Ders 3.3: PowerShell: günlükleme, AMSI ve sürüm düşürme saldırıları
PowerShell hem bir yöneticinin en iyi aracı hem saldırganların gözdesidir. Modern Windows PowerShell 5.1 çalıştırdığı her betik bloğunu, kodu çözülmüş ve karartması kaldırılmış olarak bile, günlüğe yazar (olay 4104) ve antivirüsün engelleyebilmesi için içeriği AMSI'ye iletir. 2.0 sürümü ikisini de yapmaz; bu yüzden onun kurulu olduğunu bulan saldırganlar ikisinden de sıyrılmak için 'powershell -version 2' başlatır. Laboratuvarda finans iş istasyonundan dışa aktarılan PowerShell günlüklerini okuyorsun: AMSI'nin yakaladığı bir indirme beşiği, sonra eski motorla bir çalıştırma; onun kodlanmış komutunu kendin çözüyor ve sağlamlaştırma planını yazıyorsun.
16 dk
Bu derste öğreneceklerin
- Betik bloğu günlüklemeyi (4104) ve AMSI'yi açıklamak
- Bir PowerShell indirme beşiğini tanımak
- Olay 400'den PowerShell 2.0 sürüm düşürmelerini tespit etmek
- Bir -EncodedCommand'ı çözmek
- PowerShell sağlamlaştırmasını planlamak
Temel terimler
- Betik bloğu günlükleme (4104)
- PowerShell 5+ çalıştırdığı her betik bloğunun metnini karartma kaldırıldıktan sonra günlüğe yazar.
- AMSI
- Antimalware Scan Interface: antivirüsün betikleri ve komutları çalışma anında incelemesini sağlar.
- İndirme beşiği
- Kodu bellekte indirip çalıştıran tek satırlık komut.
- Sürüm düşürme saldırısı
- Daha yeni savunmalardan kaçmak için daha eski, zayıf bir sürüm (PowerShell 2.0) kullanmak.
- -EncodedCommand
- UTF-16LE metnin base64'ü olarak geçirilen komut.
- Kısıtlı Dil Modu
- .NET ve COM erişimini engelleyen, uygulama denetimiyle zorlanan PowerShell modu.
← SUID programlar ve temel çizgiler · Tüm dersler · Güvenlik başlıkları →