HTTP.sys驱动的那些事

对Http.sys利用的一些总结

本文一切操作都在管理员权限之下

1. 什么是http.sys

http.sys是一个Windows系统的核心组件,能够让任何应用程序通过它提供的接口,以http协议进行信息通讯。微软在Win2003加入了Http.sys,用于侦听http流量并根据URL进行处理,允许任意用户进程共享专用于HTTP流量的TCP端口,也就是说,多个程序可以使用同一端口进行http的监听,而Http.sys充当了nginx的⻆色。通过netsh命令可以对http.sys的命名空间进行一系列操作。比如说IIS服务器,它的最底层就是HTTP.sys驱动,HTTP.sys有两个特点

  1. 允许端口服用,可以让多个程序使用同一个端口进行监听

  2. 对HOST敏感,可以通过HOST进行分发流量。

系统当中会有一些默认的http.sys的保留注册项,如下

image-20221104150635200

而目前业内的普遍用法是使用5985端口的WinRM注册项,将其迁移到80端口进行复用,由于winrm服务在系统自带的命名空间当中已经被注册,命名空间与winrm程序之间已经有对应了,所以将winrm开在80端口就可以了,由于存在IIS的服务器IIS的80端口占用也是在Http.sys之后,所以并不会有什么报错。

#将winRM迁移至80
winrm set winrm/config/Listener?Address=*+Transport=HTTP @{Port="80"}
#将winRM还原为5985
winrm set winrm/config/Listener?Address=*+Transport=HTTP @{Port="5985"}
#客户端连接命令
winrs -r:http://ip -u:user -p:pwd "whoami"
#pwd可为hash

2. 为什么研究它

由于针对Linux已经有比较成熟的端口复用手段,例如在某次项目当中使用的iptables转发复用,而Windows的http.sys一直只知道存在这个东西,并知道这东西能复用,但是不知道如何复用,并没有进行武器化。

3. HTTPS 隧道

在最一开始,最理想的状态就是通过起一个HTTPS proxy的服务,让客户端通过HTTP CONNECT method来使用HTTPS代理服务。然而事实却是残酷的。

看一下HTTPS Proxy 的包

image-20221104143500783

可以看出,PATH与HOST都是代理的目标与端口,继续测试

image-20221104143605889

不难看出,HTTP CONNECT方法是不允许使用/作为uri的,我们再来看下HTTP.sys的注册要求

image-20221021163757474

矛盾点出现了,HTTP CONNECT不能有/,HTTPSYS必须要/

改协议?改驱动?显然是不可能的,这条路放弃。

4. 后门

都研究了这么久了,放弃这个思路肯定是不甘心的,思来想去,做个WebRootKit吧,通过他得天独厚的优势,做个后门。开始找相关的项目

最后找到了一个HTTP.sys的Demo

https://docs.microsoft.com/en-us/windows/win32/http/http-server-sample-application

进行一系列修改,得到了Joker工具

https://github.com/ZhuriLab/Joker

4.1 基于路径复用

Joker.exe "http://*:{PORT}/{PATH}"

image-20220902160750422

可直接使用最新版蚁剑进行连接,配置如下:

image-20220902161010316

连接密码随便填写

image-20220902161210934

4.2 基于HOST进行复用

Joker.exe "http://{HOST}:{PORT}/"

image-20220902161434903

蚁剑配置如下

image-20220902161603406

image-20220902161619869

这样,在正常访问80端口的时候为正常业务,在带特殊的host访问80端口的时候则为后门程序。

5. 适配Regorg

正当整个研究要结束的时候,突然一个工具在脑海里浮现了出来,Regeorg,一款TunnelWebShell工具,他的使用情景,不也是在不出网的地方进行正向代理吗,它虽然不能采用CONNECT方法,但是使用GET、POST方法进行传输数据同样也得到了隐藏的目的。

于是写了一个适配regeorg的demo,也就是开源在Joker当中的JokerTunnel

使用:

  1. Server端执行 tunnel.exe <url1> <url2> <url3> ...
  2. 使用regeorg客户端连接

image-20221107111636996

image-20221107111724185

本地测试访问某购物网站速度还可以:

image-20221104161428864

6. RD网关(域环境)

就当研究即将结束的时候,突然想到这一个问题,是不是所有Windows自带的Web类型的系统服务都是通过HTTP.sys进行端口开放的,若是这样,岂不是可以通过端口复用的方式进行远程桌面连接,话不多说,开始搞。

在Win2019上进行测试,开启RD远程桌面网关,看下http.sys保留注册项的变化

未安装RD网关

image-20221107142940842

安装RD网关

image-20221107143455358

image-20221107143905756

当RD网关安装完成后,可以发现http.sys多了两个443端口的注册项,证明了之前的猜想,RD网关确实是通过http.sys启动的,那么下一步就配置一下它进行远程桌面与Web的复用。正当我配置RD过程中,服务器管理器冒出来这么句话。

image-20221107145452908

经过翻阅大量文献,发现RD Gateway 需要域环境,那我就在域环境去搞吧。

6.1 开启RD服务

image-20221108113218098

image-20221108113539428

6.2 配置RD Gateway

进入RD 网关资源策略

image-20221108113824955

image-20221108113850053

选择认证方式与可登录的组员

image-20221108161336865

配置网络资源,配置RDGW可以连接到所有域内机器

image-20221108114300664

6.3 安装SSL

image-20221108114459391

创建自签名证书

image-20221108114542294

将证书导出,并安装到远程客户端机器(攻击机),远程客户端机器需要将DNS解析到域DNS上或者绑定hosts文件。

6.4 创建服务器场

image-20221108163114623

将需要远程拨上去的机器域名或者ip添加到服务器场

6.5 远程登录

更改本地的mstsc的配置,配置如下

image-20221108142819834

远程计算机输入域内机器,进行登录,登录过程中会使用两次凭据,一次为RD网关的凭证,一个是登录目的机器的凭证。

image-20221108143021661

image-20221108144018623

image-20221108163351420

从流量上来看,通过RD网关远程登录的机器,客户机与远程机器是完全没有流量交互的,再看下RD网关的情况

image-20221108163618735

可以看出,客户机与RD网关完全是通过443进行流量交互的,

image-20221108163655736

而正常情况下,去访问RD网关机器的443端口是一个Web界面

6.6 总结

这种利用条件可谓是相当苛刻,我们盘点一下都需要哪些前置条件

  1. 机器在域内
  2. 需要明文的域票据
  3. 步骤繁琐,很难将这些操作转换为命令行命令
  4. 防火墙允许443端口入站

总体来讲,这个思路也只是思路而已,很难用于真实环境。很鸡肋,不如Joker利用实用。

暂无评论

发送评论 编辑评论


				
|´・ω・)ノ
ヾ(≧∇≦*)ゝ
(☆ω☆)
(╯‵□′)╯︵┴─┴
 ̄﹃ ̄
(/ω\)
∠( ᐛ 」∠)_
(๑•̀ㅁ•́ฅ)
→_→
୧(๑•̀⌄•́๑)૭
٩(ˊᗜˋ*)و
(ノ°ο°)ノ
(´இ皿இ`)
⌇●﹏●⌇
(ฅ´ω`ฅ)
(╯°A°)╯︵○○○
φ( ̄∇ ̄o)
ヾ(´・ ・`。)ノ"
( ง ᵒ̌皿ᵒ̌)ง⁼³₌₃
(ó﹏ò。)
Σ(っ °Д °;)っ
( ,,´・ω・)ノ"(´っω・`。)
╮(╯▽╰)╭
o(*////▽////*)q
>﹏<
( ๑´•ω•) "(ㆆᴗㆆ)
😂
😀
😅
😊
🙂
🙃
😌
😍
😘
😜
😝
😏
😒
🙄
😳
😡
😔
😫
😱
😭
💩
👻
🙌
🖕
👍
👫
👬
👭
🌚
🌝
🙈
💊
😶
🙏
🍦
🍉
😣
Source: github.com/k4yt3x/flowerhd
颜文字
Emoji
小恐龙
花!
上一篇