___           ___           ___           ___           ___           ___     
     /\  \         /\__\         /\  \         /\__\         /\  \         /\  \    
    /::\  \       /:/  /        /::\  \       /:/  /        /::\  \       /::\  \   
   /:/\:\  \     /:/  /        /:/\:\  \     /:/__/        /:/\:\  \     /:/\:\  \  
  /::\~\:\  \   /:/  /  ___   /:/  \:\  \   /::\__\____   /::\~\:\  \   /::\~\:\  \ 
 /:/\:\ \:\__\ /:/__/  /\__\ /:/__/ \:\__\ /:/\:::::\__\ /:/\:\ \:\__\ /:/\:\ \:\__\
 \/_|::\/:/  / \:\  \ /:/  / \:\  \  \/__/ \/_|:|~~|~    \:\~\:\ \/__/ \/_|::\/:/  /
    |:|::/  /   \:\  /:/  /   \:\  \          |:|  |      \:\ \:\__\      |:|::/  / 
    |:|\/__/     \:\/:/  /     \:\  \         |:|  |       \:\ \/__/      |:|\/__/  
    |:|  |        \::/  /       \:\__\        |:|  |        \:\__\        |:|  |    
     \|__|         \/__/         \/__/         \|__|         \/__/         \|__|

Файлы Библиотек Windows В Эксплуатации

Оглавление

Использование библиотечных файлов в эксплуатации

Библиотечные файлы были введены в Windows 7 и представляют собой способ просмотра содержимого множества каталогов в одном представлении. Например, библиотека «Изображения» на самом деле содержит местоположения C:\Users\User\Pictures и C:\Users\Public\Pictures. Microsoft реализует это путем создания файлов .library-ms внутри AppData. Файлы библиотеки ms (library-ms) являются XML и строяться по определанной схеме. Большинство типов файлов Microsoft .-ms являются XML. Схему легко найти в Интернете, описание элементов, однако, довольно расплывчато. Ниже приведен пример типичного файла library-ms.

1

Этот пример имеет только одно местоположение, но в спецификации сказано, что у нас может быть столько сколько мы хотим. Все библиотеки, которые предоставляет Microsoft, имеют конкретных владельцев с сериализованными местоположениями. Это означает, что вы не можете переместить его с компьютера на компьютер или даже от одного пользователя к другому. Однако все элементы, которые привязывают его к определенной машине/пользователю/местоположению, являются необязательными. Части которые нас интересуют - это SearchConenectionDescription.


1
И шаблон элемента Info.
1

SearchConnectionDescription позволяет вам выбрать, какие пути должны быть включены при объединении файлов в представление самой библиотеки. В этом разделе мы просто рассмотрим локальные возможности файлов библиотеки, это полезно во многих случаях. При выполнении кода, вы можете изменить url элемент поиска соединителя описания пути. Указание пути к несуществующей подпапке соединительной папки вызовет обработку оной. Это полезно при запуске выполнению кода через файлы ссылок. Это также приводит к освобождению COM-объектов (см. статью CLSIDs и Соединительные Папки).

Раздел templateInfo позволяет пользователю выбрать представление проводника для папок/файлов. В тех случаях, когда вы используете рендеринг значков (например, файлы desktop.ini), вы можете изменить представление проводника с детального на представление значков.

В качестве аспекта шпионажа, вы можете выбрать для библиотеки неприметный значок (значок папки, значок корзины и тд.), изменив элемент {iconReference}.

Возможность удаленного взаимодействия файлов библиотек

Чтобы разобраться в этой возможности возможно стоит прочитать раздел SearchConnectorDescription в документации. В общем, возможности удаленного доступа еще не были основательно тестированны, но есть мысли что они могут использоваться для разведки и удаленной атаки на машины. Часть url в SearchConnectorDescription может указывать на вещи, отличные от файлов/папок/известных папок (CLSID). Фактически, URL может быть реальным URL или UNC-путем. Это означает, что когда файл библиотеки обрабатывается (может быть помещен на съемный носитель или в сетевой ресурс), svchost пытается найти папку с помощью WebDAV в локальной сети/Интернете. Я не доказал возможность удаленной эксплуатации машины. Однако, как минимум информация об ОС и IP отправляется с запросом на прослушивающий порт. Здесь можно использовать метод соединенительной точки (папки) на сервере WebDav, чтобы вызвать удаленное выполнение кода при обработке файла библиотеки.