אנו כותבים Proxy Reverse socks5 ב-powershell. חלק 1

סיפור על מחקר ופיתוח ב-3 חלקים. חלק 1 הוא חקרני.
ישנם עצי אשור רבים - אפילו יותר יתרונות.

הצהרת הבעיה

במהלך פנטסטים וקמפיינים של RedTeam, לא תמיד ניתן להשתמש בכלים הסטנדרטיים של הלקוח, כגון VPN, RDP, Citrix וכו'. כעוגן לכניסה לרשת הפנימית. במקומות מסוימים, VPN סטנדרטי עובד באמצעות MFA ואסימון חומרה משמש כגורם שני, במקומות אחרים הוא מנוטר באכזריות והכניסה ל-VPN שלנו הופכת מיד לגלויה, כמו שאומרים, עם כל המשתמע מכך, אבל באחרים יש פשוט אין אמצעים כאלה.

במקרים כאלה, אנחנו צריכים כל הזמן לעשות מה שנקרא "מנהרות הפוכות" - חיבורים מהרשת הפנימית למשאב חיצוני או לשרת שאנו שולטים בו. בתוך מנהרה כזו, אנחנו כבר יכולים לעבוד עם המשאבים הפנימיים של הלקוחות.

ישנם מספר סוגים של מנהרות חזרה אלה. המפורסם שבהם הוא, כמובן, Meterpreter. גם מנהרות SSH עם העברת יציאות לאחור מבוקשות מאוד בקרב המוני ההאקרים. יש די הרבה אמצעים ליישום מנהור הפוך ורבים מהם נלמדים ומתוארים היטב.
כמובן, מצידם, מפתחי פתרונות אבטחה אינם עומדים מהצד ומזהים באופן אקטיבי פעולות כאלה.
לדוגמה, הפעלות של MSF מזוהות בהצלחה על ידי IPS מודרני מבית Cisco או Positive Tech, וניתן לזהות מנהרה SSH הפוכה על ידי כמעט כל חומת אש רגילה.

לכן, כדי להישאר ללא תשומת לב בקמפיין טוב של RedTeam, עלינו לבנות מנהרה הפוכה באמצעים לא סטנדרטיים ולהתאים כמה שיותר קרוב למצב הפעולה האמיתי של הרשת.

בואו ננסה למצוא או להמציא משהו דומה.

לפני שממציאים משהו, עלינו להבין איזו תוצאה אנו רוצים להשיג, אילו פונקציות הפיתוח שלנו צריך לבצע. מה יהיו הדרישות למנהרה כדי שנוכל לעבוד במצב התגנבות מקסימלי?

ברור שלכל מקרה דרישות כאלה עשויות להיות שונות מאוד, אך בהתבסס על ניסיון בעבודה, ניתן לזהות את העיקריות שבהן:

• לעבוד על מערכת ההפעלה Windows-7-10. מכיוון שרוב הרשתות הארגוניות משתמשות ב-Windows;
• הלקוח מתחבר לשרת באמצעות SSL כדי להימנע מהאזנה מטופשת באמצעות ips;
• בעת חיבור, הלקוח חייב לתמוך בעבודה דרך שרת פרוקסי עם הרשאה, מכיוון בחברות רבות, הגישה לאינטרנט מתרחשת באמצעות פרוקסי. למעשה, ייתכן שמכונת הלקוח אפילו לא יודעת עליה דבר, והפרוקסי משמש במצב שקוף. אבל עלינו לספק פונקציונליות כזו;
• חלק הלקוח צריך להיות תמציתי ונייד;
  ברור שכדי לעבוד בתוך הרשת של הלקוח, אתה יכול להתקין את OpenVPN במחשב הלקוח וליצור מנהרה מלאה לשרת שלך (למרבה המזל, לקוחות openvpn יכולים לעבוד דרך פרוקסי). אבל, ראשית, זה לא תמיד יעבוד, מכיוון שאולי אנחנו לא מנהלים מקומיים שם, ושנית, זה יעשה כל כך הרבה רעש ש-SIEM או HIPS הגונים מיד "יתלוצץ" עלינו. באופן אידיאלי, הלקוח שלנו צריך להיות מה שנקרא פקודה מוטבעת, כמו למשל קונכיות Bash רבות מיושמות, ומופעלות דרך שורת הפקודה, למשל, בעת ביצוע פקודות ממאקרו של מילה.
• המנהרה שלנו חייבת להיות מרובה פתילים ולתמוך בחיבורים רבים בו זמנית;
• החיבור של שרת-לקוח חייב להיות בעל הרשאה כלשהי כדי שהמנהרה תיווצר רק עבור הלקוח שלנו, ולא עבור כל מי שמגיע לשרת שלנו בכתובת וביציאה שצוינו. באופן אידיאלי, דף נחיתה עם חתולים או נושאים מקצועיים הקשורים לדומיין המקורי אמור להיפתח עבור "משתמשי צד שלישי".
  לדוגמה, אם הלקוח הוא ארגון רפואי, אז למנהל אבטחת מידע שמחליט לבדוק את המשאב אליו ניגש עובד המרפאה, עמוד עם מוצרים פרמצבטיים, ויקיפדיה עם תיאור האבחנה, או הבלוג של ד"ר קומרובסקי וכו' אמור להיפתח.

ניתוח כלים קיימים

לפני שממציאים את האופניים שלכם מחדש, אתם צריכים לעשות ניתוח של אופניים קיימים ולהבין האם אנחנו באמת צריכים אותם וכנראה, אנחנו לא היחידים שחשבנו על הצורך באופניים פונקציונליים כאלה.

חיפוש בגוגל באינטרנט (נראה שאנחנו מחפשים בגוגל בדרך כלל), כמו גם חיפוש ב-Github באמצעות מילות המפתח "גרביים הפוכים" לא הניבו תוצאות רבות. בעיקרון, הכל מסתכם בבניית מנהרות ssh עם העברת יציאות לאחור וכל מה שקשור אליה. בנוסף למנהרות SSH, ישנם מספר פתרונות:

github.com/klsecservices/rpivot
יישום ותיק של מנהרה הפוכה מהחבר'ה במעבדת קספרסקי. השם מבהיר למה התסריט הזה מיועד. מיושם ב-Python 2.7, המנהרה פועלת במצב ברור (כמו שאופנתי לומר עכשיו - שלום RKN)

github.com/tonyseek/rsocks
יישום נוסף ב-Python, גם הוא בטקסט ברור, אבל עם יותר אפשרויות. הוא כתוב כמודול ויש לו API לשילוב הפתרון בפרויקטים שלך.

github.com/llkat/rsockstun
github.com/mis-team/rsockstun
הקישור הראשון הוא הגרסה המקורית של ההטמעה ההפוכה של sox בגולנג (לא נתמך על ידי המפתח).
הקישור השני הוא הגרסה שלנו עם תכונות נוספות, גם בגולאנג. בגרסה שלנו, הטמענו SSL, עבודה דרך פרוקסי עם הרשאת NTLM, הרשאה על הלקוח, דף נחיתה במקרה של סיסמה שגויה (או ליתר דיוק, הפניה לדף הנחיתה), מצב ריבוי חוטים (כלומר מספר אנשים יכול לעבוד עם המנהרה בו זמנית), מערכת של פינג ללקוח כדי לקבוע אם הוא חי או לא.

github.com/jun7th/tsocks
יישום של sox הפוך מה"חברים הסינים" שלנו בפייתון. שם, לעצלנים ול"אלמוות", יש בינארי מוכן (exe), שהורכב על ידי הסינים ומוכן לשימוש. כאן, רק האל הסיני יודע מה עוד הבינארי הזה עשוי להכיל מלבד הפונקציונליות העיקרית, אז השתמש בסכנה ובסיכון שלך.

github.com/securesocketfunneling/ssf
פרויקט די מעניין ב-C++ ליישום הפוך sox ועוד. בנוסף למנהרה ההפוכה, הוא יכול לבצע העברת יציאות, ליצור מעטפת פקודה וכו'.

מפרש מד MSF
כאן, כמו שאומרים, אין הערות. כל האקרים אפילו יותר או פחות משכילים מכירים מאוד את הדבר הזה ומבינים באיזו קלות אפשר לזהות אותו על ידי כלי אבטחה.

כל הכלים שתוארו לעיל עובדים בטכנולוגיה דומה: מודול בינארי להפעלה שהוכן מראש מופעל על מכונה בתוך הרשת, אשר יוצר חיבור עם שרת חיצוני. השרת מריץ שרת SOCKS4/5 שמקבל חיבורים ומעביר אותם ללקוח.

החיסרון של כל הכלים לעיל הוא ש- Python או Golang חייבים להיות מותקנים על מכונת הלקוח (ראיתם לעתים קרובות את Python מותקן על מכונות של, למשל, מנהל חברה או עובדי משרד?), או מורכב מראש. בינארי (למעשה python) חייב להיגרר אל המחשב הזה וסקריפט בבקבוק אחד) ולהפעיל את הבינארי הזה כבר שם. והורדת exe ואז הפעלתו היא גם חתימה לאנטי וירוס מקומי או HIPS.

באופן כללי, המסקנה מעידה על עצמה - אנחנו צריכים פתרון Powershell. עכשיו עגבניות יעופו עלינו - אומרים שה-powershell כבר כולה פרוצה, זה מפוקח, חסום וכו'. וכולי. למעשה, לא בכל מקום. אנו מצהירים באחריות. אגב, יש הרבה דרכים לעקוף חסימה (גם כאן יש ביטוי אופנתי על שלום RKN 🙂), החל מהשינוי המטופש של powershell.exe -> cmdd.exe וכלה ב-powerdll וכו'.

בואו נתחיל להמציא

ברור שקודם כל נחפש בגוגל ו...לא נמצא שום דבר על הנושא הזה (אם מישהו מצא אותו, פרסם קישורים בתגובות). יש רק יישום Socks5 על powershell, אבל מדובר בסוקס "ישיר" רגיל, שיש לו מספר חסרונות משלו (נדבר עליהם מאוחר יותר). אתה יכול, כמובן, בתנועה קלה של היד שלך, להפוך אותה לזו ההפוכה, אבל זה יהיה רק ​​סוקס עם חוטים בודדים, וזה לא בדיוק מה שאנחנו צריכים עבורנו.

אז, לא מצאנו שום דבר מוכן, אז עדיין נצטרך להמציא את הגלגל שלנו מחדש. ניקח כבסיס לאופניים שלנו ההתפתחות שלנו הפוך סוקס בגולנג, ואנו מיישמים עבורו לקוח ב-powershell.

RSocksTun
אז איך rsockstun עובד?

הפעולה של RsocksTun (להלן rs) מבוססת על שני רכיבי תוכנה - Yamux ושרת Socks5. שרת Socks5 הוא socks5 מקומי רגיל, הוא פועל על הלקוח. וריבוי חיבורים אליו (זוכרים לגבי ריבוי הליכים?) מסופק באמצעות yamux (עוד מרובה). סכימה זו מאפשרת לך להפעיל מספר שרתי לקוח socks5 ולהפיץ אליהם חיבורים חיצוניים, להעביר אותם דרך חיבור TCP אחד בודד (כמעט כמו ב-meterpreter) מלקוח לשרת, ובכך ליישם מצב מרובה הליכי, שבלעדיו אנחנו פשוט לא נהיה מסוגל לעבוד באופן מלא ברשתות הפנימיות.

המהות של אופן הפעולה של yamux היא שהיא מציגה שכבת רשת נוספת של זרמים, ומיישמת אותה בצורה של כותרת של 12 בתים לכל מנה. (כאן אנו משתמשים בכוונה במילה "זרם" ולא חוט, כדי לא לבלבל את הקורא עם "פתיל" זרם תוכנית - נשתמש במושג זה גם במאמר זה). הכותרת של yamux מכילה את מספר הזרם, דגלים להתקנה/סיום הזרם, מספר הבתים שהועברו וגודל חלון ההעברות.

בנוסף להתקנה/הפסקה של זרם, yamux מיישמת מנגנון Keepalive המאפשר לך לעקוב אחר הביצועים של ערוץ התקשורת שהוקם. פעולת מנגנון ההודעות Keeplive מוגדרת בעת יצירת הפעלת Yamux. למעשה, מבין ההגדרות יש רק שני פרמטרים: הפעלה/השבתה ותדירות שליחת מנות בשניות. הודעות Keepalive יכולות להישלח על ידי שרת yamux או לקוח yamux. בעת קבלת הודעת Keepalive, הצד המרוחק חייב להגיב לה על ידי שליחת בדיוק אותו מזהה הודעה (למעשה מספר) שקיבל. באופן כללי, Keepalive הוא אותו פינג, רק עבור yamux.

כל טכניקת ההפעלה של המרבב: סוגי מנות, הגדרת חיבור ודגלי סיום, ומנגנון העברת הנתונים מתוארים בפירוט ב- מפרטים ל-yamux.

מסקנה לחלק הראשון

אז, בחלק הראשון של המאמר, הכרנו כמה כלים לארגון מנהרות הפוכות, בדקנו את היתרונות והחסרונות שלהן, למדנו את מנגנון הפעולה של מרבבי ה-Yamux ותיארנו את הדרישות הבסיסיות למודול ה-powershell החדש שנוצר. בחלק הבא נפתח את המודול עצמו, כמעט מאפס. המשך יבוא. אל תחליף :)

מקור: www.habr.com