התקנת דלת אחורית - Windows Service Backdoor

תמלול ההרצאה: התקנת דלת אחורית - Windows Service Backdoor

הטקסט המלא של הדקות הראשונות בהרצאה «התקנת דלת אחורית - Windows Service Backdoor» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

1. 00:02

   שלום לכולם, בהרצאה הזו אנחנו רוצים לעשות Backdoor אחרי הפריצה על ידי השתלה של Windows Service בתוך המחשב של הקורבן. זאת המטרה.

2. 00:13

   כרגע אני לא רוצה להתעסק עם אנטיווירוס, אז מה שאני אעשה, אני נכנס לתוך ה-Group Policy ומנטרל את האנטיווירוס. זאת אומרת שכל הפעלה מחדש, האנטיווירוס הזה נדלק לי ומפריע לי, ואז אני נכנס לפה לאנטיווירוס, Manage Settings, ובמקום לכבות אותו מכאן, אני מכבה אותו מה Group Policy.

3. 00:34

   למה? כי הוא יידלק אוטומטית אם אני אכבה אותו מממשק גרפי. אז אני חייב ללכת ל- Group Policy, להגדרות של המחשב, Windows Components, Microsoft Defender, שזה השם של האנטיווירוס שלהם, Defender Real-Time Protection, Turn-off Real-Time Protection Enable.

4. 00:54

   ברגע שעשיתי פה Turn-off Real-Time Protection, אנחנו רואים כאן שהוא עכשיו יהיה off. נו, בואו נעשה לו ככה ככה עוד פעם. למה הוא לא נהיה off?

5. 01:06

   turn off real-time protection. אולי לוקח לו קצת זמן. האמת, אני לא יודע מה קרה לו. לא יודע למה group policy לא עובד. אני אעשה restart כי אני חייב שזה יהיה מנוטרל.

6. 01:17

   הנה, עשיתי הפעלה מחדש ואני רואה שreal-time protection ב-off ואי אפשר להדליק אותו כי זה managed by your administrator שזה למעשה group policy. נהדר.

7. 01:27

   אז אנחנו רוצים להתקין פה סרוויס שיפתח לנו בקדור אחרי שנפרוץ. אז ניטרלנו את האנטיווירוס, אנחנו מנצלים חור אבטחה של תוכנת סינגבריז. אני מזכיר לכם שפה אצל הקורבן רצה תוכנת סינגבריז גרסת 1028, ואנחנו מפעילים מודול שמנצל אותה.

8. 01:49

   רק בואו נראה מה ה-IP של הלקוח, 147, יפה מאוד. אז אנחנו אומרים למודול שיודע לפרוץ את הסינגבריז הזה, ללכת ל-IP הזה ולהשתמש ב-payload בפצצה שמה בפנים אחרי שהוא יפרוץ שנקראת reverse HTTPS בואו נעשה show options נעשה ctrl מינוס גם קצת ואנחנו רואים שאנחנו בתוך הסינג בריז אנחנו רואים פה IP תפס

9. 02:18

   ואנחנו רואים פה payload הזה reverse HTTPS שזה ייראה כמו HTTPS רגיל והוא יתחבר אליי ב-reverse ל-IP שלי אבל פורט הזה לא טוב לי אני רוצה port 443 ואני קובע port 443 show options הנה port 443 של payload נהדר ואפשר לעשות run ולפרוץ פנימה הנה פרצנו פנימה אחרי שאנחנו פרצנו פנימה אני רוצה לעבור לפרוצס שהוא 64 ביט כי אני כרגע אפרוץ דרך סינג בריז

10. 02:52

    והסינג בריז הזה הוא 32 ביט איך אני דרך אגב יכול לדעת אם זה 32 ביט או 64 ביט אני יכול לעשות get ps, בוא נעשה help, ונמצא את הפקודה. get, אה, זה לא psid, זה processid.

11. 03:10

    get processid, עשיתי help, get processid, אני רואה שאני 2936, עושה ps2936, אני רואה ש-process2936 זה סינגבריז והוא x86, ולא מתאים לי להיות x86, אני רוצה להיות 64, ואני user system, שזה נהדר.

12. 03:32

    את userid אני רואה שאני user system שם אז מה אני עושה אני עושה ps תמצא לי רק את הפרוצס מתוך הרשימה שיש על המסך של winlogon זה process 608 ואני עושה migrate 608 יופי עכשיו אני כבר winlogon למה winlogon כי הוא x64 שזה נהדר זאת אומרת אני עכשיו יושב בתוך תוכנה בזיכרון שהיא 64 ביט ולא 32 ביט אני שם

13. 04:02

    יהיה לי יותר קל לעשות כל מיני דברים כי אין אמולציה אין סימולציה כזאת של 32 ביט בתוך 64 ביט אני יושב בתוך 64 ביט וזה הרבה יותר טוב אוקיי הלאה אנחנו רוצים עכשיו אנחנו בפנים אנחנו יכולים לעשות כל דבר אנחנו שולטים על המחשב אבל אני מפחד שריסטארט יעיף אותי כי אני בזיכרון של ווין לוגון והזיכרון יעשה ריסטארט וזהו הכל יימחק אני לא בארדיסק אז אני רוצה

14. 04:27

    להיות ווינדוס סרוויס בוא נצא החוצה נעשה בקגראונד חזרתי חזרה למטה ספלויט ויש לי סשן פתוח מול הקורבן שלי זאת אומרת אני יכול בכל רגע להיכנס לתוך הסשן מספר 1 בצורה אינטראקטיבית ואני במחשב של הקורבן ואני יכול לעשות בקגראונט ולחזור חזרה למחשב הפיזי שלי למטה ספלויט שלי זאת אומרת שיש לי פה תהליכים שרצים ברקע חיבורים שיש לי ברקע

15. 04:54

    אוקיי חזרתי חזרה למטה ספלויט עכשיו אני הולך להשתמש במודול של פרסיסטנט סרוויס זה מודול מובנה שנקרא Windows Local Persistent Service מה הוא עושה?

16. 05:08

    הוא עושה לי סרוויס שיהיה קבוע אצל הקורבן נהדר בוא נעשה אינפו נקרא קצת על הסרוויס הזה This module will generate and upload הוא ייצר ויעשה Upload ל-exe במחשב המרוחק שיהיה כמו Persistent קבוע סרוויס סרוויס קבוע שרץ בתוך המערכת and will create new service והוא ייצור לי סרוויס חדש שמה