Ib zaj dab neeg txog kev tshawb fawb thiab kev loj hlob hauv 3 ntu. Ntu 1 yog kev tshawb nrhiav.
Muaj ntau cov ntoo beech - txawm ntau qhov txiaj ntsig.
Nqe lus ntawm qhov teeb meem
Thaum lub sij hawm pentests thiab RedTeam phiaj los nqis tes, nws tsis yog ib txwm muaj peev xwm siv tus neeg siv khoom tus qauv, xws li VPN, RDP, Citrix, thiab lwm yam. raws li ib tug thauj tog rau nkoj rau nkag mus rau hauv lub internal network. Hauv qee qhov chaw, tus qauv VPN ua haujlwm siv MFA thiab kho vajtse token yog siv los ua qhov thib ob, hauv lwm tus nws raug saib xyuas tsis zoo thiab peb tus neeg siv VPN tam sim ntawd pom, raws li lawv hais, nrog rau txhua yam uas nws muaj, tab sis lwm tus muaj. tsuas yog tsis muaj txhais tau tias.
Nyob rau hauv cov xwm txheej zoo li no, peb yuav tsum ua kom lub npe hu ua "rov qab qhov" - kev sib txuas ntawm lub network sab hauv mus rau lwm qhov chaw lossis lub server peb tswj. Nyob rau hauv xws li ib tug qhov, peb muaj peev xwm twb ua hauj lwm nrog cov neeg muas zaub 'internal kev pab.
Muaj ntau ntau yam ntawm cov qhov rov qab no. Cov nto moo tshaj plaws ntawm lawv yog, ntawm chav kawm, Meterpreter. SSH tunnels nrog rov qab chaw nres nkoj xa mus kuj yog qhov xav tau zoo ntawm cov neeg nyiag nkas. Muaj ntau ntau txoj hauv kev rau kev siv rov qab tunneling thiab ntau ntawm lawv tau kawm zoo thiab piav qhia.
Tau kawg, rau lawv feem, cov neeg tsim khoom ntawm kev daws teeb meem kev nyab xeeb tsis sawv ib sab thiab nquag ntes cov kev ua no.
Piv txwv li, MSF cov rooj sib tham tau ua tiav los ntawm IPS niaj hnub los ntawm Cisco lossis Positive Tech, thiab qhov rov qab SSH tuaj yeem kuaj pom los ntawm yuav luag txhua qhov hluav taws xob ib txwm muaj.
Yog li ntawd, txhawm rau kom tsis txhob hnov ββββqab txog qhov kev sib tw RedTeam zoo, peb yuav tsum tsim kom muaj qhov rov qab siv qhov tsis yog tus qauv thiab hloov kho kom ze li sai tau rau hom kev ua haujlwm tiag tiag ntawm lub network.
Cia peb sim nrhiav lossis tsim ib yam dab tsi zoo sib xws.
Ua ntej tsim ib yam dab tsi, peb yuav tsum nkag siab tias qhov txiaj ntsig peb xav kom ua tiav, peb txoj kev txhim kho yuav tsum ua li cas. Yuav ua li cas yog qhov yuav tsum tau rau lub qhov kom peb ua hauj lwm nyob rau hauv siab tshaj stealth hom?
Nws yog qhov tseeb tias rau txhua qhov xwm txheej xws li kev xav tau yuav txawv heev, tab sis raws li kev ua haujlwm, cov ntsiab lus tseem ceeb tuaj yeem txheeb xyuas:
- ua haujlwm ntawm Windows-7-10 OS. Txij li feem ntau cov tuam txhab koom tes siv Windows;
- tus neeg siv khoom txuas rau lub server ntawm SSL kom tsis txhob mloog ruam siv ips;
- Thaum sib txuas, tus neeg siv yuav tsum txhawb nqa kev ua haujlwm los ntawm lub npe neeg rau zaub mov nrog kev tso cai, vim Hauv ntau lub tuam txhab, kev nkag mus rau Is Taws Nem tshwm sim los ntawm tus neeg sawv cev. Qhov tseeb, tus neeg siv lub tshuab yuav tsis paub dab tsi txog nws, thiab lub npe yog siv hauv hom pob tshab. Tab sis peb yuav tsum muab cov haujlwm zoo li no;
- tus neeg siv khoom yuav tsum yog cov ntsiab lus thiab portable;
Nws yog qhov tseeb tias kom ua haujlwm hauv Cov Neeg Siv Khoom Network, koj tuaj yeem nruab OpenVPN ntawm tus neeg siv tshuab thiab tsim lub qhov taub puv rau koj lub server (zoo hmoo, cov neeg siv openvpn tuaj yeem ua haujlwm los ntawm lub npe). Tab sis, ua ntej, qhov no yuav tsis ua haujlwm ib txwm, vim tias peb yuav tsis yog tus thawj coj hauv zos nyob ntawd, thiab qhov thib ob, nws yuav ua suab nrov heev uas SIEM lossis HIPS yuav "snitch" peb tam sim ntawd. Qhov zoo tshaj plaws, peb cov neeg siv khoom yuav tsum yog lub npe hu ua inline hais kom ua, piv txwv li ntau bash shells tau siv, thiab pib ntawm kab hais kom ua, piv txwv li, thaum ua cov lus txib los ntawm lo lus macro. - peb lub qhov yuav tsum muaj ntau txoj xov thiab txhawb ntau qhov kev sib txuas ib txhij;
- kev sib txuas ntawm cov neeg siv khoom-server yuav tsum muaj qee yam kev tso cai kom lub qhov taub tsuas yog tsim rau peb cov neeg siv khoom, thiab tsis yog rau txhua tus neeg tuaj rau peb lub server ntawm qhov chaw nyob thiab chaw nres nkoj. Qhov zoo tshaj plaws, nplooj ntawv tsaws nrog miv lossis cov ncauj lus tshaj lij ntsig txog tus thawj sau npe yuav tsum qhib rau "cov neeg siv thib peb."
Piv txwv li, yog tias tus neeg siv khoom yog ib lub koom haum kho mob, ces rau tus thawj coj saib xyuas kev ruaj ntseg uas txiav txim siab los xyuas cov peev txheej uas cov neeg ua haujlwm hauv tsev kho mob nkag mus, nplooj ntawv nrog cov khoom siv tshuaj, Wikipedia nrog cov lus piav qhia txog kev kuaj mob, lossis Dr. Komarovsky's blog, thiab lwm yam. . yuav tsum qhib.
Kev tshuaj xyuas cov cuab yeej uas twb muaj lawm
Ua ntej rov tsim kho koj tus kheej lub tsheb kauj vab, koj yuav tsum tau ua qhov kev ntsuam xyuas ntawm cov tsheb kauj vab uas twb muaj lawm thiab nkag siab tias peb xav tau tiag tiag thiab, tej zaum, peb tsis yog tib tus uas tau xav txog qhov xav tau ntawm lub tsheb kauj vab zoo li no.
Googling hauv Is Taws Nem (peb zoo li google ib txwm), nrog rau kev tshawb nrhiav hauv Github siv cov ntsiab lus "rov qab thom khwm" tsis tau muab ntau yam txiaj ntsig. Yeej, nws tag nrho los mus rau lub tsev ssh tunnels nrog rov qab chaw nres nkoj xa mus thiab txhua yam txuas nrog nws. Ntxiv rau SSH tunnels, muaj ntau qhov kev daws teeb meem:
Kev siv ntev ntev ntawm qhov rov qab los ntawm cov txiv neej ntawm Kaspersky Lab. Lub npe ua kom pom tseeb tias tsab ntawv no yog npaj rau dab tsi. Ua tiav hauv Python 2.7, qhov av ua haujlwm hauv hom cleartext (raws li nws yog fashionable hais tam sim no - nyob zoo RKN)
Lwm qhov kev siv hauv Python, kuj tseem nyob hauv cov ntawv ntshiab, tab sis muaj ntau qhov ua tau. Nws yog sau raws li ib tug module thiab muaj ib tug API rau integrating cov kev daws rau koj tej yaam num.
Thawj qhov txuas yog thawj version ntawm qhov rov qab sox kev siv hauv Golang (tsis txhawb nqa los ntawm tus tsim tawm).
Qhov txuas thib ob yog peb qhov kev kho dua tshiab nrog cov yam ntxwv ntxiv, tseem nyob hauv Golang. Nyob rau hauv peb version, peb siv SSL, ua hauj lwm los ntawm ib tug proxy nrog NTLM kev tso cai, tso cai rau tus neeg siv, ib tug tsaws nplooj ntawv nyob rau hauv cov ntaub ntawv ntawm ib tug tsis raug lo lus zais (los yog theej, ib tug redirect mus rau lub tsaws nplooj), multi-threaded hom (piv txwv li ob peb tus neeg. tuaj yeem ua haujlwm nrog lub qhov av tib lub sijhawm), lub kaw lus ntawm pinging tus neeg siv khoom los txiav txim seb nws puas muaj sia nyob lossis tsis muaj.
Kev siv rov qab sox los ntawm peb "cov phooj ywg Suav" hauv Python. Nyob ntawd, rau cov neeg tub nkeeg thiab "tsis txawj tuag", muaj qhov npaj ua binary (exe), sib sau ua ke los ntawm Suav thiab npaj siv. Ntawm no, tsuas yog Suav Vajtswv paub dab tsi ntxiv no binary yuav muaj ntxiv rau lub ntsiab functionality, yog li siv ntawm koj tus kheej peril thiab txaus ntshai.
Muaj qhov nthuav dav hauv C ++ rau kev siv rov qab sox thiab ntau dua. Ntxiv nrog rau qhov rov qab qhov, nws tuaj yeem ua qhov chaw nres nkoj xa mus, tsim lub plhaub hais kom ua, thiab lwm yam.
MSF Meterpreter
Ntawm no, raws li lawv hais, tsis muaj lus pom. Tag nrho ntau dua lossis tsawg dua kev kawm hackers paub txog qhov no thiab nkag siab yooj yim npaum li cas nws tuaj yeem kuaj pom los ntawm cov cuab yeej ruaj ntseg.
Tag nrho cov cuab yeej tau piav qhia saum toj no ua haujlwm siv cov thev naus laus zis zoo sib xws: kev npaj ua ntej binary module tau tsim tawm ntawm lub tshuab hauv lub network, uas tsim kev sib txuas nrog rau lwm tus neeg rau zaub mov. Tus neeg rau zaub mov khiav SOCKS4/5 server uas lees txais kev sib txuas thiab xa mus rau tus neeg siv khoom.
Qhov tsis zoo ntawm tag nrho cov cuab yeej saum toj no yog tias Python lossis Golang yuav tsum tau teeb tsa rau ntawm cov neeg siv khoom siv tshuab (koj puas tau pom Python feem ntau tau teeb tsa rau ntawm cov cav tov, piv txwv li, tus thawj coj hauv tuam txhab lossis cov neeg ua haujlwm hauv chaw ua haujlwm?), lossis ua ntej sib dhos. binary (tiag tiag python) yuav tsum tau dragged mus rau lub tshuab no thiab tsab ntawv nyob rau hauv ib lub raj mis) thiab khiav no binary twb muaj. Thiab rub tawm ib qho exe thiab tom qab ntawd tso tawm nws kuj yog kos npe rau lub zos antivirus lossis HIPS.
Feem ntau, cov lus xaus qhia nws tus kheej - peb xav tau kev daws teeb meem powershell. Tam sim no txiv lws suav yuav ya ntawm peb - ββlawv hais tias powershell twb tag nrho hackneyed, nws yog saib xyuas, thaiv, thiab lwm yam. thiab lwm yam. Qhov tseeb, tsis yog txhua qhov chaw. Peb tshaj tawm lub luag haujlwm. Los ntawm txoj kev, muaj ntau txoj hauv kev los hla kev thaiv (ntawm no dua muaj cov kab lus fashionable txog nyob zoo RKN π), pib los ntawm kev hloov npe ruam ntawm powershell.exe -> cmdd.exe thiab xaus nrog powerdll, thiab lwm yam.
Wb pib inventing
Nws yog qhov tseeb tias thawj zaug peb yuav saib hauv Google thiab ... peb yuav tsis pom dab tsi ntawm lub ncauj lus no (yog tias ib tus neeg pom nws, tshaj tawm cov ntawv txuas hauv cov lus). Tsuas muaj xwb Socks5 ntawm powershell, tab sis qhov no yog ib qho yooj yim "direct" sox, uas muaj ib tug xov tooj ntawm nws tus kheej tsis zoo (peb mam li tham txog lawv tom qab). Koj tuaj yeem, ntawm chav kawm, nrog me ntsis txav ntawm koj txhais tes, tig mus rau hauv qhov thim rov qab, tab sis qhov no tsuas yog ib txoj xov nkaus xwb, uas tsis yog qhov peb xav tau rau peb.
Yog li ntawd, peb tsis tau pom ib yam dab tsi npaj txhij, yog li peb tseem yuav tau rov kho peb lub log. Peb yuav ua lub hauv paus rau peb lub tsheb kauj vab rov qab sox hauv Golang, thiab peb siv tus neeg siv khoom rau nws hauv powershell.
RSocksTun
Yog li cas rsockstun ua haujlwm li cas?
Kev ua haujlwm ntawm RsocksTun (tom qab no hu ua rs) yog ua raws li ob qho khoom siv software - Yamux thiab Socks5 server. Socks5 neeg rau zaub mov yog ib txwm nyob hauv zos thom khwm5, nws khiav ntawm tus neeg siv khoom. Thiab multiplexing ntawm kev sib txuas rau nws (nco txog kev sib txuas lus?) yog muab siv yamux (). Cov tswv yim no tso cai rau koj tso ntau tus neeg siv khoom socks5 servers thiab faib cov kev sib txuas sab nraud rau lawv, xa lawv los ntawm ib qho kev sib txuas TCP (yuav luag zoo li hauv meterpreter) los ntawm tus neeg siv khoom mus rau tus neeg rau zaub mov, yog li siv ntau txoj xov xov, yam tsis muaj qhov peb tsuas yog yuav tsis ua. muaj peev xwm ua hauj lwm tag nrho hauv cov tes hauj lwm sab hauv.
Lub ntsiab lus ntawm yamux ua haujlwm li cas yog tias nws qhia txog cov txheej txheem txuas ntxiv ntawm cov kwj deg, siv nws hauv daim ntawv ntawm 12-byte header rau txhua pob ntawv. (Ntawm no peb txhob txwm siv lo lus "kwj" es tsis yog xov, yog li tsis txhob cuam tshuam tus nyeem ntawv nrog ib qho kev pab cuam kwj "xov" - peb kuj yuav siv lub tswv yim no hauv kab lus no). Yamux header muaj tus lej kwj, chij rau kev txhim kho / txiav tawm cov kwj deg, tus lej ntawm cov hloov pauv, thiab qhov loj ntawm lub qhov rais hloov pauv.
Ntxiv rau kev txhim kho / tshem tawm cov kwj deg, yamux siv cov txheej txheem khaws cia uas tso cai rau koj los saib xyuas kev ua haujlwm ntawm kev sib txuas lus tsim. Kev ua haujlwm ntawm cov lus khaws cia tau teeb tsa thaum tsim Yamux kev sib kho. Qhov tseeb, ntawm qhov chaw tsuas muaj ob qhov tsis muaj: pab / lov tes taw thiab qhov zaus ntawm kev xa cov pob ntawv hauv vib nas this. Cov lus Keepalive tuaj yeem xa los ntawm yamux server lossis yamux tus neeg siv khoom. Thaum tau txais cov lus khaws cia, cov neeg nyob deb nroog yuav tsum teb rau nws los ntawm kev xa cov lus qhia raws nraim (tus lej tiag) uas nws tau txais. Feem ntau, Keepalive yog tib ping, tsuas yog rau yamux.
Tag nrho cov txheej txheem kev khiav hauj lwm ntawm multiplexer: hom pob ntawv, kev sib txuas teeb tsa thiab txiav cov chij, thiab cov ntaub ntawv hloov pauv cov txheej txheem tau piav qhia meej hauv rau yamux.
Xaus rau thawj ntu
Yog li ntawd, nyob rau hauv thawj ib feem ntawm tsab xov xwm, peb tau paub txog ib co cuab yeej rau kev txhim kho qhov rov qab tunnels, saib lawv qhov zoo thiab qhov tsis zoo, kawm txog cov txheej txheem ntawm kev khiav hauj lwm ntawm Yamux multiplexer thiab piav qhia txog cov kev cai yooj yim rau cov tshiab powershell module. Hauv ntu tom ntej peb yuav tsim lub module nws tus kheej, xyaum los ntawm kos. Yuav tsum tau txuas ntxiv. Tsis txhob hloov :)
Tau qhov twg los: www.hab.com