Ejecución mediante binarios del sistema
Ejecutar código a través de binarios firmados por Microsoft (LOLBAS) para saltarse AppLocker y listas blancas.
Cómo aparece en Hack The Box
Si AppLocker bloquea tus .exe, prueba carpetas permitidas y escribibles (C:\Windows\Tasks) o binarios como MSBuild, InstallUtil o rundll32.
Técnicas de nuestro catálogo que corresponden a esta (el número son sus máquinas):
Máquinas para practicarla
Ordenadas de más fácil a más difícil. El enlace ▶ te lleva al minuto del vídeo de IppSec donde se usa.
- Fuzzing de vhosts y subdominios
- Credenciales por defecto
- Deserialización insegura
- Inyección de comandos
- Password spraying y usuarios válidos
- Credenciales en ficheros
- Servicios internos y port forwarding
- Criptografía débil o casera
- Backups y archivos comprimidos
- Credenciales guardadas / DPAPI
- AppLocker y Constrained Language Mode
Guías
- Cómo detectan los antivirus y EDR en Windows: AMSI, ETW, hooks, AppLocker y CLM explicados 5 min de lectura Qué mira Defender o un EDR al ejecutar una herramienta (firmas, AMSI, ETW, hooks, callbacks del kernel), cómo saber qué protege una máquina y qué son AppLocker y CLM.
Comandos
Sacados de nuestras chuletas y fichas de herramientas. Escribe tus datos y se rellenan en todos los comandos.
Evasión explicada: AMSI, ETW y AppLocker › AppLocker / CLM
Leer las reglas de AppLocker
Víctima
Get-AppLockerPolicy -Effective -Xml
LOLBAS que ejecutan por ti
Teclas
# InstallUtil.exe, MSBuild.exe, regsvr32.exe, rundll32.exe: binarios firmados por Microsoft que ejecutan código y suelen estar en la lista blanca. Busca en lolbas-project.github.io.Phishing explicado: macros, HTA y LNK › HTA
El patrón que marca cualquier EDR
Teclas
# mshta.exe conectándose a una URL y creando cmd.exe o powershell.exe es un indicador de libro. Muchas empresas bloquean mshta.exe entero con AppLocker/WDAC.Ningún comando coincide.