חטיפת RDP Session
שרת 2022 עם Meterpreter
שרת 2022 עם Meterpreter
פרקי ההרצאה: חטיפת RDP Session שרת 2022 עם Meterpreter
תמלול ההרצאה: חטיפת RDP Session שרת 2022 עם Meterpreter
הטקסט המלא של הדקות הראשונות בהרצאה «חטיפת RDP Session שרת 2022 עם Meterpreter» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
שלום לכולם היום בהרצאה אנחנו נחטוף סשן של rdp אבל בשיטה שונה לגמרי לא עם tscon כי tscon חסמו אותו אז אנחנו נשתמש ב msfenum במטרפריטר ונבצע פרוצס מיגריישן הגירה מיוזר אדמיניסטרטור מקומי שיש לו הרשאות של דיבאג תסתכלו אם אני אעשה cnd ויעשה whoami/all אני אראה את כל הפריבילגיות שלי שיש לי על המערכת ואחד מהם זה דיבאג ודרך
הדיבאג הזה אני אכנס לפרוצס של אדמיניסטרטור של כל הדומיין של דומיין אדמין ואריץ שמה בפנים cmd זאת אומרת יש לי נניח יוזר בשם דיוויד אתם יכולים לראות שהוא חבר בדומיין אדמינס והמטרה שלי לגנוב את היכולות שלו כי אני כרגע פה בתוך המחשב הזה כיוזר מקומי בלבד זאת אומרת אם נעלה למעלה ב-who am I slash all אתם תראו שאני
אדמיניסטרטור אבל רק בתוך מחשב אחד זאת אומרת אם אני עושה נניח נה את view נניח על dc access is denied אז יש לנו פה אדמיניסטרטור מקומי שיושב על התחנה ואני כאקר האדמיניסטרטור הזה ואני רוצה לחטוף סשן של domain admin של דיוויד שהוא חבר בקבוצת domain admins ודייוויד הזה מתחבר לשרת או לתחנת עבודה זה יכול להיות גם Windows 10, 11, 12, זה
לא משנה. ואני כמנהל רשת מתחבר לתחנה הזאת עם דיוויד. הנה אפשר לראות שדייוויד הוא על שרת 2022, זה החלון של רימור דסקטופ שלו. נניח הוא עשה כל מיני דברים ואפילו התנתק עם X, ואני רואה את כל זה כאן.
אני רואה פה את דיוויד שהוא התנתק, אבל הסשן שלו נשאר בזיכרון. יכול להיות שהוא התנתק לרגע, הייתה לו בעיה בתקשורת, תכף הוא יתחבר, ימשיך לעבוד.
כל התוכנות שלו פתוחות ואני רוצה לנצל את הזכות של דיבאק שלי ולהיכנס לאחד הפרוצסים שלו לאחד התוכנות שלו שפתוחות בזיכרון אנחנו גם יכולים לראות את זה פה בדיטלס שיש תוכנות של אדמיניסטרטור שזה אני תוכנות של סיסטם של הווינדוס עצמו כל מיני יוזרים של ווינדוס שהוא צריך את זה לצרכים הפנימיים שלו ויש דיוויד אתם רואים יש אקספלובר של דיוויד הממשק הגרפי הזה של דיוויד ויש אקספלובר של
אדמיניסטרטור אני אני רוצה לנצל את הזכות דיבק שלי לכל תוכנה שקיימת במחשב להיכנס פנימה נניח לתוך האקספלואור של דייוויד ובפנים בתוך הפרוצס להריץ Thread קוד של CMD שלי שימו לב בתוך כל פרוצס יש Threading זאת אומרת בתוך פרוצס אחד יכולים להיות כמה מיני תוכנות במקביל כמה תהליכים במקביל ואני רוצה לפתוח עוד Thread עוד קוד אחד במקביל באותו מרחב זיכרון של
כרגע יש לו, שימו לב, 38 Threadים במקביל. אני רוצה לפתוח עוד Thread 139 ובפנים להריץ את ה-CMD שלי. זאת אומרת, תוכנת Explorer מחולקת ל-39 תוכנות קטנות בפנים שרצות במקביל, ומה שמשותף להם זה אותו אזור זיכרון, אותם משתנים שיושבים בזיכרון, וזה למעשה ה-Process שלנו.
והמטרה של Process זה לבודד משתנים בזיכרון, את כל הקוד של התוכנה מתוכנה אחת לשנייה, זאת אומרת אקספלואואר הזה לא יכול פתאום לגשת לזיכרון של איזושהי תוכנה אחרת.
בקיצור, התוכנה עצמה עם כל הזיכרון שלה ועם כל המשתנים שלה בפועל מחולקת ל-32 קטעי קוד שרצים במקביל.
יכולים להיות גם 5 קטעי קוד ואני יכול גם להוסיף Thread במקביל. כל ה-Threadים האלו נועדו כדי לתת פתרון לריבוי מעבדים ואם הייתי עושה את כל הקוד ב-Thread אחד, רצף אחד אז כל התוכנה הייתה יושבת על מעבד אחד פיזי בקיצור אנחנו הולכים להכניס לפה עוד תהליך אחד של CMD
והתהליך הזה ירוץ עם הזכויות ועם ההרשאות של דייוויד טוב בואו נתחיל דבר ראשון אנחנו רוצים פה לייצר את הפיילואוד אנחנו מייצרים את הפיילואוד למטרפריטר שזה ה-CMD המשוכלל שיתחבר ברוורס TCP חזרה לקאלי זאת אומרת הקורבן יתחבר אליי כי הרבה פעמים קשה לי להתחבר לקורבן כי פיירול חוסם אותי, אז הקורבן מתחבר אליי.
אני מפעיל שרת Web, הולך למחשב של הקורבן ומושך את ה-payload הזדוני. אני כותב PowerShell, פותח PowerShell בתיקיית דאונלודס ועושה Invoke Web Request ומוריד את ה-payload.
הורדתי את ה-payload, הנה הוא פה, קובץ זדוני, ומפעיל אותו עם הרשאות של Run as Administrator, כי אני לא רוצה עכשיו להתעסק בהעלאת הרשאות אם הייתי עושה open לא הייתה לי זכות של דיבאג אני לא רוצה עכשיו להתעסק איך אני עולה מיוזר
פשוט ליוזר של אדמיניסטרטור אני ישר מריץ את זה עם הרשאות של אדמיניסטרטור יש לנו הרצאות נפרדות על privilege escalation על העלאת הרשאות מיוזר פשוט לאדמיניסטרטור בקיצור הפעלתי אותו אנחנו יכולים לראות פה בתסק מנאג'ר שהתהליך שלו רץ ודרך אגב בתוך התהליך הזה יש שני threadים שני קטעי קוד
במקביל אולי אחד מתחבר והשני עושה משהו אחר צריך לראות איך התוכנה בנויה איפה הוא נעלם לי התוכנה יצאה הוא ראה שהוא לא מצליח להתחבר והוא יצא סיים את התהליך עוד מעט נפעיל אותו שוב בואו נקבל כאן את המאזין למטרפריטר שהקורבן יתחבר אליי אני צריך מאזין אז אני מפעיל msf console מינוס q שזה בלי הלוגו של הכניסה מינוס x ורצף של פקודות שהוא יבצע בפנים איך שהוא ייכנס
אני לא אצטרך להקליט כל פקודה בנפרד, הבאתי לו ישר במעמד הכניסה את כל הפקודות שאני צריך. שזה למעשה להיכנס להנדלר, להפעיל את המאזין מולטי-הנדלר שיחכה לפיילואוד כזה וכזה.
שימו לב, אם אני ארשום פה Advanced, אני אראה איזושהי אופציה מאוד חשובה שנקראת Exit on Session, האם לצאת איך שיש חיבור ראשון. אם אני אבטל את הדבר הזה, הוא לא יצא אחרי שהקורבן הראשון יתחבר, הוא יחכה לעוד קורבן ועוד קורבן, ימשיך עם הג'וב הזה כרגע ברירת מחדל שאיך שהקורבן הראשון מתחבר הוא ישר עושה אקזיט אז תדעו שבאדוונסט יש
אפשרות לכתוב אקזיט און סשן פולס ואז הוא לא יצא אחרי שהקורבן מתחבר הוא יחכה לעוד קורבן עוד אתם רואים יש פה ג'וב שרץ ברקע ומחכה לחיבור אם אני אעשה ג'וב מינוס k אני אהרוג את הג'וב הזה שלא יאזין אני אעשה סט אקזיט און סשן פולס ואריץ עוד פעם ג'וב run-j לרוץ ברקע אתם
תראו שהג'וב הזה לא יסתיים אחרי החיבור הראשון בוא נוסיף את זה לפקודות שלנו כי נראה לי שזה יותר טוב ככה כרגע אין לנו אף אחד שמחובר ויש המתנה לחיבורים טוב בואו נריץ את זה ויש לנו פה סשן אחד שנפתח אתם רואים יש לנו בסשנס לקוח אחד קורבן ראשון שהתחבר ובג'ובים עדיין הוא ממשיך להזין לעוד קורבנות לעוד חיבורים אז כרגע יש לנו פה שליטה
על הקורבן יש לנו סשן מול הקורבן בואו ניכנס לסשן הזה get uid נראה שאנחנו אדמיניסטרטור מיקומי כי הרצנו את זה תחת הרשאות של אדמיניסטרטור get pid get process id נראה שאנחנו פרוצס 2016 ובואו נעשה migrate רצינו לעבור לאקספלואור של דיוויד 5656 קודם כל אני יכול להריץ ps ולראות את כל הפרוצסים שזה כמו הטאסק מנאג'ר שראינו וזה הכל בזכות היכולות של מטרפריט
כל הפקודות האלו. אני לא ב-CMD הרגיל, אני ב-CMD החכם של מטר פריטר, שיש לו פקודות כמו PS. והנה 5656, אקספלואור של דיוויד. ככה האקר רואה את זה. דרך אגב, יכלתי לעשות של ולעבור ל-CMD הפשוט, וגם להריץ את הפקודות של ה-CMD הפשוט.
רק אני מעדיף לעבוד עם מטר פריטר, כי זה יותר נוח לי. אז מה אנחנו עושים? אנחנו עושים מיגרייט, הגירה ל-5656,