搜索

[27914] 2019-11-21_渗透技巧——从远程桌面客户端提取明文凭据

文档创建者：s7ckTeam
浏览次数：56
最后更新：2025-01-19
2019-11-21_渗透技巧——从远程桌面客户端提取明文凭据 渗 透 技 巧 — — 从 远 程 桌 面 客 户 端 提 取 明 文 凭 据 O t s 安 全   2 0 1 9 - 1 1 - 2 1 0 x 0 0   前 言 前 言 在 之 前 的 文 章 《 渗 透 技 巧 — — 获 得 W i n d o w s 系 统 的 远 程 桌 面 连 接 历 史 记 录 》 曾 介 绍 了 获 得 远 程 桌 面 连 接 历 史 记 录 的 方 法 。 在 实 际 的 渗 透 过 程 中 ， 如 果 发 现 了 远 程 桌 面 连 接 的 历 史 记 录 ， 那 么 下 一 步 就 需 要 想 办 法 获 取 远 程 桌 面 连 接 使 用 的 口 令 。 本 文 将 会 结 合 R d p T h i e f 介 绍 从 远 程 桌 面 客 户 端 提 取 明 文 凭 据 的 方 法 ， 分 享 需 要 注 意 的 细 节 。 R d p T h i e f 地 址 ： h t t p s : / / g i t h u b . c o m / 0 x 0 9 A L / R d p T h i e f 0 x 0 1   简 介 简 介 本 文 将 要 介 绍 以 下 内 容 ： ·   获 取 远 程 桌 面 连 接 口 令 的 思 路 ·   使 用 D e t o u r s 库 h o o k 系 统 A P I 的 方 法 ·   使 用 A P I   m o n i t o r 监 控 系 统 A P I 调 用 的 方 法 ·   使 用 R d p T h i e f 从 远 程 桌 面 客 户 端 提 取 明 文 凭 据 0 x 0 2   获 取 远 程 桌 面 连 接 口 令 的 思 路 获 取 远 程 桌 面 连 接 口 令 的 思 路 通 常 有 以 下 两 种 ： 1 . 使 用 键 盘 记 录 程 序 ， 记 录 m s t s c . e x e 在 启 动 过 程 中 用 户 输 入 的 口 令 。 2 . 在 m s t s c . e x e 启 动 时 ， 读 取 m s t s c . e x e 的 内 存 数 据 ， 提 取 出 用 户 输 入 的 口 令 。 R d p T h i e f 是 第 二 种 实 现 思 路 ， 使 用 D e t o u r s 库 h o o k 系 统 A P I ， 使 用 A P I   m o n i t o r 监 控 系 统 的 A P I 调 用 ， 找 到 m s t s c . e x e 在 内 存 中 存 储 明 文 口 令 的 位 置 ， 代 码 简 洁 有 效 。 0 x 0 3   使 用 使 用 D e t o u r s 库 库 h o o k 系 统 系 统 A P I 的 方 法 的 方 法 R d p T h i e f 在 实 现 上 使 用 D e t o u r s 库 来 h o o k 系 统 A P I ， 所 以 这 里 简 要 介 绍 一 下 D e t o u r s 库 的 用 法 。 D e t o u r s 库 用 于 监 视 和 检 测 W i n d o w s 上 的 A P I 调 用 ， 可 以 用 来 h o o k 系 统 A P I 。 这 里 介 绍 使 用 D e t o u r s 库 h o o k 系 统 A P I 的 两 种 方 法 。 1 . 编 译 编 译 D e t o u r s 源 码 并 使 用 源 码 并 使 用 ( 1 ) 编 译 编 译 D e t o u r s 源 码 源 码 下 载 D e t o u r s 源 码 ， 地 址 如 下 ： h t t p s : / / g i t h u b . c o m / M i c r o s o f t / D e t o u r s 使 用 V i s u a l   S t u d i o 编 译 D e t o u r s 源 码 ( 这 里 以 V S 2 0 1 5 为 例 ) ， 需 要 区 分 3 2 位 和 6 4 位 。 6 4 位 编 译 ：
打 开 V S 2 0 1 5   x 6 4   本 机 工 具 命 令 提 示 符 。 执 行 以 下 命 令 ： c d   D e t o u r s - m a s t e r s r c n m a k e 命 令 执 行 后 将 在 文 件 夹 D e t o u r s - m a s t e r 下 生 成 以 下 三 个 文 件 夹 ， 包 括 D e t o u r s 的 头 文 件 和 库 文 件 。 ·   b i n . X 6 4 ·   i n c l u d e ·   l i b . X 6 4 3 2 位 编 译 ： 打 开 V S 2 0 1 5 本 机 工 具 命 令 提 示 符 。 执 行 以 下 命 令 ： c d   D e t o u r s - m a s t e r s r c n m a k e 命 令 执 行 后 将 在 文 件 夹 D e t o u r s - m a s t e r 下 生 成 以 下 三 个 文 件 夹 ， 包 括 D e t o u r s 的 头 文 件 和 库 文 件 。 ·   b i n . X 8 6 ·   i n c l u d e ·   l i b . X 8 6 ( 2 ) 导 入 导 入 D e t o u r s 在 新 建 的 C + + 工 程 中 添 加 对 应 版 本 的 头 文 件 ： ·   d e t o u r s . h ·   d e t o u r s . l i b 代 码 如 下 ： # i n c l u d e   " d e t o u r s . h " # p r a g m a   c o m m e n t   ( l i b , " d e t o u r s . l i b " ) 2 . 通 过 通 过 I n s t a l l - P a c k a g e 自 动 安 装 自 动 安 装 ( 1 ) 安 装 安 装 在 V i s u a l   S t u d i o 中 选 择 工 具 - > N u G e t 包 管 理 器 - > 程 序 包 管 理 器 控 制 台 。 输 入 安 装 命 令 ： I n s t a l l - P a c k a g e   D e t o u r s 将 会 自 动 安 装 D e t o u r s 库 ， 如 下 图 ：
( 2 ) 导 入 导 入 D e t o u r s 代 码 如 下 ： # i n c l u d e   < d e t o u r s . h > # p r a g m a   c o m m e n t   ( l i b , " d e t o u r s . l i b " ) 使 用 D e t o u r s 库 h o o k 系 统 A P I 时 常 用 的 几 个 函 数 ： ·   D e t o u r T r a n s a c t i o n B e g i n ( ) ; ·   D e t o u r U p d a t e T h r e a d ( G e t C u r r e n t T h r e a d ( ) ) ; ·   D e t o u r A t t a c h ( ) ; ·   D e t o u r D e t a c h ( ) ; ·   D e t o u r T r a n s a c t i o n C o m m i t ( ) H o o k 系 统 A P I   M e s s a g e b o x ( ) 的 实 例 代 码 如 下 ： # i n c l u d e   < W i n d o w s . h > # i n c l u d e   < d e t o u r s . h > # p r a g m a   c o m m e n t   ( l i b , " d e t o u r s . l i b " ) s t a t i c   i n t ( W I N A P I   * T r u e M e s s a g e B o x ) ( H W N D ,   L P C T S T R ,   L P C T S T R ,   U I N T )   =   M e s s a g e B o x ; i n t   W I N A P I   O u r M e s s a g e B o x ( H W N D   h W n d ,   L P C T S T R   l p T e x t ,   L P C T S T R   l p C a p t i o n ,   U I N T   u T y p e )   {   r e t u r n   T r u e M e s s a g e B o x ( N U L L ,   L " H o o k e d " ,   l p C a p t i o n ,   0 ) ; } i n t   m a i n ( ) {   D e t o u r T r a n s a c t i o n B e g i n ( ) ;   D e t o u r U p d a t e T h r e a d ( G e t C u r r e n t T h r e a d ( ) ) ;   D e t o u r A t t a c h ( & ( P V O I D & ) T r u e M e s s a g e B o x ,   O u r M e s s a g e B o x ) ;   D e t o u r T r a n s a c t i o n C o m m i t ( ) ;   M e s s a g e B o x ( N U L L ,   L " H e l l o " ,   L " H e l l o " ,   0 ) ;   D e t o u r T r a n s a c t i o n B e g i n ( ) ;   D e t o u r U p d a t e T h r e a d ( G e t C u r r e n t T h r e a d ( ) ) ;   D e t o u r D e t a c h ( & ( P V O I D & ) T r u e M e s s a g e B o x ,   O u r M e s s a g e B o x ) ;     D e t o u r T r a n s a c t i o n C o m m i t ( ) ; } 0 x 0 4   使 用 使 用 A P I   m o n i t o r 监 控 系 统 监 控 系 统 A P I 调 用 的 方 法 调 用 的 方 法
R d p T h i e f 使 用 A P I   m o n i t o r 监 控 系 统 的 A P I 调 用 ， 找 到 m s t s c . e x e 在 内 存 中 存 储 明 文 口 令 的 位 置 ， 这 里 简 要 介 绍 一 下 A P I   m o n i t o r 的 用 法 。 A P I   m o n i t o r 的 下 载 地 址 ： h t t p : / / w w w . r o h i t a b . c o m / d o w n l o a d s 运 行 后 需 要 选 择 进 行 监 控 的 模 块 ， 如 下 图 ： 接 着 选 择 需 要 监 控 的 进 程 ， 如 下 图 ：
A P I   m o n i t o r 将 会 监 控 进 程 运 行 时 调 用 的 A P I ， 如 下 图 ： 0 x 0 5   R d p T h i e f 测 试 测 试 介 绍 R d p T h i e f 细 节 的 文 章 ： h t t p s : / / w w w . m d s e c . c o . u k / 2 0 1 9 / 1 1 / r d p t h i e f - e x t r a c t i n g - c l e a r - t e x t - c r e d e n t i a l s - f r o m - r e m o t e - d e s k t o p - c l i e n t s /
R d p T h i e f 的 代 码 里 包 括 三 部 分 内 容 ： 1 . C + + 工 程 ， 编 译 生 成 工 程 ， 编 译 生 成 d l l 编 译 生 成 的 d l l ， 需 要 注 入 到 m s t s c . e x e 进 程 中 。 这 里 可 以 使 用 我 之 前 写 的 d l l 注 入 的 代 码 ， 地 址 如 下 ： h t t p s : / / g i t h u b . c o m / 3 g s t u d e n t / H o m e w o r k - o f - C - L a n g u a g e / b l o b / m a s t e r / N t C r e a t e T h r e a d E x   % 2 B   L d r L o a d D l l . c p p 但 是 需 要 把 F r e e D l l ( ) 的 功 能 去 掉 ， d l l 需 要 一 直 在 进 程 m s t s c . e x e 的 内 存 中 ， 用 来 记 录 用 户 输 入 的 口 令 。 2 . R d p T h i e f _ x 6 4 . t m p s h e l l c o d e 格 式 的 d l l ， 作 者 使 用 s R D I 将 编 译 好 的 d l l 转 换 为 s h e l l c o d e 格 式 ， 便 于 c n a 脚 本 的 调 用 。 3 . R d p T h i e f . c n a C o l b a l t   S t r i k e 使 用 的 c n a 脚 本 ， 用 于 注 入 s h e l l c o d e 格 式 的 d l l 。 支 持 三 个 命 令 ： ·   r d p t h i e f _ e n a b l e ， 每 5 秒 搜 索 m s t s c . e x e 并 将 d l l 注 入 ·   r d p t h i e f _ d i s a b l e ， 停 止 r d p t h i e f _ e n a b l e ， 但 不 会 卸 载 注 入 的 d l l ·   r d p t h i e f _ d u m p ， 显 示 抓 取 的 凭 据 ， 默 认 读 取 路 径 为 % t e m p % d a t a . b i n 实 际 测 试 实 际 测 试 预 期 功 能 ： 预 期 功 能 ： 在 m s t s c . e x e 中 输 入 用 户 名 口 令 后 ， 无 论 是 否 正 确 ， 都 会 被 记 录 在 文 件 % t e m p % d a t a . b i n 中 。 1 . 在 W i n 1 0 下 没 有 问 题 。 2 . 在 W i n 7 下 能 够 获 得 输 入 的 用 户 名 和 口 令 ， 但 无 法 获 得 S e r v e r 名 称 。 查 找 问 题 原 因 ： 查 找 问 题 原 因 ： R d p T h i e f 在 实 现 上 通 过 捕 获 A P I   S s p i P r e p a r e F o r C r e d R e a d ( ) 获 得 S e r v e r 名 称 。 在 W i n 7 系 统 下 ， 我 使 用 A P I   m o n i t o r 监 控 系 统 调 用 的 A P I ， 发 现 不 存 在 这 个 A P I ， 如 下 图 ：
找 到 问 题 的 原 因 解 决 方 法 解 决 方 法 1 ： ： 通 过 搜 索 ， 发 现 A P I   C r e d R e a d W ( )   能 够 记 录 S e r v e r 名 称 ， 如 下 图 ： 所 以 可 以 尝 试 h o o k   A P I   C r e d R e a d W   ， 示 例 代 码 如 下 ： s t a t i c   B O O L ( W I N A P I   * O r i g i n a l C r e d R e a d W ) ( L P C W S T R   T a r g e t N a m e ,   D W O R D   T y p e ,   D W O R D   F l a g s ,   P C R E D E N T I A L W   * C r e d e n t i a l )   =   C r e d R e a d W ; B O O L   H o o k e d C r e d R e a d W ( L P C W S T R   T a r g e t N a m e ,   D W O R D   T y p e ,   D W O R D   F l a g s ,   P C R E D E N T I A L W   * C r e d e n t i a l ) {   l p S e r v e r   =   T a r g e t N a m e ;   r e t u r n   O r i g i n a l C r e d R e a d W ( T a r g e t N a m e ,   T y p e ,   F l a g s ,   C r e d e n t i a l ) ; } 添 加 A t t a c h 和 D e t a c h 代 码 ： D e t o u r A t t a c h ( & ( P V O I D & ) O r i g i n a l C r e d R e a d W ,   H o o k e d C r e d R e a d W ) ; D e t o u r D e t a c h ( & ( P V O I D & ) O r i g i n a l C r e d R e a d W ,   H o o k e d C r e d R e a d W ) ; 解 决 方 法 解 决 方 法 2 ： ：
远 程 桌 面 建 立 连 接 后 会 在 注 册 表 保 存 远 程 桌 面 连 接 的 记 录 ， 这 里 可 以 通 过 读 取 远 程 桌 面 连 接 的 历 史 记 录 获 得 S e r v e r 名 称 。 使 用 的 脚 本 地 址 ： h t t p s : / / g i t h u b . c o m / 3 g s t u d e n t / L i s t - R D P - C o n n e c t i o n s - H i s t o r y / b l o b / m a s t e r / L i s t L o g g e d - i n U s e r s . p s 1 0 x 0 6   小 结 小 结 本 文 介 绍 了 使 用 D e t o u r s 库 h o o k 系 统 A P I 和 使 用 A P I   m o n i t o r 监 控 系 统 A P I 调 用 的 方 法 ， 测 试 R d p T h i e f ， 分 享 在 W i n 7 下 使 用 时 获 得 S e r v e r 名 称 的 方 法 ， 实 现 了 从 远 程 桌 面 客 户 端 提 取 明 文 凭 据 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理