Reverse socks5 proxy-ის ჩაწერა powershell-ში. ნაწილი 1

მოთხრობა კვლევისა და განვითარების შესახებ 3 ნაწილად. ნაწილი 1 არის საძიებო.
ბევრი წიფლის ხეა - კიდევ უფრო მეტი სარგებელი.

პრობლემის შესახებ განცხადება

პენტესტებისა და RedTeam კამპანიების დროს ყოველთვის არ არის შესაძლებელი მომხმარებლის სტანდარტული ინსტრუმენტების გამოყენება, როგორიცაა VPN, RDP, Citrix და ა.შ. როგორც შიდა ქსელში შესვლის წამყვანი. ზოგიერთ ადგილას, სტანდარტული VPN მუშაობს MFA-ს გამოყენებით, ხოლო ტექნიკის ჟეტონი გამოიყენება, როგორც მეორე ფაქტორი, ზოგან მას სასტიკად აკონტროლებენ და ჩვენი VPN შესვლა მაშინვე ხდება ხილული, როგორც ამბობენ, ყველაფერთან ერთად, რაც გულისხმობს, მაგრამ ზოგში არის უბრალოდ არ არის ასეთი საშუალება.

ასეთ შემთხვევებში ჩვენ მუდმივად გვიწევს ეგრეთ წოდებული „უკუ გვირაბების“ გაკეთება - კავშირები შიდა ქსელიდან გარე რესურსთან ან სერვერთან, რომელსაც ჩვენ ვაკონტროლებთ. ასეთი გვირაბის შიგნით ჩვენ უკვე შეგვიძლია ვიმუშაოთ კლიენტების შიდა რესურსებით.

ამ დასაბრუნებელი გვირაბების რამდენიმე სახეობა არსებობს. მათგან ყველაზე ცნობილი, რა თქმა უნდა, Meterpreter-ია. SSH გვირაბები საპირისპირო პორტის გაგზავნით ასევე დიდი მოთხოვნაა ჰაკერთა მასებში. საპირისპირო გვირაბის განხორციელების საკმაოდ ბევრი საშუალება არსებობს და ბევრი მათგანი კარგად არის შესწავლილი და აღწერილი.
რა თქმა უნდა, თავის მხრივ, უსაფრთხოების გადაწყვეტილებების დეველოპერები არ დგანან განზე და აქტიურად აღმოაჩენენ ასეთ ქმედებებს.
მაგალითად, MSF სესიები წარმატებით არის გამოვლენილი Cisco-დან ან Positive Tech-ის თანამედროვე IPS-ით, ხოლო საპირისპირო SSH გვირაბი შეიძლება გამოვლინდეს თითქმის ნებისმიერი ნორმალური ბუხარით.

ამიტომ, იმისათვის, რომ შეუმჩნეველი დავრჩეთ RedTeam-ის კარგ კამპანიაში, ჩვენ უნდა ავაშენოთ საპირისპირო გვირაბი არასტანდარტული საშუალებების გამოყენებით და რაც შეიძლება ახლოს მოერგოს ქსელის რეალურ ოპერაციულ რეჟიმს.

ვცადოთ მსგავსი რამის პოვნა ან გამოგონება.

სანამ რაიმეს გამოვიგონებთ, უნდა გავიგოთ, რა შედეგის მიღწევა გვინდა, რა ფუნქციები უნდა შეასრულოს ჩვენმა განვითარებამ. რა მოთხოვნები იქნება გვირაბისთვის, რომ მაქსიმალურ სტელს რეჟიმში ვიმუშაოთ?

ნათელია, რომ თითოეული შემთხვევისთვის ასეთი მოთხოვნები შეიძლება მნიშვნელოვნად განსხვავდებოდეს, მაგრამ სამუშაო გამოცდილებიდან გამომდინარე, შეიძლება გამოვლინდეს ძირითადი:

• მუშაობა Windows-7-10 OS-ზე. ვინაიდან კორპორატიული ქსელების უმეტესობა იყენებს Windows-ს;
• კლიენტი უერთდება სერვერს SSL-ის საშუალებით, რათა თავიდან აიცილოს სულელური მოსმენა ips-ის გამოყენებით;
• დაკავშირებისას კლიენტმა უნდა მხარი დაუჭიროს მუშაობას პროქსი სერვერის მეშვეობით ავტორიზაციით, რადგან ბევრ კომპანიაში ინტერნეტში წვდომა ხდება პროქსის მეშვეობით. სინამდვილეში, კლიენტის მანქანამ შეიძლება არც კი იცოდეს ამის შესახებ და პროქსი გამოიყენება გამჭვირვალე რეჟიმში. მაგრამ ჩვენ უნდა მივაწოდოთ ასეთი ფუნქციონირება;
• კლიენტის ნაწილი უნდა იყოს ლაკონური და პორტატული;
  ნათელია, რომ მომხმარებლის ქსელში მუშაობისთვის, შეგიძლიათ დააინსტალიროთ OpenVPN კლიენტის მანქანაზე და შექმნათ სრულფასოვანი გვირაბი თქვენს სერვერზე (საბედნიეროდ, openvpn კლიენტებს შეუძლიათ იმუშაონ პროქსის საშუალებით). მაგრამ, ჯერ ერთი, ეს ყოველთვის არ იმუშავებს, რადგან შეიძლება იქ არ ვიყოთ ადგილობრივი ადმინები და მეორეც, ის იმდენ ხმაურს გამოიღებს, რომ წესიერი SIEM ან HIPS მაშინვე „გაგვატყდება“. იდეალურ შემთხვევაში, ჩვენი კლიენტი უნდა იყოს ეგრეთ წოდებული inline ბრძანება, როგორც მაგალითად, ბევრი bash ჭურვი განხორციელდება და გაშვებულია ბრძანების ხაზის მეშვეობით, მაგალითად, ბრძანებების შესრულებისას სიტყვა მაკროდან.
• ჩვენი გვირაბი უნდა იყოს მრავალძაფიანი და ერთდროულად მრავალი კავშირის მხარდაჭერა;
• კლიენტ-სერვერ კავშირს უნდა ჰქონდეს რაიმე სახის ავტორიზაცია, რათა გვირაბი შეიქმნას მხოლოდ ჩვენი კლიენტისთვის და არა ყველასთვის, ვინც ჩვენს სერვერზე მოდის მითითებულ მისამართზე და პორტში. იდეალურ შემთხვევაში, სადესანტო გვერდი კატების ან პროფესიონალური თემებით, რომლებიც დაკავშირებულია ორიგინალ დომენთან, უნდა გაიხსნას „მესამე მხარის მომხმარებლებისთვის“.
  მაგალითად, თუ კლიენტი არის სამედიცინო ორგანიზაცია, მაშინ ინფორმაციის უსაფრთხოების ადმინისტრატორისთვის, რომელიც გადაწყვეტს შეამოწმოს რესურსი, რომელსაც წვდომა კლინიკის თანამშრომელმა, გვერდი ფარმაცევტული პროდუქტებით, ვიკიპედია დიაგნოზის აღწერილობით, ან დოქტორ კომაროვსკის ბლოგი და ა.შ. უნდა გაიხსნას.

არსებული ინსტრუმენტების ანალიზი

საკუთარი ველოსიპედის ხელახლა გამოგონებამდე, თქვენ უნდა გააკეთოთ არსებული ველოსიპედების ანალიზი და გაიგოთ, ნამდვილად გვჭირდება თუ არა ის და, ალბათ, მარტო ჩვენ არ დავფიქრებულვართ ასეთი ფუნქციური ველოსიპედის საჭიროებაზე.

ინტერნეტში გუგლმა (როგორც ჩანს, ჩვეულებრივად ვგუგლდებით), ასევე Github-ზე საკვანძო სიტყვების „უკუ წინდების“ ძიებამ ბევრი შედეგი არ გამოიღო. ძირითადად, ეს ყველაფერი დამოკიდებულია ssh გვირაბების აშენებაზე, საპირისპირო პორტის გაგზავნით და მასთან დაკავშირებული ყველაფერი. SSH გვირაბების გარდა, არსებობს რამდენიმე გამოსავალი:

github.com/klsecservices/rpivot
საპირისპირო გვირაბის ხანგრძლივი განხორციელება კასპერსკის ლაბორატორიის ბიჭებისგან. სახელი ცხადყოფს, რისთვის არის განკუთვნილი ეს სკრიპტი. Python 2.7-ში დანერგილი გვირაბი მუშაობს წმინდა ტექსტის რეჟიმში (როგორც ახლა მოდურია იმის თქმა - გამარჯობა RKN)

github.com/tonyseek/rsocks
კიდევ ერთი განხორციელება პითონში, ასევე მკაფიო ტექსტში, მაგრამ მეტი შესაძლებლობებით. ის დაწერილია როგორც მოდული და აქვს API გადაწყვეტის თქვენს პროექტებში ინტეგრირებისთვის.

github.com/llkat/rsocstun
github.com/mis-team/rsocstun
პირველი ბმული არის საპირისპირო სოქსის განხორციელების ორიგინალური ვერსია Golang-ში (არ არის მხარდაჭერილი დეველოპერის მიერ).
მეორე ბმული არის ჩვენი გადახედვა დამატებითი ფუნქციებით, ასევე Golang-ში. ჩვენს ვერსიაში, ჩვენ განვახორციელეთ SSL, ვმუშაობთ პროქსის საშუალებით NTLM ავტორიზაცია, ავტორიზაცია კლიენტზე, სადესანტო გვერდი არასწორი პაროლის შემთხვევაში (უფრო სწორად, სადესანტო გვერდზე გადამისამართება), მრავალ ხრახნიანი რეჟიმი (ანუ რამდენიმე ადამიანი). შეუძლია გვირაბთან ერთდროულად მუშაობა), კლიენტის პინგის სისტემა, რათა დადგინდეს ცოცხალია თუ არა.

github.com/jun7th/tsocks
საპირისპირო სოქსის დანერგვა ჩვენი "ჩინელი მეგობრებისგან" პითონში. იქ, ზარმაცებისთვის და „უკვდავებისთვის“ არის მზა ორობითი (exe), ჩინელების მიერ აწყობილი და გამოსაყენებლად მზად. აქ, მხოლოდ ჩინელმა ღმერთმა იცის, კიდევ რას შეიძლება შეიცავდეს ეს ორობითი ძირითადი ფუნქციონალურობის გარდა, ამიტომ გამოიყენეთ თქვენი საფრთხისა და რისკის ქვეშ.

github.com/securesocketfunneling/ssf
საკმაოდ საინტერესო პროექტი C++-ში რევერსი სოქსის განხორციელებისთვის და სხვა. გარდა საპირისპირო გვირაბისა, მას შეუძლია პორტის გადაგზავნა, ბრძანების გარსის შექმნა და ა.შ.

MSF მრიცხველი
აქ, როგორც ამბობენ, კომენტარი არ არის. ყველა მეტ-ნაკლებად განათლებული ჰაკერი კარგად იცნობს ამ ნივთს და ესმით, რამდენად ადვილად შეიძლება მისი აღმოჩენა უსაფრთხოების ინსტრუმენტებით.

ზემოთ აღწერილი ყველა ხელსაწყო მუშაობს მსგავსი ტექნოლოგიის გამოყენებით: წინასწარ მომზადებული შესრულებადი ორობითი მოდული გაშვებულია მანქანაზე ქსელის შიგნით, რომელიც ამყარებს კავშირს გარე სერვერთან. სერვერი აწარმოებს SOCKS4/5 სერვერს, რომელიც იღებს კავშირებს და გადასცემს მათ კლიენტს.

ყველა ზემოაღნიშნული ხელსაწყოს მინუსი არის ის, რომ ან პითონი ან Golang უნდა იყოს დაინსტალირებული კლიენტის აპარატზე (ხშირად გინახავთ პითონი დაყენებული, მაგალითად, კომპანიის დირექტორის ან ოფისის მუშაკების მანქანებზე?), ან წინასწარ აწყობილი. ორობითი (სინამდვილეში პითონი) უნდა გადაიტანოთ ამ მანქანაზე და სკრიპტზე ერთ ბოთლში) და გაუშვით ეს ორობითი უკვე იქ. და exe-ის ჩამოტვირთვა და შემდეგ მისი გაშვება ასევე არის ხელმოწერა ადგილობრივი ანტივირუსისთვის ან HIPS-ისთვის.

ზოგადად, დასკვნა თავისთავად გვთავაზობს - ჩვენ გვჭირდება powershell გადაწყვეტა. ახლა ჩვენთან პომიდორი დაფრინავს - ამბობენ, რომ powershell უკვე გატეხილია, მონიტორინგი ხდება, დაბლოკილია და ა.შ. და ასე შემდეგ. სინამდვილეში, ყველგან არა. ჩვენ პასუხისმგებლობით ვაცხადებთ. სხვათა შორის, დაბლოკვის გვერდის ავლით უამრავი გზა არსებობს (აქ ისევ არის მოდური ფრაზა გამარჯობა RKN 🙂), დაწყებული powershell.exe -> cmdd.exe სულელური გადარქმევიდან და დამთავრებული powerdll-ით და ა.შ.

დავიწყოთ გამოგონება

გასაგებია, რომ ჯერ გუგლში გადავხედავთ და... ამ თემაზე ვერაფერს ვიპოვით (თუ ვინმემ იპოვა, დაწერეთ ლინკები კომენტარებში). არსებობს მხოლოდ განხორციელება Socks5 powershell-ზე, მაგრამ ეს არის ჩვეულებრივი "პირდაპირი" სოქსი, რომელსაც აქვს მთელი რიგი უარყოფითი მხარეები (მათზე მოგვიანებით ვისაუბრებთ). თქვენ, რა თქმა უნდა, შეგიძლიათ, ხელის ოდნავ მოძრაობით გადააქციოთ ის საპირისპიროდ, მაგრამ ეს იქნება მხოლოდ ერთძაფის სოქსი, რაც ჩვენთვის სულაც არ არის ის, რაც ჩვენ გვჭირდება.

ასე რომ, ჩვენ ვერაფერი ვიპოვეთ მზა, ამიტომ კვლავ მოგვიწევს ჩვენი ბორბლის ხელახლა გამოგონება. ჩვენ ავიღებთ საფუძვლად ჩვენი ველოსიპედის ჩვენი განვითარება Reverse sox-ში Golang-ში და ჩვენ ვახორციელებთ კლიენტს მისთვის powershell-ში.

RSocksTun
მაშ, როგორ მუშაობს rsocstun?

RsocksTun-ის (შემდგომში rs) მოქმედება ეფუძნება ორ პროგრამულ კომპონენტს - Yamux და Socks5 სერვერს. Socks5 სერვერი არის ჩვეულებრივი ადგილობრივი socks5, ის მუშაობს კლიენტზე. და მასთან კავშირების მულტიპლექსირება (გახსოვთ მრავალძაფიანი?) უზრუნველყოფილია yamux-ის გამოყენებით (კიდევ ერთი მულტიპლექსერი). ეს სქემა საშუალებას გაძლევთ გაუშვათ რამდენიმე კლიენტის socks5 სერვერი და გაავრცელოთ გარე კავშირები მათზე, გადააგზავნოთ ისინი ერთი TCP კავშირის საშუალებით (თითქმის როგორც მეტრპრეტერში) კლიენტიდან სერვერზე, რითაც განახორციელოთ მრავალნაკადიანი რეჟიმი, რომლის გარეშეც ჩვენ უბრალოდ არ ვიქნებით. შეუძლია სრულად იმუშაოს შიდა ქსელებში.

Yamux-ის მუშაობის არსი არის ის, რომ შემოაქვს ნაკადების დამატებითი ქსელის ფენა, რომელიც ახორციელებს მას 12-ბაიტიანი სათაურის სახით თითოეული პაკეტისთვის. (აქ ჩვენ შეგნებულად ვიყენებთ სიტყვას „ნაკადის“ და არა thread-ის ნაცვლად, რათა მკითხველი არ აგვერიოს პროგრამის ნაკადში „thread“ - ამ კონცეფციას ასევე გამოვიყენებთ ამ სტატიაში). yamux სათაური შეიცავს ნაკადის ნომერს, ნაკადის ინსტალაციის/შეწყვეტის დროშებს, გადაცემული ბაიტების რაოდენობას და გადაცემის ფანჯრის ზომას.

ნაკადის დაყენების/შეწყვეტის გარდა, yamux ახორციელებს შენახვის მექანიზმს, რომელიც საშუალებას გაძლევთ აკონტროლოთ დადგენილი საკომუნიკაციო არხის მუშაობა. Keeplive შეტყობინების მექანიზმის მოქმედება კონფიგურირებულია Yamux სესიის შექმნისას. სინამდვილეში, პარამეტრებიდან მხოლოდ ორი პარამეტრია: ჩართვა/გამორთვა და პაკეტების გაგზავნის სიხშირე წამებში. Keepalive შეტყობინებები შეიძლება გაიგზავნოს yamux სერვერის ან yamux კლიენტის მიერ. შენახვის შეტყობინების მიღებისას, დისტანციურმა მხარემ უნდა უპასუხოს მას ზუსტად იგივე შეტყობინების იდენტიფიკატორის (რეალურად რიცხვის) გაგზავნით, რაც მიიღო. ზოგადად Kealive იგივე პინგია, მხოლოდ yamux-ისთვის.

მულტიპლექსერის მთელი ოპერაციული ტექნიკა: პაკეტის ტიპები, კავშირის დაყენება და შეწყვეტის დროშები და მონაცემთა გადაცემის მექანიზმი დეტალურად არის აღწერილი სპეციფიკაციები Yamux-ს.

პირველი ნაწილის დასკვნა

ასე რომ, სტატიის პირველ ნაწილში გავეცანით საპირისპირო გვირაბების ორგანიზების რამდენიმე ინსტრუმენტს, გადავხედეთ მათ უპირატესობებსა და ნაკლოვანებებს, შევისწავლეთ Yamux მულტიპლექსერის მუშაობის მექანიზმი და აღვწერეთ ახლად შექმნილი Powershell მოდულის ძირითადი მოთხოვნები. შემდეგ ნაწილში ჩვენ განვავითარებთ თავად მოდულს, პრაქტიკულად ნულიდან. Გაგრძელება იქნება. არ გადახვიდე :)

წყარო: www.habr.com