חיבור לתחנה עם Meterpreter
ומיגרציה לחשבון SYSTEM
ומיגרציה לחשבון SYSTEM
פרקי ההרצאה: חיבור לתחנה עם Meterpreter ומיגרציה לחשבון SYSTEM
תמלול ההרצאה: חיבור לתחנה עם Meterpreter ומיגרציה לחשבון SYSTEM
הטקסט המלא של הדקות הראשונות בהרצאה «חיבור לתחנה עם Meterpreter ומיגרציה לחשבון SYSTEM» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
שלום לכולם בהרצאה הזו אנחנו רוצים לראות איך האקר יכול להתחבר לווינדוס 10 או 11 או לשרת כלשהו ולא להיות תלוי בסיישן זה אומר שאם יוזר עושה לוגוף זה לא משנה לאקר כי הוא לא תלוי ביוזר ספציפי המטרה שלי זה למעשה להשתלט על התחנה ולעשות מיגרייט לפרוצס אחר אז בואו נעשה את כל זה דבר ראשון אני מייצר לי
פיילוד את הקוד הזדוני שאני אשלח לקליינט MSF Venue מינוס P זה איזה פיילוד לווינדוס 64 ביט שיהיה לא CMD פשוט אלא מטר פריטר החכם.
ה-CMD המשוכלל שיהיה דו שלבי שבשלב הראשון נשלח את המינימום הנדרש ואת כל הקוד נשלח בשלב השני. המטרה היא שהקוד הראשוני יהיה כליל ויהיה פשוט לשים אותו נניח בקובץ אקסל או בכל מקום אחר ורק בשלב השני יעבור כל הקוד הכבד.
אז הסלאש הזה אומר שזה דו שלבי. reverse tcp זה צורת חיבור הקורבן יתחבר אליי בtcp כאשר lhost זה הIP של הקאלי שלי בוא נבדוק שזה באמת נכון נעשה new tab IPA IP address ואנחנו רואים שהכתובת שלי זה 122.133 אז אני אומר לקורבן להתחבר אליי לIP כזה וכזה port 443 קל להיחכה בפורט הזה את הpayload אנחנו עושים באקזה רגיל
זה רק תזכורת כבר עשינו את זה כמה פעמים אני פשוט רוצה לעשות את זה לפני שאני עובר להתקפות של RDP, כי בהתקפות של RDP אנחנו נצטרך לנתק את היוזר שכרגע מחובר ולהתחבר במקומו עם יוזר אחר.
ואני רוצה להראות לכם איך האקר ממשיך להיות מחובר גם כשהיוזרים מתחלפים בתוך המחשב. אוקיי, אז יש לנו פה payload.exe, אני רוצה להעביר אותו לקורבן שלי, אני מפעיל פה שרת Web בפורט 80 שמחכה שמישהו יתחבר אליו ב-HTTP בפורט 80 וייקח את הקובץ payload.exe שנמצא בתיקי הזאת.
אז לזה אני קורא Web Server. פה קל לי לחכה שהקורבן יריץ את ה-payload הזדוני ויפתח מולו סשן. זה כבר MSF קונסול שמחכה ל-payload הזה שיתחבר מהקורבן בפורט 443. הנה הוא נכנס לתוך ה-MSF קונסול, אנחנו יכולים לעשות פה jobs, לראות שיש ברקע, jobs זה תוכנות שרצות ברקע,
את המולטי-הנדלר שממתין ל-reverse-tcp, שיתחבר אליו בפורט 443. זה מה שהוא מחכה לו. יופי. וכרגע בסשנס, ברגע זה אין אף סשן מחובר, אף אחד לא התחבר אליי עדיין.
טוב, בואו נלך לקורבן עכשיו, זה הקורבן שלנו. אנחנו יכולים לשלוח לו אימייל, אנחנו יכולים לשלוח לו לינק לאיזה dropbox או ל-google דרייב עם קובץ זדוני בסופו של יום אנחנו צריכים לגרום לו להוריד ולהריץ את הקובץ שלנו נניח נעשה את זה דרך פאוורשל שהקורבן שלנו מוריד את הקובץ רק לפני כן אני
חייב לנתק את האנטיווירוס כמובן שבחיים האמיתיים הייתי מקסטם את הפיילורד הזדוני ככה שהאנטיווירוס לא יתפוס אותו אבל כרגע אנחנו לא מתעסקים בתכנות ואיך לשנות את הפיילורד הזדוני אז אני לא הולך להתעסק בזה ברגע זה אני פשוט מנתק את האנטיווירוס ושם באקסקלוז'ינים את הפולדר של דאונלורדס זהו שמתי את הפולדר את התיקייה של דאונלורדס ברשימת היוצא מן הכלל שאנטיווירוס לא ייגע
בו וגם ניתקתי את האנטיווירוס במציאות חברות אמיתיות פשוט יש להם פיילורד משלהם שהאנטיווירוסים לא תופסים אז אנחנו יכולים להריץ עכשיו wget שזה למעשה אליאס כינוי לפקודה אמיתית בפאורשל שנקראת invoke web request wget אנשים אוהבים כי זה בא מלינוקס אבל אבל בעולם האמיתי של
PowerShell זה נקרא Invoke Web Request ואנחנו אומרים לו מאיפה לקחת, איזה קובץ ואיפה לשים אותו. איפה נשים אותו? בסיסטם 32 או נעבור לתיקי הדאונלורדס.
אתם יודעים מה? בואו נחליף שנייה תיקייה. ניכנס ל-c.2-users-admin-downloads admin זה שם של היוזר שלי וכאן כשאני בתוך התיקי הדאונלורדס אני אריץ את הפקודה הזאת שיוריד את זה לכאן.
אני יכול לעשות ls כמו בלינוקס והוא יראה לי הקבצים שיש בתיקי הנוכחית ששוב ls זה לא פקודה אמיתית זה אליאס כינוי לפקודה get child item אנחנו רואים כאן בדאונלורדס את הפיילורד שלנו נהדר ואני עושה right click run as administrator חשוב לי שזה יהיה run as
administrator כדי שבעתיד נצליח לעשות מיגרציה במציאות אם יוזר מעריץ אותי בלי run as administrator יש לי שיטות איך להעלות לעצמי הרשאות Local Privilege Escalation כרגע אני לא רוצה לדבר על Local Privilege Escalation ראינו כבר את הטריקים האלו בדומיין איך עושים עם NTLM RelayX כרגע אנחנו מתרכזים בלפתוח סשן
והנה אנחנו רואים כאן שסשן אחד נפתח אנחנו יכולים לעשות סשנס ולראות שפתאום מופיע לנו סשן אחד דרך אגב הג'וב כבר לא מאזין ברקע הוא תפס סשן וסגר את הג'וב אין יותר מאזין ואנחנו יכולים להתחבר לסשן הזה כותבים סשן אחד ואנחנו בפנים אנחנו במחשב ההוא בווינדוס 10 אני עושה get pid ואני רואה
שהפיילוד שלי זה process 6440 תוכנה מספר 6440 בזיכרון בואו נראה כאן בטאסק מנאג'ר בדיטלס של התחנה אנחנו רואים שpayload.exit זה 6440 אבל יש כאן בעיה הוא רץ תחת user admin ואם user יעשה לוגוף כל הפרוצסים שלו, כל התוכנות שלו בזיכרון שהיוזר הזה הריץ ייסגרו ואני אתנתק.
אני עושה פה סיין אאוט, יוזר יוצא, ווינדוס מבקש שוב שם וסיסמה אבל מה קרה בצד שלי? בצד של ההאקר סשן one closed כי כל התוכנות נסגרו כולל הפיילוט שלי שזה כמו תוכנה רגילה בזיכרון.
כרגע אין לי אף ג'וב שרץ ברקע אז אני מריץ אותו שוב run-j ושוב יש לי מאזין שמחכה לחיבורים. וכרגע בסשנים אין אף אחד שמחובר, הוא מחכה שמישהו יתחבר.
אז אנחנו נכנסים עוד פעם, והמטרה שזה לא יתנתק