers\Trust WintrustRemoveActionID 信任提供者和 SIP 注册示例 调用 WintrustDllRegisterServer 所有这些编码函数都接受以下函数签名:BOOL WINAPI EncoderDecoderFunction(DWORDpbEncoded, DWORD pcbEncoded); 接下来, SoftpubDllRegisterServer 调用 WintrustAddActionID 来注册下列信任提供者:默认 “用法” 最后, mssip32DllRegisterServer 被调用来注册SIP。具体来说, 调用 CryptSIPAddProvider 来注册以下SIP: mssip32DllRegisterServer 还显式注销了以下 sip (实际上, Java SIP 组件保留在windows默认的注册表中):a. C689AAB9-8E78-11D0-8C47-00C04FC295EE​ CRYPT_SUBJTYPE_JAVACLASS_IMAGEb. 941C2937-1292-11D1-85BE-00C04FC295EE​ CRYPT_SUBJTYPE_SS_IMAGE [Python] 纯文本查看 复制代码
regsvr32.exe /u C:\Windows\System32\wintrust.dll 信任提供者和 SIP 交互
WinVerifyTrust、信任提供者和SIP之间的交互说明 希望到目前为止, 对信任提供者和SIP的角色有一个基本的了解, 以及它们的体系架构在很大程度上是通过注册注册表来实现模块化的。在下一节中, 将讨论对 Windows 信任体系结构的模块化的攻击。 Windows 信任体系架构攻击 让操作系统相信攻击者提供的代码是以 "受信任的" 代码签名证书 (例如, 用于签名 Microsoft 代码的) 签名和验证的。这种攻击背后的动机是: 颠覆应用程序强制基于可信签名权限策略的白名单发布规则。发布者强校验是最常见的名单规则方案之一,因为它甚至允许受信任发布者签名的代码可以绕过不允许软件更新的哈希规则而更新、执行，这种情况下更难维护和审核。SIP 劫持 #1: CryptSIPDllGetSignedDataMsg HKLM\SOFTWARE\[WOW6432Node\]Microsoft\Cryptography\OID\EncodingType 0\CryptSIPDllGetSignedDataMsg\{SIP Guid} Dll -实现数字签名检索函数的 DLL 的路径 FuncName -实现数字签名检索功能的导出函数的名称 [C] 纯文本查看 复制代码
BOOL WINAPI CryptSIPGetSignedDataMsg(
IN SIP_SUBJECTINFO *pSubjectInfo,
OUT DWORD *pdwEncodingType,
IN DWORD dwIndex,
IN OUT DWORD *pcbSignedDataMsg,
OUT BYTE *pbSignedDataMsg);
pSubjectInfo:从调用信任提供者传入的结构体指针, 包含有关提取签名的文件的所有相关信息。这里是一个例子：传递给 pwrshsip!PsGetSignature (PowerShell SIP的 CryptSIPDllGetSignedDataMsg组件)结构体的转储(dump):
pdwEncodingType:在从pSubjectInfo中指定的文件检索数字签名时,此参数指示调用函数(信任提供者”消息”组件)如何正确解码返回数字签名。最常见是的PKCS_7_ASN_ENCODING 和 X509_ASN_ENCODING 一起进行二进制或运算 。 dwIndex: 此参数应为零, 但理论上 SIP 可以包含多个嵌入的签名, dwIndex 表示从指定文件中提取哪一个数字签名。 pcbSignedDataMsg: 通过 pbSignedDataMsg 返回的数字签名的长度 (以字节为单位)。 pbSignedDataMsg: 返回到调用信任提供程者的已编码的数字签名。 攻击者在注册表中实现了可执行文件SIP的CryptSIPDllGetSignedDataMsg组件。 简单地说, 无论是否有嵌入的验证码签名, 为任何可执行文件返回相同的 Microsoft 证书。 为了确保返回适当格式的数字签名,最好在对其进行劫持之前在调试器中的合法CryptSIPDllGetSignedDataMsg上设置断点。这样做可以确保PKCS#7认证签名数据始终可以正确地返回。PE校验码规范(PE Authenticode specification) WIN_CERTIFICATE 现在, 攻击者的实现只需要返回正确的编码签名数据长度和签名数据。 sigcheck -i C:\Windows\System32\notepad.exe 在当前的例子中，返回下面的编录文件路径： C:\WINDOWS\system32\CatRoot\{F750E6C3-38EE-11D1-85E5-00C04FC295EE}\Microsoft-Windows-Client-Features-Package-AutoMerged-shell~31bf3856ad364e35~amd64~~10.0.15063.0.cat 现在,攻击者实现只需要从该编录文件返回字节,使任何PE文件看起来都使用了与notepad.exe相同的证书进行签名。模块化设计方法是将所需的签名内容嵌入到攻击者提供的SIP DLL中的资源中。 下面的示例说明了 PowerShell SIP CryptSIPDllGetSignedDataMsg 组件是如何使用自定义的恶意 SIP来劫持的, 它将始终返回与 PowerShell 文件相同的合法 Microsoft 证书:
PowerShell CryptSIPDllGetSignedDataMsg 劫持的演示
一个未经签名的 PowerShell 脚本, 似乎突然间就被微软给签名了
虽然未签名的 PowerShell 脚本看起来由 Microsoft 签名了, 但它的哈希验证并没有通过。 SIP 劫持 #2: CryptSIPDllVerifyIndirectData HKLM\SOFTWARE\[WOW6432Node\]Microsoft\Cryptography\OID\EncodingType 0\CryptSIPDllVerifyIndirectData\{SIP Guid} [C] 纯文本查看 复制代码
BOOL WINAPI CryptSIPVerifyIndirectData(
IN SIP_SUBJECTINFO *pSubjectInfo,
IN SIP_INDIRECT_DATA *pIndirectData); 调试CryptSIPVerifyIndirectData的合法实现，可以确认当计算出的验证码哈希与签名的哈希值匹配时,CryptSIPVerifyIndirectData返回TRUE。因此,所有恶意SIP需要做的就是为被劫持的相应SIP匹配生成，返回TRUE,从而使之看起来可以通过哈希验证。继续执行PowerShell劫持示例,恶意SIP仅为哈希验证例程返回true,将解决攻击者提供的代码无法正确验证的问题。 [C] 纯文本查看 复制代码
BOOL WINAPI AutoApproveHash(SIP_SUBJECTINFO *pSubjectInfo,SIP_INDIRECT_DATA *pIndirectData) {
UNREFERENCED_PARAMETER(pSubjectInfo);
UNREFERENCED_PARAMETER(pIndirectData);
return TRUE;
} 接下来, 劫持哈希验证处理程序 (连同以前的劫持签名检索功能) 将通过所有的检查, 将未经签名的 PowerShell 代码伪装为已签署Microsoft的代码:
劫持 PowerShell SIP 的 CryptSIPVerifyIndirectData 组件
现在, 未签名的 PowerShell 文件出现签名并经过正确验证
“数字签名” UI 选项卡显示一个未签名的 PowerShell 文件, 它显示签名并经过正确验证。
Sysinternals sigcheck 显示一个未签名的 PowerShell 文件, 它显示签名并经过正确验证。 有更少的劫持和清理工作； 良性、合法签名的代码将正确应用其各自的签名； 攻击者提供的带有 “合法” 的嵌入式校验码证书的代码很可能会受到安全产品的严格审查。
test.ps1 具有和ise.psm1相同的嵌入式校验码签名, 并且证书指纹值相匹配
notepad_backdoored.exe拥有应用于本属于notepad.exe (目录签名) 的数字签名
“数字签名” UI 选项卡还确认攻击者-suppled notepad_backdoored. exe 验证为已签名的 Microsoft 文件。
notepad_backdoored.exe 在 Sysinternals 的Process Explorer中显示为“已验证签名”。 绕过 UMCI 设备保护 执行 [C] 纯文本查看 复制代码
BOOL WINAPI CryptSIPVerifyIndirectData(
IN SIP_SUBJECTINFO *pSubjectInfo,
IN SIP_INDIRECT_DATA *pIndirectData);
Dll文件必须有签名； 函数必须接受两个参数； 函数必须使用WINAPI/stdcall 调用规范； 函数必须返回TRUE（通常为非零数或者奇数）； 函数不能改变传入的参数, 因为这可能导致内存损坏； 除了返回 “TRUE” 之外, 该函数最好没有其他意料之外的影响； 函数必须导出。
ntdll!DbgUiContinue的反汇编及注释 C:\Windows\System32\ntdll.dll 和 DbgUiContinue ，就足以通过对任何应用了合法的嵌入校验码签名的代码进行哈希校验检查。实际上，在对强制启用设备保护的系统上的可执行文件 SIP 进行测试时, 攻击者提供的代码被阻止执行。但是, 劫持 PowerShell SIP 启用了受约束的语言模式绕过, 从而实现了任意的、无签名的代码执行。不过，对于使用可执行文件与 PowerShell 代码进行的其他 (可能是内核支持的) 信任断言, 还不清楚。也有可能存在比DbgUiContinue更好用的劫持函数 , 但这足以证明攻击者提供的无签名的 SIP DLL足够可以用来劫持。
在劫持之前，由于受限的语言模式，test.psm1中的代码将被阻止执行
在 “签名代码重用” 攻击发生之后，将绕过受约束的语言模式。 信任提供者“最终策略”（FinalPolicy ）劫持 [C] 纯文本查看 复制代码
HRESULT WINAPI FinalPolicyFunction(_Inout_ struct _CRYPT_PROVIDER_DATA *pProvData); HKLM\SOFTWARE\[WOW6432Node\]Microsoft\Cryptography\Providers\Trust\FinalPolicy\{trust provider GUID} DLL 必须有签名； 函数必须只接受一个参数； 函数必须使用WINAPI/stdcall 调用规范； 函数的返回结果必须是 0 (S_OK) ，以表示HRESULT成功； 函数不能改变传入的参数, 因为这可能导致内存损坏； 除了返回 0之外, 该函数最好没有别的影响； 函数必须被导出。
SoftpubCleanup函数的反汇编 [C] 纯文本查看 复制代码
HRESULT WINAPI SoftpubCleanup(CRYPT_PROVIDER_DATA *data)
{
return S_OK;
} 躲避Autoruns的检测
在Autoruns的默认视图中看不到notepad_backdoored.exe
确认只有在取消选择 “隐藏 Windows 条目” 时才会出现 notepad_backdoored.exe 持久化和代码执行 DllHost.exe——当在文件属性中显示“数字签名”标签时 Process Explorer——当显示“签名校验”标签时 Autoruns Sigcheck consent.exe——任何时候显示UAC弹窗时 signtool.exe smartscreen.exe Get-AuthenticodeSignature Set-AuthenticodeSignature 基于对 WinVerifyTrust 的调用执行证书验证的安全供应商软件 HKLM\SOFTWARE\Microsoft\Cryptography\Providers HKLM\SOFTWARE\WOW6432Node\Microsoft\Cryptography\Providers HKLM\SOFTWARE\Microsoft\Cryptography\OID HKLM\SOFTWARE\WOW6432Node\Microsoft\Cryptography\OID 颠覆 CryptoAPI v2 (CAPI) 事件日志
上面的事件是一个 “错误” 事件。在本例中, 如果可执行程序 SIP 的 CryptSIPVerifyIndirectData 组件被劫持, 则 WinVerifyTrust 事件仍将被记录, 但作为 “信息” 事件表示信任验证成功：
攻击操作注意事项 如果 SIP被用来劫持现有的 SIP功能，请实现与您劫持的函数相同的函数名，这样就没必要再更改 “FuncName” 注册表值了。 虽然建议不要将合法的 SIP 二进制文件替换为你自己的 (例如 wintrust.dll)，但最好让你的SIP dll 与被劫持的dll 同名。除了具有相对路径 (例如 WoW64 mso.dll) 的 SIP 注册之外，还需要更改 “dll” 注册表值。更改 “dll” 值的最不可疑的方法是更改从 “dll” 中剥离文件路径，并把自己的 SIP Dll 放在目标应用程序的当前目录中。 例如, 将 “C:\Windows\System32\WINTRUST.dll” 更改为 “WINTRUST.dll”。请注意， wintrust.dll 不存在于 KnownDlls 如果实现完整的 SIP (如具有适当的注册/注销功能), 请注意与 SIP 操作相关的函数相对容易生成Yara签名。考虑直接通过注册表执行 SIP 注册/劫持。例如, 以下导入将为一个良好的Yara 规则：CryptSIPAddProvider CryptSIPRemoveProvider CryptSIPLoad CryptSetOIDFunctionValue CryptRegisterOIDFunction 如果你的SIP DLL直接操作注册表的Microsoft\Cryptography\OID键值，则需要混淆下子键的路径。 对于计划使用 SIP dll 劫持的合法 dll，请将其校验码签名应用于二进制文件。尽管存在哈希不匹配，理想情况下，仍可以劫持 CryptSIPVerifyIndirectData SIP 组件来缓解此问题。需要注意的是，许多系统二进制文件都是编录签名的。不过你也可以将编录签名应用于内嵌的校验码签名。 应用同一证书将产生相同的指纹计算，并绕过安全产品可能执行的一些简单检查。 如果要注册一个新的 SIP GUID，请使用以前定义过的一个但是当前未注册的文件，并应用与所使用的SIP GUID 相同的文件名和导出函数名称。例如, Silverlight 具有以下 GUID 的 SIP: BA08A66F-113B-4D58-9329-A1B37AF30F0E文件名：xapauthenticodesip.dll 导出函数：XAP_CryptSIPCreateIndirectData, XAP_CryptSIPGetSignedDataMsg, XAP_CryptSIPPutSign 《《《《《《《《《《《《《《《《《《《《《《《《《《《原文结束》》》》》》》》》》》》》》》》》》》》》》》》》》》 ps：原地址： https://bbs.pediy.com/thread-221970.htm 英文原文链接 https://specterops.io/assets/resources/SpecterOps_Subverting_Trust_in_Windows.pdf 虽然是转帖，但是还是恳求各位看过学过走过路过的同学同窗朋友好友点下下面的
【免费评分】 先谢过。。。。
查看全部评分
· 鱼木收集 | 主题: 2526, 订阅: 2706
· 学习及教程 | 主题: 1126, 订阅: 1118
· 技术 分析 | 主题: 157, 订阅: 18
[复制链接]
发表于 2018-9-30 13:41
|
发表于 2018-10-3 15:09
发表于 2018-9-30 14:42
