135-1821-9792

如何使用WFH搜索Windows可执行程序中的常见漏洞或功能

关于WFH

WFH，全名为Windows Feature Hunter，即Windows功能搜索工具，该工具基于Python开发，使用Frida实现其功能，可以帮助广大研究人员搜索和识别Windows可执行程序中的常见安全漏洞以及功能。当前版本的WFH能够自动识别动态链接库DLL中潜在的侧加载问题以及组件对象模型COM中劫持攻击的实现可能。

DLL侧加载利用勒Windows中WinSXS程序集来从SXS列表中加载恶意DLL文件。COM劫持将允许攻击者置入恶意代码，而这些代码将能够通过劫持COM引用和关系代替合法软件的执行。

WFH可以输出潜在的安全漏洞，并将目标Windows可执行文件中的潜在漏洞相关信息写入至CSV文件中。

工具安装

首先， 广大研究人员需要使用下列命令将该项目源码克隆至本地：

 
 
 
    
  
  
  
  1. git clone https://github.com/ConsciousHacker/WFH 
    2.

然后运行下列命令安装和配置相关依赖组件：

 
 
 
    
  
  
  
  1. pip install -r requirements.txt 
    2.

工具帮助信息

 
 
 
    
  
  
  
  1. PS C:\Tools\WFH > python .\wfh.py -h 
    2. 
  
  
  
  2.  
    3. 
  
  
  
  3. usage: wfh.py [-h] -t T [T ...] -m {dll,com} [-v] [-timeout TIMEOUT] 
    4. 
  
  
  
  4.  
    5. 
  
  
  
  5.   
    6. 
  
  
  
  6.  
    7. 
  
  
  
  7. Windows Feature Hunter 
    8. 
  
  
  
  8.  
    9. 
  
  
  
  9.   
    10. 
  
  
  
  10.  
    11. 
  
  
  
  11. optional arguments: 
    12. 
  
  
  
  12.  
    13. 
  
  
  
  13.   -h, --help            show this help message and exit 
    14. 
  
  
  
  14.  
    15. 
  
  
  
  15.   -t T [T ...], -targets T [T ...] 
    16. 
  
  
  
  16.  
    17. 
  
  
  
  17.                         list of target windows executables 
    18. 
  
  
  
  18.  
    19. 
  
  
  
  19.   -m {dll,com}, -mode {dll,com} 
    20. 
  
  
  
  20.  
    21. 
  
  
  
  21.                         vulnerabilities to potentially identify 
    22. 
  
  
  
  22.  
    23. 
  
  
  
  23.   -v, -verbose          verbose output from Frida instrumentation 
    24. 
  
  
  
  24.  
    25. 
  
  
  
  25.   -timeout TIMEOUT      timeout value for Frida instrumentation 
    26. 
  
  
  
  26.  
    27. 
  
  
  
  27.   
    28. 
  
  
  
  28.  
    29. 
  
  
  
  29. EXAMPLE USAGE 
    30. 
  
  
  
  30.  
    31. 
  
  
  
  31.     NOTE: It is recommended to copy target binaries to the same directory as wfh for identifying DLL Sideloading 
    32. 
  
  
  
  32.  
    33. 
  
  
  
  33.   
    34. 
  
  
  
  34.  
    35. 
  
  
  
  35.     DLL Sideloading Identification (Single):        python wfh.py -t .\mspaint.exe -m dll 
    36. 
  
  
  
  36.  
    37. 
  
  
  
  37.     DLL Sideloading Identification (Verbose):       python wfh.py -t .\mspaint.exe -m dll -v 
    38. 
  
  
  
  38.  
    39. 
  
  
  
  39.     DLL Sideloading Identification (Timeout 30s):   python wfh.py -t .\mspaint.exe -m dll -timeout 30 
    40. 
  
  
  
  40.  
    41. 
  
  
  
  41.     DLL Sideloading Identification (Wildcard):      python wfh.py -t * -m dll 
    42. 
  
  
  
  42.  
    43. 
  
  
  
  43.     DLL Sideloading Identification (List):          python wfh.py -t .\mspaint.exe .\charmap.exe -m dll 
    44. 
  
  
  
  44.  
    45. 
  
  
  
  45.   
    46. 
  
  
  
  46.  
    47. 
  
  
  
  47.     COM Hijacking Identification (Single):          python wfh.py -t "C:\Program Files\Internet Explorer\iexplore.exe" -m com 
    48. 
  
  
  
  48.  
    49. 
  
  
  
  49.     COM Hijacking Identification (Verbose):         python wfh.py -t "C:\Program Files\Internet Explorer\iexplore.exe" -m com -v 
    50. 
  
  
  
  50.  
    51. 
  
  
  
  51.     COM Hijacking Identification (Timeout 60s):     python wfh.py -t "C:\Program Files\Internet Explorer\iexplore.exe" -m com -timeout 60 
    52. 
  
  
  
  52.  
    53. 
  
  
  
  53.     COM Hijacking Identification (Wildcard):        python wfh.py -t * -m com -v 
    54. 
  
  
  
  54.  
    55. 
  
  
  
  55. COM Hijacking Identification (List):            python wfh.py -t "C:\Program Files\Internet Explorer\iexplore.exe" "C:\Windows\System32\notepad.exe" -m com -v 
    56.

工具使用

(1) DLL侧加载识别

首先，我们需要将需要分析的代码拷贝至WFH工具所在的目录下，然后按照下列命令执行扫描分析：

 
 
 
    
  
  
  
  1. PS C:\Tools\WFH > copy C:\Windows\System32\mspaint.exe . 
    2. 
  
  
  
  2.  
    3. 
  
  
  
  3. PS C:\Tools\WFH > copy C:\Windows\System32\charmap.exe . 
    4. 
  
  
  
  4.  
    5. 
  
  
  
  5. PS C:\Tools\WFH > dir 
    6. 
  
  
  
  6.  
    7. 
  
  
  
  7.   
    8. 
  
  
  
  8.  
    9. 
  
  
  
  9.   
    10. 
  
  
  
  10.  
    11. 
  
  
  
  11.     Directory: C:\Tools\WFH 
    12. 
  
  
  
  12.  
    13. 
  
  
  
  13.   
    14. 
  
  
  
  14.  
    15. 
  
  
  
  15.   
    16. 
  
  
  
  16.  
    17. 
  
  
  
  17. Mode                 LastWriteTime         Length Name 
    18. 
  
  
  
  18.  
    19. 
  
  
  
  19. ----                 -------------         ------ ---- 
    20. 
  
  
  
  20.  
    21. 
  
  
  
  21. d-----         5/14/2021   2:12 PM                .vscode 
    22. 
  
  
  
  22.  
    23. 
  
  
  
  23. -a----          5/6/2021   2:39 PM           1928 .gitignore 
    24. 
  
  
  
  24.  
    25. 
  
  
  
  25. -a----         12/7/2019   2:09 AM         198656 charmap.exe 
    26. 
  
  
  
  26.  
    27. 
  
  
  
  27. -a----         5/18/2021   7:39 AM           6603 loadlibrary.js 
    28. 
  
  
  
  28.  
    29. 
  
  
  
  29. -a----          4/7/2021  12:48 PM         988160 mspaint.exe 
    30. 
  
  
  
  30.  
    31. 
  
  
  
  31. -a----         5/18/2021   7:53 AM           8705 README.md 
    32. 
  
  
  
  32.  
    33. 
  
  
  
  33. -a----         5/17/2021  11:27 AM           5948 registry.js 
    34. 
  
  
  
  34.  
    35. 
  
  
  
  35. -a----          5/6/2021   2:41 PM             11 requirements.txt 
    36. 
  
  
  
  36.  
    37. 
  
  
  
  37. -a----         5/18/2021   8:35 AM          10623 wfh.py 
    38.

接下来，我们就可以使用WFH来对目标代码进行分析，并尝试识别其中的DLL侧加载机会：

 
 
 
    
  
  
  
  1. PS C:\Tools\WFH > python .\wfh.py -t * -m dll 
    2. 
  
  
  
  2.  
    3. 
  
  
  
  3. ================================================== 
    4. 
  
  
  
  4.  
    5. 
  
  
  
  5. Running Frida against charmap.exe 
    6. 
  
  
  
  6.  
    7. 
  
  
  
  7. -------------------------------------------------- 
    8. 
  
  
  
  8.  
    9. 
  
  
  
  9.         [+] Potential DllMain Sideloading: LoadLibraryW,LPCWSTR: MSFTEDIT.DLL 
    10. 
  
  
  
  10.  
    11. 
  
  
  
  11.         [+] Potential DllMain Sideloading: LoadLibraryExW,LPCWSTR : MSFTEDIT.DLL, dwFlags : NONE 
    12. 
  
  
  
  12.  
    13. 
  
  
  
  13.   
    14. 
  
  
  
  14.  
    15. 
  
  
  
  15. [*] Writing raw Frida instrumentation to charmap.exe-raw.log 
    16. 
  
  
  
  16.  
    17. 
  
  
  
  17. [*] Writing Potential DLL Sideloading to charmap.exe-sideload.log 
    18. 
  
  
  
  18.  
    19. 
  
  
  
  19. -------------------------------------------------- 
    20. 
  
  
  
  20.  
    21. 
  
  
  
  21. ================================================== 
    22. 
  
  
  
  22.  
    23. 
  
  
  
  23. Running Frida against mspaint.exe 
    24. 
  
  
  
  24.  
    25. 
  
  
  
  25. -------------------------------------------------- 
    26. 
  
  
  
  26.  
    27. 
  
  
  
  27.         [+] Potential DllMain Sideloading: LoadLibraryExW,LPCWSTR : gdiplus.dll, dwFlags : NONE 
    28. 
  
  
  
  28.  
    29. 
  
  
  
  29.         [-] Potential DllExport Sideloading: GetProcAddress,hModule : C:\WINDOWS\WinSxS\amd64_microsoft.windows.gdiplus_6595b64144ccf1df_1.1.19041.789_none_faf0a7e97612e7bb\gdiplus.dll, LPCSTR: GdiplusStartup 
    30. 
  
  
  
  30.  
    31. 
  
  
  
  31.         [+] Potential DllMain Sideloading: LoadLibraryW,LPCWSTR: MSFTEDIT.DLL 
    32. 
  
  
  
  32.  
    33. 
  
  
  
  33.         [+] Potential DllMain Sideloading: LoadLibraryExW,LPCWSTR : MSFTEDIT.DLL, dwFlags : NONE 
    34. 
  
  
  
  34.  
    35. 
  
  
  
  35.   
    36. 
  
  
  
  36.  
    37. 
  
  
  
  37. [*] Writing raw Frida instrumentation to mspaint.exe-raw.log 
    38. 
  
  
  
  38.  
    39. 
  
  
  
  39. [*] Writing Potential DLL Sideloading to mspaint.exe-sideload.log 
    40. 
  
  
  
  40.  
    41. 
  
  
  
  41. -------------------------------------------------- 
    42. 
  
  
  
  42.  
    43. 
  
  
  
  43. ================================================== 
    44. 
  
  
  
  44.  
    45. 
  
  
  
  45. [*] Writing dll results to dll_results.csv 
    46. 
  
  
  
  46.  
    47. 
  
  
  
  47.   
    48. 
  
  
  
  48.  
    49. 
  
  
  
  49. PS C:\Tools\WFH > type .\dll_results.csv 
    50. 
  
  
  
  50.  
    51. 
  
  
  
  51. Executable,WinAPI,DLL,EntryPoint / WinAPI Args 
    52. 
  
  
  
  52.  
    53. 
  
  
  
  53. charmap.exe,LoadLibraryW,LPCWSTR: MSFTEDIT.DLL 
    54. 
  
  
  
  54.  
    55. 
  
  
  
  55. charmap.exe,LoadLibraryExW,LPCWSTR : MSFTEDIT.DLL, dwFlags : NONE 
    56. 
  
  
  
  56.  
    57. 
  
  
  
  57. mspaint.exe,LoadLibraryExW,LPCWSTR : gdiplus.dll, dwFlags : NONE 
    58. 
  
  
  
  58.  
    59. 
  
  
  
  59. mspaint.exe,GetProcAddress,hModule : C:\WINDOWS\WinSxS\amd64_microsoft.windows.gdiplus_6595b64144ccf1df_1.1.19041.789_none_faf0a7e97612e7bb\gdiplus.dll, LPCSTR: GdiplusStartup 
    60. 
  
  
  
  60.  
    61. 
  
  
  
  61. mspaint.exe,LoadLibraryW,LPCWSTR: MSFTEDIT.DLL 
    62. 
  
  
  
  62.  
    63. 
  
  
  
  63. mspaint.exe,LoadLibraryExW,LPCWSTR : MSFTEDIT.DLL, dwFlags : NONE 
    64.

如果你想让WFH输出更多详细内容，可以使用“-v”参数开启Verbose模式。此时将能够查看Windows API调用的详细情况：

 
 
 
    
  
  
  
  1. PS C:\Tools\WFH > python .\wfh.py -t * -m dll -v 
    2. 
  
  
  
  2.  
    3. 
  
  
  
  3. ================================================== 
    4. 
  
  
  
  4.  
    5. 
  
  
  
  5. Running Frida against charmap.exe 
    6. 
  
  
  
  6.  
    7. 
  
  
  
  7. {'type': 'send', 'payload': 'LoadLibraryW,LPCWSTR: MSFTEDIT.DLL'} 
    8. 
  
  
  
  8.  
    9. 
  
  
  
  9. {'type': 'send', 'payload': 'LoadLibraryExW,LPCWSTR : MSFTEDIT.DLL, dwFlags : NONE'} 
    10. 
  
  
  
  10.  
    11. 
  
  
  
  11. -------------------------------------------------- 
    12. 
  
  
  
  12.  
    13. 
  
  
  
  13.         [+] Potential DllMain Sideloading: LoadLibraryW,LPCWSTR: MSFTEDIT.DLL 
    14. 
  
  
  
  14.  
    15. 
  
  
  
  15.         [+] Potential DllMain Sideloading: LoadLibraryExW,LPCWSTR : MSFTEDIT.DLL, dwFlags : NONE 
    16. 
  
  
  
  16.  
    17. 
  
  
  
  17.   
    18. 
  
  
  
  18.  
    19. 
  
  
  
  19. [*] Writing raw Frida instrumentation to charmap.exe-raw.log 
    20. 
  
  
  
  20.  
    21. 
  
  
  
  21. [*] Writing Potential DLL Sideloading to charmap.exe-sideload.log 
    22. 
  
  
  
  22.  
    23. 
  
  
  
  23. -------------------------------------------------- 
    24. 
  
  
  
  24.  
    25. 
  
  
  
  25. ================================================== 
    26. 
  
  
  
  26.  
    27. 
  
  
  
  27. Running Frida against mspaint.exe 
    28. 
  
  
  
  28.  
    29. 
  
  
  
  29. {'type': 'send', 'payload': 'LoadLibraryExW,LPCWSTR : gdiplus.dll, dwFlags : NONE'} 
    30. 
  
  
  
  30.  
    31. 
  
  
  
  31. {'type': 'send', 'payload': 'GetProcAddress,hModule : C:\\WINDOWS\\WinSxS\\amd64_microsoft.windows.gdiplus_6595b64144ccf1df_1.1.19041.789_none_faf0a7e97612e7bb\\gdiplus.dll, LPCSTR: GdiplusStartup'} 
    32. 
  
  
  
  32.  
    33. 
  
  
  
  33. {'type': 'send', 'payload': 'LoadLibraryW,LPCWSTR: MSFTEDIT.DLL'} 
    34. 
  
  
  
  34.  
    35. 
  
  
  
  35. {'type': 'send', 'payload': 'LoadLibraryExW,LPCWSTR : MSFTEDIT.DLL, dwFlags : NONE'} 
    36. 
  
  
  
  36.  
    37. 
  
  
  
  37. -------------------------------------------------- 
    38. 
  
  
  
  38.  
    39. 
  
  
  
  39.         [+] Potential DllMain Sideloading: LoadLibraryExW,LPCWSTR : gdiplus.dll, dwFlags : NONE 
    40. 
  
  
  
  40.  
    41. 
  
  
  
  41.         [-] Potential DllExport Sideloading: GetProcAddress,hModule : C:\WINDOWS\WinSxS\amd64_microsoft.windows.gdiplus_6595b64144ccf1df_1.1.19041.789_none_faf0a7e97612e7bb\gdiplus.dll, LPCSTR: GdiplusStartup 
    42. 
  
  
  
  42.  
    43. 
  
  
  
  43.         [+] Potential DllMain Sideloading: LoadLibraryW,LPCWSTR: MSFTEDIT.DLL 
    44. 
  
  
  
  44.  
    45. 
  
  
  
  45.         [+] Potential DllMain Sideloading: LoadLibraryExW,LPCWSTR : MSFTEDIT.DLL, dwFlags : NONE 
    46. 
  
  
  
  46.  
    47. 
  
  
  
  47.   
    48. 
  
  
  
  48.  
    49. 
  
  
  
  49. [*] Writing raw Frida instrumentation to mspaint.exe-raw.log 
    50. 
  
  
  
  50.  
    51. 
  
  
  
  51. [*] Writing Potential DLL Sideloading to mspaint.exe-sideload.log 
    52. 
  
  
  
  52.  
    53. 
  
  
  
  53. -------------------------------------------------- 
    54. 
  
  
  
  54.  
    55. 
  
  
  
  55. ================================================== 
    56. 
  
  
  
  56.  
    57. 
  
  
  
  57. [*] Writing dll results to dll_results.csv 
    58.

(2) COM劫持识别

 
 
 
    
  
  
  
  1. PS C:\Tools\WFH > python .\wfh.py -t "C:\Program Files\Internet Explorer\iexplore.exe" -m com 
    2. 
  
  
  
  2.  
    3. 
  
  
  
  3. ================================================== 
    4. 
  
  
  
  4.  
    5. 
  
  
  
  5. Running Frida against C:\Program Files\Internet Explorer\iexplore.exe 
    6. 
  
  
  
  6.  
    7. 
  
  
  
  7. -------------------------------------------------- 
    8. 
  
  
  
  8.  
    9. 
  
  
  
  9.         [+] Potential COM Hijack: Path : HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{0E5AAE11-A475-4C5B-AB00-C66DE400274E}\InProcServer*32,lpValueName : null,Type : REG_EXPAND_SZ, Value : %SystemRoot%\system32\Windows.Storage.dll 
    10. 
  
  
  
  10.  
    11. 
  
  
  
  11.         [+] Potential COM Hijack: Path : HKEY_CLASSES_ROOT\CLSID\{1FD49718-1D00-4B19-AF5F-070AF6D5D54C}\InProcServer*32,lpValueName : null,Type : REG_SZ, Value : C:\Program Files (x86)\Microsoft\Edge\Application\90.0.818.62\BHO\ie_to_edge_bho_64.dll 
    12. 
  
  
  
  12.  
    13. 
  
  
  
  13.   
    14. 
  
  
  
  14.  
    15. 
  
  
  
  15. [*] Writing raw Frida instrumentation to .\iexplore.exe-raw.log 
    16. 
  
  
  
  16.  
    17. 
  
  
  
  17. [*] Writing Potential COM Hijack to .\iexplore.exe-comhijack.log 
    18. 
  
  
  
  18.  
    19. 
  
  
  
  19. -------------------------------------------------- 
    20. 
  
  
  
  20.  
    21. 
  
  
  
  21. ================================================== 
    22. 
  
  
  
  22.  
    23. 
  
  
  
  23. [*] Writing dll results to comhijack_results.csv 
    24.

工具使用样例

(1) 原生Windows签名代码

将所有的原生Windows签名代码拷贝至WFH脚本所在目录：

 
 
 
    
  
  
  
  1. Get-ChildItem c:\ -File | ForEach-Object { if($_ -match '.+?exe$') {Get-AuthenticodeSignature $_.fullname} } | where {$_.IsOSBinary} | ForEach-Object {Copy-Item $_.path . } 
    2.

(2) 搜索DLL侧加载机会

 
 
 
    
  
  
  
  1. python wfh.py -t * -m dll 
    2.

(3) 搜索COM劫持机会

 
 
 
    
  
  
  
  1. python wfh.py -t * -m com 
    2.

项目地址

WFH：【GitHub传送门】


网站名称：如何使用WFH搜索Windows可执行程序中的常见漏洞或功能
文章源于：http://wtcwzsj.com/article/dpgdscs.html

其他资讯


关于我们
我们的服务
网站建设案例
新闻动态
联系我们

135-1821-9792

公司服务热线
友情链接： 物流公司网站建设方案   柴油发电机出租   成都石膏板公司   简阳威斯达宇   成都维修发电机公司   四川机柜租用   平武做网站   圣月阀门   jyruizhi.cn   成都柴油发电机维修   

Copyright © 2009-2022 www.wtcwzsj.com 青羊区广皓图文设计工作室（个体工商户） 版权所有　蜀ICP备19037934号