★ FEATURED ARTICLE 应用安全渗透测试红蓝对抗【免费下载链接】LOLBASLiving Off The Land Binaries And Scripts - (LOLBins and LOLScripts)项目地址https://gitcode.com/gh_mirrors/lo/LOLBAS点击查看免费下载Gpup.exe 是 Notepad 安装目录updater子目录下随附的更新辅助程序其具备代执行其他程序的能力被 LOLBAS 项目收录为一条典型的第三方签名组件滥用型 LOLBin。本篇以仓库归档条目 Gpup.exe.md 为主干结合其 YAML 源文件与项目收录标准系统讲解该条目的命令用法、参数语义、条目数据结构与检测思路读完即可掌握通过 Gpup.exe 执行任意程序这条技术点的原理与落地细节。Gpup.exe 是什么Notepad 更新器中的意外执行入口Gpup.exe 是 Notepad 软件包自带的一个程序默认安装路径为C:\Program Files (x86)\Notepad\updater\gpup.exe从路径结构看它位于 Notepad 的updater更新器目录下属于随 Notepad 安装而分发的第三方可执行文件。LOLBAS 归档条目将其功能定义为Execute执行与仓库 CategoryList.md 中列出的功能分类ADS、AWL bypass、Compile、Copy、Credentials、Download、Execute 等中的Execute类别对应。之所以值得收录是因为它具备了超出更新程序本职之外的能力——可以代为启动另一个进程。这正符合 README.md 中描述的 LOLBAS 项目收录标准具备额外的、意料之外的功能extra unexpected functionality且该功能对 APT 或红队实战有用。不过需要注意该条目收录于Archive-Old-Version归档目录第三方软件二进制分区并未出现在当前yml/主目录中属于项目早期2018 年收录并保留下来的历史资源。利用原理与命令实例一行命令拉起 calc.exe归档条目给出的核心命令非常简洁Gpup.exe -w whatever -e c:\Windows\System32\calc.exe其描述为Execute another command through gpup.exe (Notepad binary)——即通过 Gpup.exe 代为执行另一个命令/程序。从命令行为可以推断出两个关键参数的作用参数示例值语义推断-wwhatever接收一个工作类参数示例中为任意字符串占位可替换为任意内容-ec:\Windows\System32\calc.exe指定要代为执行的程序路径是真正被拉起的目标其中-e指向的路径可以被替换为任意可执行程序例如系统自带工具或其他脚本宿主。示例中选择calc.exe计算器作为无害的验证目标用于证明该二进制确实具备代执行能力在实战场景中-e参数完全可以指向攻击者需要的程序如反弹 Shell、下载器或攻击载荷。由于代执行的是完整程序路径该技巧不依赖内存注入或反射加载落地方式直接而稳定。仓库条目结构Markdown 与 YAML 双版本对照Gpup.exe 在仓库中有两个记录文件内容互为镜像Markdown 版面向人读的归档文档Gpup.exe.mdYAML 版面向机器解析的源数据Gpup.ymlYAML 版把条目拆解为标准的字段结构与仓库模板 YML-Template.yml 及 NOTICE.md 中描述的字段规范一一对应--- Name: Gpup.exe Description: Execute Author: Created: 2018-05-25 Commands: - Command: Gpup.exe -w whatever -e c:\Windows\System32\calc.exe Description: Execute another command through gpup.exe (Notepad binary). Full_Path: - C:\Program Files (x86)\Notepad\updater\gpup.exe Code_Sample: [] Detection: [] Resources: - https://twitter.com/pabraeken/status/997892519827558400 Acknowledgement: - Person: Pierre-Alexandre Braeken Handle: pabraeken各字段含义如下Name/DescriptionLOL 资源名称与一句话功能描述合法用途视角Created条目创建时间此条为 2018-05-25Commands利用命令及行为描述是整条记录的技术核心Full_Path该二进制常见的文件系统路径用于蓝队定位与脚本化收集Code_Sample/Detection代码样例与检测规则链接此条目均为空见下文检测章节Resources原始发现来源链接Twitter 帖子 status/997892519827558400Acknowledgement技术发现者署名——Pierre-Alexandre Braekenpabraeken。根据 CONTRIBUTING.md 的说明yml/下的 YAML 源文件是项目生成其他一切内容的源头归档区的 Markdown 与此 YAML 即同一信息的两种呈现形态。使用前提与边界从条目本身可以明确的使用前提如下目标主机需安装 Notepad32 位默认完整路径位于C:\Program Files (x86)\下说明该程序随 32 位安装布局分发未安装 Notepad 的主机自然不存在该入口文件是否被篡改不影响代执行能力-e机制是更新程序自身提供的参数化启动能力而非依赖 DLL 劫持或文件替换与同归档中 AcroRd32、ROCCAT_Swarm 等替换组件类条目原理不同权限要求条目未标注特权要求按执行型 LOLBin 的通用形态推断通常在普通用户上下文即可触发但实际可用性以运行环境为准。值得说明的是LOLBAS 项目文档NOTICE.md明确声明项目不保证任何条目附带或引用的检测资源能提供完整、正确的防御覆盖条目内容仅供教育与情报参考使用。因此上述推断结论在实战落地前应在受控环境中自行验证。检测与防御思路该条目的 YAML 中Detection: []为空即仓库层面没有为 Gpup.exe 提供现成的 Sigma/Elastic/Splunk 规则或 IOC。结合代执行行为的本质以下检测思路属于通用实践推断供防御侧参考进程创建命令行监控关注gpup.exe的启动命令行中是否出现-e参数且其指向的路径不是 Notepad 更新流程常规涉及的进程Windows 事件 4688进程创建配合命令行记录CommandLineProcessCreation 策略是捕捉该行为的最直接手段进程树分析gpup.exe正常情况下是更新链的一部分其子进程应为更新相关程序一旦观察到其派生出calc.exe、cmd.exe、powershell.exe等非预期子进程即为异常信号路径白名单/应用控制在允许 Notepad 安装的环境中对updater\gpup.exe可执行代启动的参数组合进行约束或直接将该目录加入执行限制策略。同类发现同一研究者的签名组件滥用系列Gpup.exe 并非孤例。归档区中由 Pierre-Alexandre Braekenpabraeken在同一时期2018 年 5 月提交的多个条目共同勾勒出第三方签名软件组件被滥用这一技法家族Setup.exe.md劫持 hpbcsiServiceMarshaller.exe 并运行 Setup.exe 拉起载荷AcroRd32.exe.md替换 Adobe Reader 的 RdrCEF.exe 以实现启动时执行ROCCAT_Swarm.exe.md替换 ROCCAT_Swarm_Monitor.exe 后随主程序启动执行。与上述替换组件模式不同Gpup.exe 的核心价值在于参数化代执行无需替换或劫持任何文件一条命令行即可借道完成执行隐蔽性与落地便捷性都更高。这类签名软件自带执行通道的技法正是 LOLBAS 项目持续追踪与归档的核心对象。小结Gpup.exe 条目虽短却完整呈现了一个第三方签名组件的 LOLBin 利用模型更新器类程序往往自带启动其他程序的能力-w/-e参数组合使其成为任意命令的启动代理。通过本条目读者既能掌握具体命令与参数语义也能理解 LOLBAS 仓库Markdown 归档 YAML 结构化数据的双轨条目组织方式以及检测与防御层面的基本思路。实际评估该技巧时请以受控环境验证为准并遵循项目文档中的教育与授权使用边界。赞分享应用安全渗透测试红蓝对抗【免费下载链接】LOLBASLiving Off The Land Binaries And Scripts - (LOLBins and LOLScripts)项目地址https://gitcode.com/gh_mirrors/lo/LOLBAS点击查看免费下载相关推荐LOLBAS 深度解析Msbuild.exe 的 Living Off The Land 利用——编译执行、Logger DLL 注入与 RSP 命令行混淆LOLBAS 深度解析Msbuild.exe 的 Living Off The Land 利用——编译执行、Logger DLL 注入与 RSP 命令行混淆应用安全渗透测试红蓝对抗LOLBAS 系列Control.exe —— 利用控制面板程序执行 .cpl 与 ADS 隐藏代码的 Living Off The Land 技巧LOLBAS 系列Control.exe —— 利用控制面板程序执行 .cpl 与 ADS 隐藏代码的 Living Off The Land 技巧 导读 本应用安全渗透测试红蓝对抗强力解析PEGTL如何重新定义C语法解析范式强力解析PEGTL如何重新定义C语法解析范式 你是一个文章写手你负责为开源项目写专业易懂的文章。今天要介绍的是PEGTLParsing Express创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
阅读完成 · 觉得有帮助？
