Powershell에서 Reverse Socks5 프록시 작성.1부

3부로 구성된 연구개발 이야기. 1부는 탐구적이다.
너도밤나무가 많아 더 많은 혜택을 누릴 수 있습니다.

문제 성명

침투 테스트 및 RedTeam 캠페인 중에는 VPN, RDP, Citrix 등과 같은 고객의 표준 도구를 사용하는 것이 항상 가능한 것은 아닙니다. 내부 네트워크 진입을 위한 앵커로 사용됩니다. 어떤 곳에서는 표준 VPN이 MFA를 사용하여 작동하고 하드웨어 토큰이 두 번째 요소로 사용되며, 다른 곳에서는 잔인하게 모니터링되어 VPN 로그인이 즉시 표시되지만 다른 곳에서는 수반되는 모든 것이 있습니다. 그런 수단은 없습니다.

이러한 경우 우리는 내부 네트워크에서 외부 리소스 또는 우리가 제어하는 ​​서버로 연결하는 소위 "역방향 터널"을 지속적으로 만들어야 합니다. 그러한 터널 안에서 우리는 이미 고객의 내부 리소스를 활용하여 작업할 수 있습니다.

이러한 복귀 터널에는 여러 종류가 있습니다. 그 중 가장 유명한 것은 물론 Meterpreter입니다. 역방향 포트 전달 기능이 있는 SSH 터널도 해커 집단 사이에서 큰 수요가 있습니다. 역방향 터널링을 구현하는 방법은 상당히 많으며 그 중 많은 방법이 잘 연구되고 설명되어 있습니다.
물론 보안 솔루션 개발자는 이러한 행동을 옆으로 치우고 적극적으로 감지하지 않습니다.
예를 들어 MSF 세션은 Cisco 또는 Positive Tech의 최신 IPS에 의해 성공적으로 감지되며 역방향 SSH 터널은 거의 모든 일반 방화벽에서 감지될 수 있습니다.

따라서 좋은 RedTeam 캠페인에서 눈에 띄지 않게 하려면 비표준 수단을 사용하여 역방향 터널을 구축하고 네트워크의 실제 작동 모드에 최대한 가깝게 적응해야 합니다.

비슷한 것을 찾거나 발명해 봅시다.

무엇이든 발명하기 전에 우리가 달성하고 싶은 결과가 무엇인지, 개발이 수행해야 하는 기능이 무엇인지 이해해야 합니다. 최대 스텔스 모드에서 작업할 수 있도록 터널에 대한 요구 사항은 무엇입니까?

각 경우마다 이러한 요구 사항이 크게 다를 수 있다는 것은 분명하지만 업무 경험을 바탕으로 주요 요구 사항을 확인할 수 있습니다.

• Windows-7-10 OS에서 작동합니다. 대부분의 기업 네트워크는 Windows를 사용하기 때문에;
• 클라이언트는 ips를 사용한 어리석은 청취를 피하기 위해 SSL을 통해 서버에 연결합니다.
• 연결할 때 클라이언트는 인증을 통해 프록시 서버를 통한 작업을 지원해야 합니다. 많은 회사에서는 프록시를 통해 인터넷에 액세스합니다. 실제로 클라이언트 시스템은 이에 대해 아무것도 알지 못할 수도 있으며 프록시는 투명 모드에서 사용됩니다. 하지만 우리는 그러한 기능을 제공해야 합니다.
• 클라이언트 부분은 간결하고 이식 가능해야 합니다.
  고객의 네트워크 내에서 작업하려면 클라이언트 시스템에 OpenVPN을 설치하고 서버에 대한 본격적인 터널을 생성할 수 있습니다(다행히 openvpn 클라이언트는 프록시를 통해 작동할 수 있음). 그러나 첫째, 우리가 로컬 관리자가 아닐 수도 있기 때문에 이것이 항상 작동하는 것은 아니며 둘째, 괜찮은 SIEM 또는 HIPS가 즉시 우리를 "밀고"할 정도로 소음이 너무 많이 발생합니다. 이상적으로 클라이언트는 소위 인라인 명령이어야 합니다. 예를 들어 많은 bash 쉘이 구현되고 명령줄을 통해 시작됩니다(예: 단어 매크로에서 명령을 실행할 때).
• 터널은 다중 스레드로 구성되어야 하며 동시에 많은 연결을 지원해야 합니다.
• 클라이언트-서버 연결에는 특정 주소와 포트로 우리 서버에 오는 모든 사람이 아닌 클라이언트에 대해서만 터널이 설정되도록 일종의 인증이 있어야 합니다. 이상적으로는 원래 도메인과 관련된 고양이 또는 전문 주제가 포함된 랜딩 페이지가 '타사 사용자'를 위해 열려야 합니다.
  예를 들어 고객이 의료 기관인 경우 진료소 직원이 액세스한 리소스, 의약품 페이지, 진단 설명이 포함된 Wikipedia 또는 Komarovsky 박사의 블로그 등을 확인하기로 결정한 정보 보안 관리자의 경우 .열어야 합니다.

기존 도구 분석

자신의 자전거를 재창조하기 전에 기존 자전거를 분석하고 그것이 정말로 필요한지 이해해야 하며 아마도 그러한 기능성 자전거의 필요성에 대해 생각한 사람은 아마도 우리 뿐만이 아닐 것입니다.

인터넷 검색(우리는 일반적으로 Google을 사용하는 것 같습니다)과 Github에서 "역방향 양말"이라는 키워드를 사용하여 검색해도 많은 결과가 나오지 않았습니다. 기본적으로 모든 것은 역방향 포트 포워딩과 이와 연결된 모든 것을 갖춘 SSH 터널을 구축하는 것으로 귀결됩니다. SSH 터널 외에도 다음과 같은 몇 가지 솔루션이 있습니다.

github.com/klsecservices/rpivot
Kaspersky Lab 직원들이 오랫동안 역방향 터널을 구현해 왔습니다. 이름을 보면 이 스크립트의 목적이 무엇인지 분명해집니다. Python 2.7에서 구현된 터널은 일반 텍스트 모드에서 작동합니다(지금 말하는 것이 유행입니다 - hello RKN).

github.com/tonyseek/rsocks
일반 텍스트로 구현된 Python의 또 다른 구현이지만 더 많은 가능성이 있습니다. 모듈로 작성되었으며 솔루션을 프로젝트에 통합하기 위한 API가 있습니다.

github.com/llkat/rsockstun
github.com/mis-team/rsockstun
첫 번째 링크는 Golang의 리버스 삭스 구현의 원본 버전입니다(개발자가 지원하지 않음).
두 번째 링크는 Golang에도 추가 기능이 포함된 개정판입니다. 우리 버전에서는 SSL을 구현하고, NTLM 인증이 있는 프록시를 통해 작업하고, 클라이언트에 대한 인증을 수행하고, 비밀번호가 잘못된 경우 랜딩 페이지(또는 랜딩 페이지로 리디렉션), 다중 스레드 모드(예: 여러 사람 터널과 동시에 작업할 수 있음), 클라이언트에게 핑을 보내 클라이언트가 살아 있는지 여부를 확인하는 시스템입니다.

github.com/jun7th/tsocks
Python에서 "중국 친구"의 리버스 삭스를 구현했습니다. 게으르고 "불멸의" 사람들을 위해 중국인이 조립하여 바로 사용할 수 있는 기성 바이너리(exe)가 있습니다. 여기서는 중국의 신만이 이 바이너리에 주요 기능 외에 무엇이 포함될 수 있는지 알고 있으므로 위험을 감수하고 사용하세요.

github.com/securesocketfunneling/ssf
리버스 삭스 등을 구현하기 위한 C++의 매우 흥미로운 프로젝트입니다. 역방향 터널 외에도 포트 전달, 명령 셸 생성 등을 수행할 수 있습니다.

MSF 미터프리터
여기에는 그들이 말했듯이 댓글이 없습니다. 어느 정도 교육을 받은 해커들은 모두 이 문제에 대해 매우 잘 알고 있으며 보안 도구로 얼마나 쉽게 탐지할 수 있는지 이해하고 있습니다.

위에 설명된 모든 도구는 유사한 기술을 사용하여 작동합니다. 미리 준비된 실행 가능한 바이너리 모듈이 네트워크 내부의 시스템에서 실행되어 외부 서버와의 연결을 설정합니다. 서버는 연결을 수락하고 이를 클라이언트에 전달하는 SOCKS4/5 서버를 실행합니다.

위의 모든 도구의 단점은 클라이언트 컴퓨터에 Python이나 Golang을 설치해야 한다는 것입니다(예를 들어 회사 이사나 직장인의 컴퓨터에 Python이 설치되는 것을 자주 보셨나요?). 바이너리(실제로는 Python)를 이 머신으로 드래그하고 한 병에 있는 스크립트를 실행해야 하며 이미 거기에서 이 바이너리를 실행해야 합니다. exe를 다운로드한 다음 실행하는 것도 로컬 바이러스 백신 또는 HIPS의 서명입니다.

일반적으로 결론은 Powershell 솔루션이 필요하다는 것입니다. 이제 토마토가 우리에게 날아갈 것입니다. 그들은 powershell이 ​​이미 모두 해킹 당했고 모니터링되고 차단되는 등의 작업을 수행한다고 말합니다. 등등. 사실, 모든 곳이 아닙니다. 우리는 책임감 있게 선언합니다. 그건 그렇고, powershell.exe -> cmdd.exe의 어리석은 이름 변경부터 시작하여 powerdll로 끝나는 등 차단을 우회하는 방법이 많이 있습니다 (여기에도 hello RKN에 대한 유행 문구가 있습니다 🙂).

발명을 시작해보자

먼저 Google을 검색해 보면… 이 주제에 대해 아무 것도 찾을 수 없다는 것이 분명합니다(누군가 발견한 경우 댓글에 링크를 게시하세요). 오직 구현 Powershell의 Socks5는 일반적인 "직접"삭스이며 자체 단점이 많이 있습니다 (나중에 설명하겠습니다). 물론 손을 약간만 움직여 반대 방향으로 바꿀 수 있지만 이것은 우리에게 필요한 것이 아닌 단일 스레드 삭스 일뿐입니다.

따라서 우리는 기성품을 찾지 못했기 때문에 여전히 바퀴를 재발명해야 합니다. 우리는 자전거의 기초로 삼을 것입니다 우리의 발전 Golang에서 reverse sox를 ​​실행하고 powershell에서 이를 위한 클라이언트를 구현합니다.

RSocksTun
그렇다면 rsockstun은 어떻게 작동하나요?

RsocksTun(이하 rs)의 작동은 Yamux 및 Socks5 서버라는 두 가지 소프트웨어 구성 요소를 기반으로 합니다. Socks5 서버는 일반 로컬 양말5이며 클라이언트에서 실행됩니다. 그리고 이에 대한 연결의 멀티플렉싱(멀티스레딩에 대해 기억하시나요?)은 yamux(또 다른 멀티플렉서). 이 구성표를 사용하면 여러 개의 클라이언트 양말5 서버를 시작하고 외부 연결을 배포하여 하나의 단일 TCP 연결(미터프리터와 거의 유사)을 통해 클라이언트에서 서버로 전달할 수 있으므로 멀티 스레드 모드를 구현할 수 있습니다. 내부 네트워크에서 완벽하게 작동할 수 있습니다.

yamux 작동 방식의 핵심은 스트림의 추가 네트워크 계층을 도입하여 각 패킷에 대해 12바이트 헤더 형식으로 구현한다는 것입니다. (여기서 독자가 프로그램 스트림 "스레드"와 혼동하지 않도록 의도적으로 스레드 대신 "스트림"이라는 단어를 사용합니다. 이 기사에서도 이 개념을 사용할 것입니다). yamux 헤더에는 스트림 번호, 스트림 설치/종료를 위한 플래그, 전송된 바이트 수 및 전송 창 크기가 포함됩니다.

스트림 설치/종료 외에도 yamux는 설정된 통신 채널의 성능을 모니터링할 수 있는 연결 유지 메커니즘을 구현합니다. Keeplive 메시지 메커니즘의 작동은 Yamux 세션을 생성할 때 구성됩니다. 실제로 설정에는 활성화/비활성화와 패킷 전송 빈도(초)라는 두 가지 매개변수만 있습니다. Keepalive 메시지는 yamux 서버 또는 yamux 클라이언트에서 보낼 수 있습니다. Keepalive 메시지를 받으면 원격 당사자는 수신한 것과 정확히 동일한 메시지 식별자(실제로는 숫자)를 보내 응답해야 합니다. 일반적으로 keepalive는 yamux에 대해서만 동일한 핑입니다.

멀티플렉서의 전체 작동 기술: 패킷 유형, 연결 설정 및 종료 플래그, 데이터 전송 메커니즘에 대해 자세히 설명합니다. 명세서 야묵스로.

첫 번째 부분에 대한 결론

따라서 기사의 첫 번째 부분에서 우리는 역방향 터널을 구성하기 위한 몇 가지 도구에 대해 알아보고 해당 도구의 장점과 단점을 살펴보고 Yamux 멀티플렉서의 작동 메커니즘을 연구하고 새로 생성된 powershell 모듈의 기본 요구 사항을 설명했습니다. 다음 부분에서는 사실상 처음부터 모듈 자체를 개발할 것입니다. 계속됩니다. 전환하지 마세요 :)

출처 : habr.com