搜索

[18823] 2021-07-01_应急响应之RDP横向移动

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2021-07-01_应急响应之RDP横向移动 应 急 响 应 之 R D P 横 向 移 动 原 创   花 十 一 一   h u a s e c   2 0 2 1 - 0 7 - 0 1 收 录 于 话 题   # 应 急 响 应   , 2 6 个 “   内 网 渗 透 中 使 用 R D P 横 向 移 动 ， 应 急 响 应 时 能 获 取 什 么 信 息 呢 ？ ” 0 1 — R D P   b i t m a p   C a c h e                 当 用 户 使 用 R D P 连 接 到 另 一 台 主 机 时 ， b i t m a p 缓 存 可 以 减 少 R D P   ( R e m o t e   D e s k t o p   P r o t o c o l ) 客 户 端 和 服 务 器 端 之 间 的 b i t m a p 数 据 传 输 ， R D P 客 户 端 会 创 建 一 个 未 压 缩 的 临 时 位 图 缓 存 文 件 ， 其 中 包 含 从 远 程 服 务 器 重 复 发 送 给 客 户 端 的 位 图 。 R D P 客 户 端 使 用 图 形 设 备 接 口 ( G D I ) 调 用 这 些 缓 存 的 b i t m a p 来 将 b i t m a p 展 示 到 显 示 器 上 。 R D P   b i t m a p 缓 存 位 置 在 R D P   B i t m a p 可 以 使 用 b m c - t o o l s 进 行 解 析 ， 下 载 地 址 如 下 ： 使 用 方 法 ： C : U s e r s < u s e r n a m e > A p p D a t a L o c a l M i c r o s o f t T e r m i n a l   S e r v e r   C l i e n t C a c h e h t t p s : / / g i t h u b . c o m / A N S S I - F R / b m c - t o o l s p y t h o n   b m c - t o o l s . p y     - s   b c a c h e 2 4 . b m c   - d   / o p t / b m c - t o o l s /
通 过 b i t m a p 可 以 看 到 攻 击 者 打 开 了 什 么 文 件 ， 执 行 了 什 么 命 令 等 等 。 如 上 图 ， 可 以 看 到 攻 击 者 打 开 了 c m d 窗 口 执 行 了 s y s t e m i n f o 命 令 。 0 2 — m s t s c . e x e               在 应 急 响 应 中 ， 往 往 会 看 到 受 害 主 机 上 运 行 了 m s t s c . e x e 进 程 ， 想 要 获 取 当 前 进 程 连 接 了 哪 台 机 器 ， 有 两 个 方 法 ， 一 种 是 通 过 命 令 查 看 3 3 8 9 端 口 对 应 的 主 机 ， 如 下 所 示 。 另 一 种 就 是 从 进 程 内 存 中 提 取 ， 提 取 进 程 字 符 串 检 索 C o o k i e :   m s t s h a s h ，   可 以 看 到 远 程 登 录 的 用 户 名 ， 还 有 远 程 主 机 的 I P 。 之 前 在 某 篇 博 客 中 看 到 W i n d o w s 1 0 的 某 些 版 本 ， 可 以 在 进 程 内 存 字 符 串 中 获 取 远 程 主 机 的 连 接 密 码 ， 具 体 就 不 细 说 了 。
0 3 — 总 结             在 应 急 响 应 时 ， 看 到 实 现 主 机 存 在 m s t s c 进 程 ， 不 妨 试 试 以 上 思 路 ， 说 不 定 会 有 意 外 收 获 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理