渗透技巧——RecentFileCache.bcf和Amcache.hve单条记录的清除

3gstudent 技术 2018年11月28日发布
Favorite收藏

导语:在上篇文章中,对Windows主机常见文件执行记录的位置进行了整理,尝试获取并清除单条记录,分析利用思路,总结防御方法。本文作为后续,详细介绍RecentFileCache.bcf和Amcache.hve单条记录的清除方法。

0x00 前言

在上篇文章《渗透技巧——Windows系统文件执行记录的获取与清除》对Windows主机(Win7及以上系统)常见文件执行记录的位置进行了整理,尝试获取并清除单条记录,分析利用思路,总结防御方法。

本文作为后续,详细介绍RecentFileCache.bcf和Amcache.hve单条记录的清除方法。

0x01 简介

· RecentFileCache.bcf格式分析

· 编写程序实现RecentFileCache.bcf的单条记录清除

· Amcache.hve格式分析

· 编写程序实现Amcache.hve的单条记录清除

0x02 RecentFileCache.bcf格式分析

简介

用来跟踪应用程序与不同可执行文件的兼容性问题,能够记录应用程序执行的历史记录。

支持Win7(Win8及更高版本的系统不支持),位置:

C:\Windows\AppCompat\Programs\RecentFileCache.bcf

格式分析

没有找到介绍RecentFileCache.bcf文件格式的资料,但好在格式的规律比较简单。

前20字节为文件头部(header)。

前16字节为固定格式,如下图,

Alt text

接下来是每条记录的内容,固定格式如下:

· 前4字节表示Unicode记录的长度

· 记录的内容(Unicode格式)

· 结束标志,0x0000

注:Unicode每个字符占用2个字节。

下面使用c程序实现RecentFileCache.bcf文件的解析。

定义结构体

typedef struct _BCF_HEADER {
	ULONG64 Flag1;
	ULONG64 Flag2;
	ULONG Unknown;
} BCFHEADER, *PBCFHEADER;
typedef struct _BCF_RECORD {
	ULONG Size;
} BCFRECORD, *PBCFRECORD;

注:ULONG64为8字节,ULONG为4字节。

逐个解析每条记录,通过固定变量Size确定记录长度,进而读取每条记录的内容。

完整实现代码已开源,地址如下:

https://github.com/3gstudent/Homework-of-C-Language/blob/master/ListRecentFileCache.cpp

代码实现了读取RecentFileCache.bcf文件并显示所有记录。

0x03 RecentFileCache.bcf文件的单条记录清除

最简单的方法是将待删除的记录用字符0x00覆盖,但是会打乱原有的文件格式。

所以这里需要将待删除的记录内容删除,后续的记录补齐空位。

在程序实现上,使用新的数组来存储修改后的内容。

完整实现代码已开源,地址如下:

https://github.com/3gstudent/Homework-of-C-Language/blob/master/DeleteRecentFileCache.cpp

代码实现了修改指定的RecentFileCache.bcf文件,删除指定的记录,新文件保存为NewRecentFileCache.bcf

0x04 Amcache.hve格式分析

简介

Windows系统使用Amcache.hve替换RecentFileCache.bcf,能够记录创建时间、上次修改时间、SHA1和一些PE文件头信息。

Win8及更高版本的系统使用Amcache.hve替代RecentFileCache.bcf。

Win7安装KB2952664后,也会支持Amcache.hve,也就是说,此时RecentFileCache.bcf和Amcache.hve都包含文件执行记录。

Amcache.hve采用注册表格式存储信息。

注册表文件的格式可参考:

http://www.sentinelchicken.com/data/TheWindowsNTRegistryFileFormat.pdf

附录部分包括详细的文件格式介绍,可为程序实现提供参考。

为了提高开发效率,对记录的解析我们可以借助Windows系统下的regedit.exe。

通过regedit.exe加载Amcache.hve,即可查看和修改Amcache.hve的信息,方法如下:

选择HKEY_LOCAL_MACHINE,选择File -> Load Hive…,指定名称,即可加载Amcache.hve。

查看注册表后发现,文件执行记录以明文保存。

修改regedit.exe中Amcache.hve的注册表信息,需要使用System权限,修改后再选择Export,即可实现对Amcache.hve的保存。

查看Amcache.hve文件记录的开源powershell脚本,地址如下:

https://github.com/yoda66/GetAmCache/blob/master/Get-Amcache.ps1

脚本流程如下:

· 通过reg load加载Amcache.hve

· 枚举注册表,显示记录信息

· 通过reg unload卸载Amcache.hve

0x05 Amcache.hve文件的单条记录清除

删除思路

删除指定记录的信息,需要删除该记录对应的注册表父项。

删除方法

1、通过regedit.exe的界面操作

以System权限打开regedit.exe,加载Amcache.hve,编辑注册表,最后选择Export导出新的Amcache.hve

2、脚本实现

流程如下:

· 以system权限通过reg load加载Amcache.hve

· 枚举注册表,匹配待删除的记录

· 获得记录的注册表父项,删除整个注册表键值

· 导出注册表,保存Amcache.hve

· 通过reg unload卸载Amcache.hve

脚本实现的细节:

判断当前权限是不是system:

$output = &"whoami"
if($output -notmatch "nt authority\\system")
{
	Write-Error "Script must be run as nt authority\system" -ErrorAction Stop
}

加载注册表:

reg load HKLM\amcache c:\Windows\AppCompat\Programs\Amcache.hve

导出注册表:

reg.exe save HKLM\amcache "new.hve" /y

卸载注册表:

reg.exe unload HKLM\amcache

完整实现代码已开源,地址如下:

https://github.com/3gstudent/Homework-of-Powershell/blob/master/Delete-Amcache.ps1

代码实现了删除指定名称的记录,并且能够自动删除多条重复的记录,最终生成新文件new.hve。

0x06 小结

本文介绍了RecentFileCache.bcf和Amcache.hve单条记录的清除方法和程序实现细节。

站在取证的角度,对于RecentFileCache.bcf和Amcache.hve的记录,不能盲目相信。

本文为 3gstudent 原创稿件,授权嘶吼独家发布,如若转载,请注明原文地址: http://www.4hou.com/technology/14729.html
点赞 0
  • 分享至
取消

感谢您的支持,我会继续努力的!

扫码支持

打开微信扫一扫后点击右上角即可分享哟

发表评论