हम पॉवरशेल पर रिवर्स सॉक्स5 प्रॉक्सी लिखते हैं। भाग 1

3 भागों में अनुसंधान और विकास के बारे में एक कहानी। भाग 1 खोजपरक है.
बहुत सारे बीच के पेड़ हैं - और भी अधिक लाभ।

समस्या का निरूपण

पेंटेस्ट और रेडटीम अभियानों के दौरान, ग्राहक के मानक टूल, जैसे वीपीएन, आरडीपी, सिट्रिक्स आदि का उपयोग करना हमेशा संभव नहीं होता है। आंतरिक नेटवर्क में प्रवेश के लिए एक एंकर के रूप में। कुछ स्थानों पर, एक मानक वीपीएन एमएफए का उपयोग करके काम करता है और एक हार्डवेयर टोकन का उपयोग दूसरे कारक के रूप में किया जाता है, दूसरों में इसकी क्रूरतापूर्वक निगरानी की जाती है और हमारा वीपीएन लॉगिन तुरंत दिखाई देता है, जैसा कि वे कहते हैं, इसमें जो कुछ भी शामिल है, लेकिन अन्य में ऐसा होता है बस ऐसा कोई साधन नहीं है.

ऐसे मामलों में, हमें लगातार तथाकथित "रिवर्स टनल" बनाना पड़ता है - आंतरिक नेटवर्क से बाहरी संसाधन या हमारे द्वारा नियंत्रित सर्वर से कनेक्शन। ऐसी सुरंग के अंदर, हम पहले से ही ग्राहकों के आंतरिक संसाधनों के साथ काम कर सकते हैं।

इन वापसी सुरंगों की कई किस्में हैं। उनमें से सबसे प्रसिद्ध, निश्चित रूप से, मीटरप्रेटर है। रिवर्स पोर्ट फ़ॉरवर्डिंग वाली एसएसएच सुरंगें भी हैकर जनता के बीच काफी मांग में हैं। रिवर्स टनलिंग को लागू करने के लिए बहुत सारे साधन हैं और उनमें से कई का अच्छी तरह से अध्ययन और वर्णन किया गया है।
बेशक, अपनी ओर से, सुरक्षा समाधानों के डेवलपर्स अलग नहीं रहते हैं और सक्रिय रूप से ऐसे कार्यों का पता लगाते हैं।
उदाहरण के लिए, सिस्को या पॉजिटिव टेक के आधुनिक आईपीएस द्वारा एमएसएफ सत्रों का सफलतापूर्वक पता लगाया जाता है, और एक रिवर्स एसएसएच सुरंग का पता लगभग किसी भी सामान्य फ़ायरवॉल द्वारा लगाया जा सकता है।

इसलिए, एक अच्छे रेडटीम अभियान में किसी का ध्यान नहीं जाने के लिए, हमें गैर-मानक साधनों का उपयोग करके एक रिवर्स टनल बनाने और नेटवर्क के वास्तविक ऑपरेटिंग मोड को यथासंभव करीब से अनुकूलित करने की आवश्यकता है।

आइए कुछ ऐसा ही खोजने या आविष्कार करने का प्रयास करें।

किसी भी चीज़ का आविष्कार करने से पहले, हमें यह समझने की ज़रूरत है कि हम क्या परिणाम प्राप्त करना चाहते हैं, हमारे विकास को कौन से कार्य करने चाहिए। सुरंग के लिए क्या आवश्यकताएं होंगी ताकि हम अधिकतम गुप्त मोड में काम कर सकें?

यह स्पष्ट है कि प्रत्येक मामले के लिए ऐसी आवश्यकताएं काफी भिन्न हो सकती हैं, लेकिन कार्य अनुभव के आधार पर, मुख्य की पहचान की जा सकती है:

• विंडोज-7-10 ओएस पर काम करें। चूँकि अधिकांश कॉर्पोरेट नेटवर्क विंडोज़ का उपयोग करते हैं;
• आईपीएस का उपयोग करके मूर्खतापूर्ण सुनने से बचने के लिए क्लाइंट एसएसएल के माध्यम से सर्वर से जुड़ता है;
• कनेक्ट करते समय, क्लाइंट को प्राधिकरण के साथ प्रॉक्सी सर्वर के माध्यम से काम का समर्थन करना चाहिए, क्योंकि कई कंपनियों में इंटरनेट तक पहुंच प्रॉक्सी के माध्यम से होती है। वास्तव में, क्लाइंट मशीन को इसके बारे में कुछ भी पता नहीं हो सकता है, और प्रॉक्सी का उपयोग पारदर्शी मोड में किया जाता है। लेकिन हमें ऐसी कार्यक्षमता प्रदान करनी होगी;
• ग्राहक भाग संक्षिप्त और पोर्टेबल होना चाहिए;
  यह स्पष्ट है कि ग्राहक के नेटवर्क के भीतर काम करने के लिए, आप क्लाइंट मशीन पर ओपनवीपीएन स्थापित कर सकते हैं और अपने सर्वर पर एक पूर्ण सुरंग बना सकते हैं (सौभाग्य से, ओपनवीपीएन क्लाइंट प्रॉक्सी के माध्यम से काम कर सकते हैं)। लेकिन, सबसे पहले, यह हमेशा काम नहीं करेगा, क्योंकि हम वहां स्थानीय व्यवस्थापक नहीं हो सकते हैं, और दूसरी बात, यह इतना शोर करेगा कि एक सभ्य एसआईईएम या एचआईपीएस तुरंत हमें "छीन" लेगा। आदर्श रूप से, हमारा क्लाइंट एक तथाकथित इनलाइन कमांड होना चाहिए, उदाहरण के लिए कई बैश शेल लागू किए जाते हैं, और कमांड लाइन के माध्यम से लॉन्च किए जाते हैं, उदाहरण के लिए, किसी वर्ड मैक्रो से कमांड निष्पादित करते समय।
• हमारी सुरंग बहु-थ्रेडेड होनी चाहिए और एक साथ कई कनेक्शनों का समर्थन करना चाहिए;
• क्लाइंट-सर्वर कनेक्शन में किसी प्रकार का प्राधिकरण होना चाहिए ताकि सुरंग केवल हमारे क्लाइंट के लिए स्थापित हो, न कि उन सभी के लिए जो निर्दिष्ट पते और पोर्ट पर हमारे सर्वर पर आते हैं। आदर्श रूप से, मूल डोमेन से संबंधित बिल्लियों या पेशेवर विषयों वाला एक लैंडिंग पृष्ठ "तृतीय-पक्ष उपयोगकर्ताओं" के लिए खुलना चाहिए।
  उदाहरण के लिए, यदि ग्राहक एक चिकित्सा संगठन है, तो एक सूचना सुरक्षा प्रशासक के लिए जो क्लिनिक कर्मचारी द्वारा एक्सेस किए गए संसाधन, फार्मास्युटिकल उत्पादों वाला एक पृष्ठ, निदान के विवरण के साथ विकिपीडिया, या डॉ. कोमारोव्स्की का ब्लॉग, आदि की जांच करने का निर्णय लेता है। .खुलना चाहिए.

मौजूदा उपकरणों का विश्लेषण

अपनी खुद की साइकिल का पुन: आविष्कार करने से पहले, आपको मौजूदा साइकिलों का विश्लेषण करने और यह समझने की ज़रूरत है कि क्या हमें वास्तव में इसकी आवश्यकता है और, शायद, हम अकेले नहीं हैं जिन्होंने इस तरह की कार्यात्मक साइकिल की आवश्यकता के बारे में सोचा है।

इंटरनेट पर गूगल करने से (हम सामान्यतः गूगल करते हैं), साथ ही जीथब पर "रिवर्स सॉक्स" कीवर्ड का उपयोग करके खोज करने से ज्यादा परिणाम नहीं मिले। मूल रूप से, यह सब रिवर्स पोर्ट फ़ॉरवर्डिंग और इसके साथ जुड़ी हर चीज़ के साथ एसएसएच सुरंगों के निर्माण के लिए आता है। SSH सुरंगों के अलावा, कई समाधान हैं:

github.com/klsecservices/rpivot
कैस्परस्की लैब के लोगों द्वारा रिवर्स टनल का लंबे समय से किया जा रहा कार्यान्वयन। नाम से यह स्पष्ट हो जाता है कि यह स्क्रिप्ट किस उद्देश्य से है। पायथन 2.7 में कार्यान्वित, सुरंग क्लियरटेक्स्ट मोड में संचालित होती है (जैसा कि अब कहना फैशनेबल है - हैलो आरकेएन)

github.com/tonyseek/rsocks
पायथन में एक और कार्यान्वयन, क्लियरटेक्स्ट में भी, लेकिन अधिक संभावनाओं के साथ। यह एक मॉड्यूल के रूप में लिखा गया है और इसमें आपकी परियोजनाओं में समाधान को एकीकृत करने के लिए एक एपीआई है।

github.com/llkat/rsockstun
github.com/mis-team/rsockstun
पहला लिंक गोलांग में रिवर्स सॉक्स कार्यान्वयन का मूल संस्करण है (डेवलपर द्वारा समर्थित नहीं)।
दूसरा लिंक अतिरिक्त सुविधाओं के साथ हमारा संशोधन है, वह भी गोलांग में। हमारे संस्करण में, हमने एसएसएल लागू किया, एनटीएलएम प्राधिकरण के साथ प्रॉक्सी के माध्यम से काम किया, क्लाइंट पर प्राधिकरण, गलत पासवर्ड के मामले में एक लैंडिंग पृष्ठ (या बल्कि, लैंडिंग पृष्ठ पर रीडायरेक्ट), मल्टी-थ्रेडेड मोड (यानी कई लोग) एक ही समय में सुरंग के साथ काम कर सकता है), क्लाइंट को यह निर्धारित करने के लिए पिंग करने की एक प्रणाली कि वह जीवित है या नहीं।

github.com/jun7th/tsocks
पायथन में हमारे "चीनी दोस्तों" से रिवर्स सॉक्स का कार्यान्वयन। वहाँ, आलसी और "अमर" के लिए, एक तैयार बाइनरी (exe) है, जिसे चीनियों द्वारा इकट्ठा किया गया है और उपयोग के लिए तैयार है। यहां, केवल चीनी भगवान ही जानते हैं कि इस बाइनरी में मुख्य कार्यक्षमता के अलावा और क्या हो सकता है, इसलिए अपने जोखिम और जोखिम पर उपयोग करें।

github.com/securesocketfunneling/ssf
रिवर्स सॉक्स और बहुत कुछ लागू करने के लिए C++ में काफी दिलचस्प प्रोजेक्ट। रिवर्स टनल के अलावा, यह पोर्ट फ़ॉरवर्डिंग, कमांड शेल बना सकता है, आदि।

एमएसएफ मीटरप्रेटर
यहाँ, जैसा कि वे कहते हैं, कोई टिप्पणी नहीं। कमोबेश सभी शिक्षित हैकर्स इस चीज़ से बहुत परिचित हैं और समझते हैं कि सुरक्षा उपकरणों द्वारा इसे कितनी आसानी से पहचाना जा सकता है।

ऊपर वर्णित सभी उपकरण एक समान तकनीक का उपयोग करके काम करते हैं: एक पूर्व-तैयार निष्पादन योग्य बाइनरी मॉड्यूल नेटवर्क के अंदर एक मशीन पर लॉन्च किया जाता है, जो बाहरी सर्वर के साथ कनेक्शन स्थापित करता है। सर्वर एक SOCKS4/5 सर्वर चलाता है जो कनेक्शन स्वीकार करता है और उन्हें क्लाइंट को रिले करता है।

उपरोक्त सभी उपकरणों का नुकसान यह है कि क्लाइंट मशीन पर या तो पायथन या गोलांग स्थापित होना चाहिए (क्या आपने अक्सर पायथन को किसी कंपनी के निदेशक या कार्यालय कर्मचारियों की मशीनों पर स्थापित देखा है?), या पूर्व-इकट्ठे बाइनरी (वास्तव में पायथन) को इस मशीन और स्क्रिप्ट पर एक बोतल में खींच लिया जाना चाहिए) और इस बाइनरी को पहले से ही वहां चलाएं। और किसी exe को डाउनलोड करना और फिर उसे लॉन्च करना भी स्थानीय एंटीवायरस या HIPS के लिए एक हस्ताक्षर है।

सामान्य तौर पर, निष्कर्ष स्वयं ही सुझाता है - हमें एक पॉवरशेल समाधान की आवश्यकता है। अब टमाटर हम पर उड़ेंगे - वे कहते हैं कि पावरशेल पहले से ही पूरी तरह से खराब हो चुका है, इसकी निगरानी की जाती है, अवरुद्ध किया जाता है, आदि। और इसी तरह। दरअसल, हर जगह नहीं. हम जिम्मेदारी से घोषणा करते हैं. वैसे, ब्लॉकिंग को बायपास करने के कई तरीके हैं (यहां फिर से हैलो आरकेएन 🙂 के बारे में एक फैशनेबल वाक्यांश है), जो कि पॉवरशेल.exe -> cmdd.exe के बेवकूफी भरे नाम बदलने से लेकर पॉवरडीएलएल आदि पर समाप्त होता है।

आइए आविष्कार करना शुरू करें

यह स्पष्ट है कि पहले हम Google पर देखेंगे और... हमें इस विषय पर कुछ भी नहीं मिलेगा (यदि किसी को मिल गया है, तो टिप्पणियों में लिंक पोस्ट करें)। वहां केवल यह है कार्यान्वयन सॉक्स5 पॉवरशेल पर है, लेकिन यह एक साधारण "प्रत्यक्ष" सॉक्स है, जिसके अपने कई नुकसान हैं (हम उनके बारे में बाद में बात करेंगे)। बेशक, आप अपने हाथ की थोड़ी सी हरकत से इसे उलटे में बदल सकते हैं, लेकिन यह केवल सिंगल-थ्रेडेड सॉक्स होगा, जो कि हमारे लिए बिल्कुल आवश्यक नहीं है।

इसलिए, हमें कुछ भी तैयार नहीं मिला, इसलिए हमें अभी भी अपने पहिये को फिर से बनाना होगा। हम अपनी साइकिल को आधार के रूप में लेंगे हमारा विकास गोलांग में रिवर्स सॉक्स, और हम पावरशेल में इसके लिए एक क्लाइंट लागू करते हैं।

RSocksTun
तो rsockstun कैसे काम करता है?

RsocksTun (इसके बाद rs के रूप में संदर्भित) का संचालन दो सॉफ्टवेयर घटकों - Yamux और Socks5 सर्वर पर आधारित है। Socks5 सर्वर एक नियमित स्थानीय socks5 है, यह क्लाइंट पर चलता है। और इससे कनेक्शनों की मल्टीप्लेक्सिंग (मल्टीथ्रेडिंग के बारे में याद है?) yamux का उपयोग करके प्रदान की जाती है (एक और मल्टीप्लेक्सर). यह योजना आपको कई क्लाइंट सॉक्स5 सर्वर लॉन्च करने और उन्हें बाहरी कनेक्शन वितरित करने की अनुमति देती है, उन्हें क्लाइंट से सर्वर तक एक एकल टीसीपी कनेक्शन (लगभग मीटरप्रेटर की तरह) के माध्यम से अग्रेषित करती है, जिससे एक बहु-थ्रेडेड मोड लागू होता है, जिसके बिना हम बस नहीं कर पाएंगे। आंतरिक नेटवर्क में पूरी तरह से काम करने में सक्षम।

यमक्स कैसे काम करता है इसका सार यह है कि यह स्ट्रीम की एक अतिरिक्त नेटवर्क परत पेश करता है, इसे प्रत्येक पैकेट के लिए 12-बाइट हेडर के रूप में लागू करता है। (यहां हम जानबूझकर थ्रेड के बजाय "स्ट्रीम" शब्द का उपयोग करते हैं, ताकि पाठक को प्रोग्राम स्ट्रीम "थ्रेड" के साथ भ्रमित न किया जा सके - हम इस लेख में भी इस अवधारणा का उपयोग करेंगे)। यमक्स हेडर में स्ट्रीम नंबर, स्ट्रीम को स्थापित/समाप्त करने के लिए झंडे, स्थानांतरित बाइट्स की संख्या और ट्रांसफर विंडो का आकार शामिल है।

एक स्ट्रीम को स्थापित/समाप्त करने के अलावा, yamux एक रखरखाव तंत्र लागू करता है जो आपको स्थापित संचार चैनल के प्रदर्शन की निगरानी करने की अनुमति देता है। यमक्स सत्र बनाते समय कीपलाइव संदेश तंत्र का संचालन कॉन्फ़िगर किया गया है। दरअसल, सेटिंग्स में केवल दो पैरामीटर हैं: सक्षम/अक्षम और सेकंड में पैकेट भेजने की आवृत्ति। कीपलाइव संदेश यमक्स सर्वर या यमक्स क्लाइंट द्वारा भेजे जा सकते हैं। एक रख-रखाव संदेश प्राप्त करते समय, दूरस्थ पक्ष को बिल्कुल वही संदेश पहचानकर्ता (वास्तव में एक संख्या) भेजकर इसका जवाब देना होगा जो उसे प्राप्त हुआ था। सामान्य तौर पर, कीपलाइव एक ही पिंग है, केवल यमक्स के लिए।

मल्टीप्लेक्सर की संपूर्ण ऑपरेटिंग तकनीक: पैकेट प्रकार, कनेक्शन सेटअप और समाप्ति फ़्लैग, और डेटा ट्रांसफर तंत्र का विस्तार से वर्णन किया गया है विनिर्देश यमक्स को.

पहले भाग का निष्कर्ष

इसलिए, लेख के पहले भाग में, हम रिवर्स टनल को व्यवस्थित करने के लिए कुछ उपकरणों से परिचित हुए, उनके फायदे और नुकसान को देखा, यमक्स मल्टीप्लेक्सर के संचालन के तंत्र का अध्ययन किया और नव निर्मित पावरशेल मॉड्यूल के लिए बुनियादी आवश्यकताओं का वर्णन किया। अगले भाग में हम व्यावहारिक रूप से शुरुआत से ही मॉड्यूल विकसित करेंगे। करने के लिए जारी। स्विच न करें :)

स्रोत: www.habr.com