klsecservices/PhantomRPC

# PhantomRPC 研究仓库 本仓库是一个研究仓库，您可以在此找到有关 PhantomRPC 研究（该研究允许本地权限提升）的所有资源。 有关该研究的更多信息，请访问： https://securelist.com/phantomrpc-rpc-vulnerability/119428/ ## 目录结构 | 目录 | 描述 | |----------|------------| | POCs | 研究概念验证代码 | | toolset | 用于收集易受攻击进程的文件 | ## POCs 一组用 C 语言编写的 POC，用于模拟系统服务暴露的不同 RPC 服务器。 除了特定的端点之外，每个 POC 都实现了 RDP 服务器特定接口的功能。 ### 编译每个服务器 ``` midl ExampleInterface.idl /app_config cl.exe server.c ExampleInterface_s.c ``` ### 可用的 POCs | POC | 描述 | |-----|------------| | TERM | 终端服务 RPC 服务器 | | DHCP | DHCP 客户端服务 RPC 服务器 | | TIME | Windows 时间服务 RPC 服务器 | ## Toolset 一组文件，可用于收集 Windows 系统中尝试连接到不存在的 RPC 服务器的易受攻击进程。 ### 收集数据的步骤 #### 1. 启动 ETW RPC 捕获 ``` logman create trace "NameOfTheTrace" -p "{6ad52b32-d609-4be9-ae07-ce8dae937e39}" 0xFFFFFFFFFFFFFFFF 4 -o "YourOutputPath" logman start "NameOfTheTrace" ``` 按照白皮书（上方链接）中的描述生成事件。 #### 2. 使用 Etw2Json 将 ETL 转换为 JSON 工具仓库：https://github.com/microsoft/ETW2JSON ``` Etw2Json.exe "YourEtlFile" --output="YourJsonOutput" ``` #### 3. 运行 Python 工具提取事件 ``` python enricher.py "JsonInputFile" ``` ### Toolset 文件 | 文件 | 描述 | |------|------------| | enricher.py | 用于过滤和映射 ETW JSON 文件的 Python 工具 | | interfaces.json | 来自 https://github.com/cyberark/RPCMon/blob/main/DB/RPC_UUID_Map_Windows10_1909_18363.1977.rpcdb.json 的 Windows 接口数据库 | ## 作者与致谢 Haidar Kabibo Kaspersky Security Services X (Twitter): https://x.com/haider_kabibo ## 许可证 本软件在 MIT 软件许可证下提供。

标签：Conpot, DHCP客户端, ETW, PhantomRPC, POC, Python, RPC漏洞, Web报告查看器, Windows安全, Windows服务, 事件跟踪, 协议分析, 客户端加密, 情报收集, 数据展示, 无后门, 时间服务, 本地提权, 权限提升, 漏洞分析, 漏洞研究, 红队, 终端服务, 网络安全, 路径探测, 远程过程调用, 逆向工具, 隐私保护