התקנת דלת אחורית - Registry Backdoor
בשיעור זה אנו לומדים מהי דלת אחורית וכיצד להבטיח הישארות במערכת גם אחרי הפעלה מחדש של המחשב, בשיטת ההשתלה בריג'סטרי של וינדוס, תוך שמירה על עקרון ההסתרה מבלי להשאיר אף קובץ על הדיסק.
פרקי ההרצאה: התקנת דלת אחורית - Registry Backdoor
תמלול ההרצאה: התקנת דלת אחורית - Registry Backdoor
הטקסט המלא של הדקות הראשונות בהרצאה «התקנת דלת אחורית - Registry Backdoor» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
שלום לכולם, ברוכים הבאים להרצאה על Backdoor דלת אחורית שאנחנו משאירים במחשב פתוחה בשבילנו לאחר שפרצנו פנימה כדי שנוכל לשרוד את ה-Restart, את ההפעלה מחדש.
תחשבו שאנחנו יושבים בזיכרון של הקורבן, אבל מה יקרה אם הוא יעשה הפעלה מחדש? הכל הלך. אז אנחנו צריכים להפעיל את התוכנה שלנו, את ה-Payload שלנו, גם אחרי הפעלה מחדש של המחשב באופן אוטומטי.
ואפשר לשים את התוכנה הזדונית שלנו, את הפיילואוד שלנו, בתוך רג'יסטרי, בלי לגעת בדיסק. שימו לב, אני לא שם שום קובץ בדיסק.
אני שם את כל הסקריפט, את כל הפקודות של התחברות חזרה לקאלי, התחברות חזרה אליה אחרי הריסטארט. את כל הפקודות של הסקריפט אני שם ברג'יסטרי, לא שם שום קובץ בדיסק.
ואז האנטיווירוס לא יכול לתפוס אותי. זאת שיטה מדהימה, ואני הולך להראות לכם אותה. יש עוד שיטה, לעשות סקריפט ולשים אותו בתיקייה של סטארט-אפ פולדר.
זאת אומרת, סקריפט זה תוכנה קטנה, פקודות, ואני יכול לשים אותם באיזשהו פולדר, באיזושהי תיקייה, שמשעה מה הכל מופעל אוטומט. ואפשר לעשות Windows Service, תוכנה שרצה ברקע עם ההדלקה של המחשב, כמו תוכנת שיתופים, כל מיני תוכנות סרוויסים שרצות ברקע.
אז אנחנו נראה את כל השיטות ואולי נראה לכם אחרי זה עוד כמה שיטות. בואו נתחיל מזה שנעדכן את המטאספלויד שלנו אנחנו נכנסים לקאלי, סודו מינוס אס, עוברים למצב אדמיניסטרטור עושים Update של הרשימה ו-Upgrade עד שהוא מעדכן לנו פה את המטאספלויד בואו נלך לווינדוס 10 וניפטר מאנטיווירוס שלא יפריע לנו
אחרי זה נלמד איך לעקוף את האנטיווירוס, אני לא רוצה לדבר עכשיו איך עוקפים אותו האמת שזה לא כזה מסובך לעקוף אותו אני רוצה להיכנס לווירוס Threats Protections Manage Settings ולעשות פה Off.
הבעיה שכל ההפעלה מחדש הוא נדלק אז אני לא אעשה פה Off, אני אעשה דרך Group Policy. אז אני כותב gp-edit.msc שזה Group Policy. Edit Group Policy.
פוליסה זה מדיניות שחלה על המחשב. יש לנו מדיניות שחלה ברמת המחשב וברמת יוזר. אני ברמת המחשב רוצה לכבות את האנטיווירוס. אז אני הולך ל-Windows Components פה, מיקרוסופט אני מתחיל לכתוב את השם דפנדר אנטיווירוס פותח אותו real time protection הנה זה זה ומחפש את ההגדרה turn off real time protection שימו לב מה יקרה פה כשאני אעשה את זה שימו לב כאן זה on אני עושה על זה
דאבל קליק עושה את זה disable turn off enable turn off לכבות שימו לב מה יקרה פה כשאני אעשה פה נקסט, הופה, אתם ראיתם מה קרה פה? זה נהיה אוף ואי אפשר להדליק אותו יותר.
אתם רואים? אי אפשר להדליק את זה יותר. זהו. זה מחובה ברמת הפוליסה, Manage by your administrator. זאת אומרת שברגע שקבעתי פה turn-off real-time protection, שם זה נחבא.
אז זהו, עכשיו האנטיווירוס לא יציק לנו? מצוין. בואו נבדוק גם שחוץ מ-real-time protection פה זה גם במצב אוף, גם פה זה במצב אוף וגם פה זה במצב אוף.
יופי. חיבינו את האנטיווירוס שלא יפריע לנו ואנחנו חוזרים חזרה, הוא סיים את העדכונים טוב, נפעיל את ה-MSF קונסול, את המטה ספלויט אנחנו בפנים, עכשיו יש לנו כל מיני סקריפטים שאנחנו מריצים אותם כדי להיות פרסיסטנס, קבועים במערכת פרסיסטנס זה קבוע, ואני רוצה סקריפטים רק לווינדוס
אז אני כותב פה search, תחפש לי שבשם יהיה מילת ווינדוס ומילת פרסיסטנס והנה הוא מחפש לי אותם, בוא נעשה קונטרול מינוס לא טוב עוד קונטרול מינוס הנה יש לנו פה טבלה כזאת טוב זה קטן לי מדי ואנחנו רואים פה שיש לנו פה כמה מעניינים יש לנו את הרג'יסטרי שדיברנו עליו שאנחנו הולכים
לעשות אותו יש לנו סרוויס שגם אני רוצה להראות לכם אותו יש לנו את הפרסיסטנס הרגיל שזה סטארטאפ פיילוד אינסטולר אתם רואים כאילו אנחנו מכניסים ברג'יסטרי על מה לעשות סטארטאפ יש לנו קובץ אקזה פה שאנחנו יכולים להגיד לו איזשהו אקזה שיריץ אוטומט זאת אומרת יש לנו פה כמה שיטות איך לעשות את זה.
בואו נגדיל חזרה. אז אנחנו הולכים לא לראות את כולם, אלא כמה מהם. בואו נתחיל מ-registry, כי לדעתי זה הכי מגניב שלא שמים שום קובץ בארט-דיסק.
אוקיי, אחרי שאנחנו החלטנו איך אנחנו רוצים לקבע אותו, בואו נקבל גם החלטה איך אנחנו מקבלים תקשורת מהקורבן אלינו, ואני רוצה לעשות את זה ב-HTTPS.
אז אני מחפש את כל ה-payloads שקיימים של מטרפריטר. מדברים עכשיו לא איך לפרוץ אלא אחרי שפרצנו איך הוא יתחבר אלינו חזרה איך אנחנו הולכים לעשות תקשורת בינינו אחרי הפריצה ומטרפריטר פה נותן כל מיני אפשרויות ומה שמעניין אותי זה HTTPSים כי אני רוצה שזה ייראה כאילו הקורבן גולש באתר אינטרנט רגיל שאם מישהו מנסה להסתכל על התקשורת ולהאזין
לה הוא יראה HTTPS רגיל כאילו המחשב שלו הלך לאיזשהו אתר באינטרנט אנחנו רואים פה מלא פיילודים של מטרפריטר שזה ה-CMD המשוכלל ויש לו פה רוורס HTTPS וביינד, ביינד זה שאנחנו מתחברים אליו ורוורס שהוא מתחבר אלינו אז הוא מתחבר אלינו ב-HTTP, HTTPS אני אשתמש בפקודת גרפ שישלוף לי רק HTTPS'ים
והנה הוא שלף לי רק את השורות שיש בהם מילת HTTPS אני רואה פה עם פרוקסי אני רואה פה צורת התחברות עם ווין HTTP ו-Win INED אנחנו לא ניכנס עכשיו לדקויות מה ההבדלים ביניהם מבחינת הביצוע של התקשורת נבחר נניח את זה נניח שאנחנו נרצה להשתמש ב-payload הזה אחרי הפריצה אני מנסה כמה שיותר לדמות
מצב במציאות כדי שיהיה כמה שיותר אמיתי אפילו שה-payload הזה הוא לא ברירת מחדל אני רוצה להשתמש ב-HTTPs שייראה הכי אמיתי שאפשר טוב אז החלטנו שאנחנו הולכים על פיילוד הזה על הפצצה הזאת אחרי שהיא מתפוצצת אחרי שחדרנו פנימה יופי טוב אז בוא נתחיל לפרוץ אז אנחנו קודם כל מנצלים את החולשה שנקראת סינג בריז זאת החולשה בתוכנת סינג
בריז שמותקנת פה בשרת אני מזכיר לכם התקנו פה סינג בריז מי שלא זוכר גרסה 1028 שיש בה חולשה ואנחנו הולכים לנצל אותה כתובת שלנו זה 147 מצוין אז אנחנו במודול של סינג בריז זה אומר לנצל חולשה של סינקבריס, זה טייפ, סוג של המודול, המודול הזה שייך לסוג הזה והזה.
אוקיי, בואו נעשה show options, נראה מה יש לנו פה, יש לנו פה שדה לימי פורצים, ה-host required, ואני קובע שנפרוץ ל-147, מה עוד, אני רואה פה שאחרי שנפרוץ, ה-payload שלנו, הפצצה שלנו תהיה reverse tcp, חיבור tcp רגיל, אני לא, אני מעדיף שיהיה HTTPS,
זאת אומרת כאילו אנחנו בתוך HTTPS זה לא כזה משנה, אנחנו יכולים להשתמש ב-Reverse TCP אנחנו יכולים להשתמש ב-Reverse HTTPS אני מעדיף שיהיה Reverse HTTPS כי זה נשמע לי ממש הכי דומה לתקשורת רגילה של המשתמש יופי, בואו נעשה שואו אופצ'אנס, נראה מה יש לנו עכשיו אז ה-host קבענו אותו, ה-IP שלנו ב-payload,
לאן הוא יתחבר אלינו, reverse זה אומר שהוא מתחבר אלינו, הוא יתחבר ל-153 שזה IP שלנו, פורט 444, לא, אני רוצה שאני אהיה כאילו שרת אינטרנט, אז אני אעשה 443, EF-Config, אתם יכולים לראות שהוא ראה שהפקודה הזאת לא קיימת בתוך ה-Meta-Sploit, אז הוא עשה אקזק בתוך הטרמינל הרגיל ונתן לי תוצאות, זאת אומרת, הוא יודע להריץ פקודות
מהטרמינל הרגיל. אז אני רואה ב-53 שזאת הכתובת שלי, פורט 443, options אנחנו רואים באמת שאחרי שאנחנו נפרוץ הוא יחזור אלינו ברוורס HTTPS ב-153.443 נהדר עכשיו אני עושה exploit או run ופורץ אליו לוקח לו כמה שניות אחרי שאנחנו פורצים אליו אני רוצה לעבור להיות המשתמש עצמו זאת אומרת
אני כרגע get user ID אני כרגע user system אני עושה PS בודק את כל התהליכים שרצים במחשב בשם explorer אני רואה שיש תהליך בשם אלכס, זה המשתמש שכרגע יושב על המחשב ואני עושה מיגרייט לתהליך שלו, 3956 ואני נהיה עכשיו אלכס.
למה אני עושה את זה? כי אני רוצה לחבר את הסקריפט למשתמש ספציפי ולא למכונה. אחרי זה נחבר למכונה. זאת אומרת, אני כרגע אלכס וכל פעם שאלכס יעשה לוגין במערכת הסקריפט הזדוני שלי ירוץ ויתחבר חזרה אליי לקאלי.
זאת אומרת, תהיה הפעלה אוטומטית בזמן הלוגין שלו. בסרט הבא נעשה את זה בזמן הפעלה של המחשב האוטומטי. אני אראה לכם כמה דרכים.
אז אפשר בזמן הלוגין, אפשר בזמן ההדלקה של המחשב. עכשיו, אנחנו יכולים להשתמש בכמה סקריפטים של Persistance. זוכרים את ה-Registry Persistance?
זה זה שהיה פה למעלה. זה שם של ה-Exploit שעשינו לו search, אני מזכיר לכם למעלה למעלה בהתחלה. למעלה למעלה ממש בהתחלה. עשינו פה Exploit Windows Registry Persistance.
זה ה-search שנתן לנו את התוצאה, זוכרים? עשינו search למילת persistent זה המודול אז אנחנו יכולים לקבל מידע על המודול הזה על ידי פקודת אינפו שימו לב אנחנו כרגע נמצאים במטר פריטר אנחנו לא במטה ספלויט עצמו אנחנו בתוך המחשב המרוחק מריצים אינפו ומקבלים מידע על המודול שנמצא אצלנו זה מודול שנמצא אצלנו ואנחנו פה מקבלים מידע על המודול הזה
מה שמעניין אותי שהוא יודע להיות סטארט-אפ או על ידי יוזר או על ידי סיסטם זה אומר בזמן הכניסה של היוזר או בזמן ההדלקה של המחשב אני קובע מה יהיה סשן דרך איזה חיבור קיים