आम्ही पॉवरशेलवर रिव्हर्स सॉक्स5 प्रॉक्सी लिहितो. भाग 1

3 भागांमध्ये संशोधन आणि विकासाची कथा. भाग १ शोधात्मक आहे.
अनेक बीच झाडे आहेत - आणखी फायदे.

समस्येची निर्मिती

पेंटेस्ट आणि रेडटीम मोहिमेदरम्यान, ग्राहकाची मानक साधने वापरणे नेहमीच शक्य नसते, जसे की VPN, RDP, Citrix, इ. अंतर्गत नेटवर्कमध्ये प्रवेश करण्यासाठी अँकर म्हणून. काही ठिकाणी, मानक व्हीपीएन एमएफए वापरून कार्य करते आणि हार्डवेअर टोकन दुसरा घटक म्हणून वापरला जातो, इतरांमध्ये त्याचे क्रूरपणे परीक्षण केले जाते आणि आमचे व्हीपीएन लॉगिन लगेच दृश्यमान होते, जसे ते म्हणतात, त्यात समाविष्ट असलेल्या सर्व गोष्टींसह, परंतु इतरांमध्ये असे आहेत. फक्त असे कोणतेही साधन नाही.

अशा परिस्थितीत, आम्हाला सतत तथाकथित "रिव्हर्स टनेल" बनवावे लागतात - अंतर्गत नेटवर्कवरून बाह्य संसाधन किंवा आम्ही नियंत्रित करत असलेल्या सर्व्हरशी कनेक्शन. अशा बोगद्याच्या आत, आम्ही आधीच ग्राहकांच्या अंतर्गत संसाधनांसह कार्य करू शकतो.

या परतीच्या बोगद्यांचे अनेक प्रकार आहेत. त्यापैकी सर्वात प्रसिद्ध, अर्थातच, मीटरप्रिटर आहे. रिव्हर्स पोर्ट फॉरवर्डिंगसह SSH बोगदे देखील हॅकर जनतेमध्ये खूप मागणी आहेत. रिव्हर्स टनेलिंगची अंमलबजावणी करण्यासाठी बरीच साधने आहेत आणि त्यापैकी बर्‍याच गोष्टींचा अभ्यास आणि वर्णन केले आहे.
अर्थात, त्यांच्या भागासाठी, सुरक्षा उपायांचे विकसक बाजूला राहत नाहीत आणि सक्रियपणे अशा क्रिया शोधतात.
उदाहरणार्थ, सिस्को किंवा पॉझिटिव्ह टेकच्या आधुनिक IPS द्वारे MSF सत्रे यशस्वीरित्या शोधली जातात आणि जवळजवळ कोणत्याही सामान्य फायरवॉलद्वारे उलट SSH बोगदा शोधला जाऊ शकतो.

त्यामुळे, चांगल्या RedTeam मोहिमेमध्ये कोणाचेच लक्ष न ठेवण्यासाठी, आम्हाला नॉन-स्टँडर्ड माध्यमांचा वापर करून उलटा बोगदा तयार करणे आणि नेटवर्कच्या वास्तविक ऑपरेटिंग मोडशी शक्य तितक्या जवळून जुळवून घेणे आवश्यक आहे.

चला असे काहीतरी शोधण्याचा किंवा शोधण्याचा प्रयत्न करूया.

कोणत्याही गोष्टीचा शोध लावण्यापूर्वी, आपल्याला कोणता परिणाम मिळवायचा आहे, आपल्या विकासासाठी कोणती कार्ये पार पाडायची आहेत हे समजून घेणे आवश्यक आहे. बोगद्यासाठी काय आवश्यकता असेल जेणेकरून आम्ही जास्तीत जास्त स्टेल्थ मोडमध्ये काम करू शकू?

हे स्पष्ट आहे की प्रत्येक बाबतीत अशा आवश्यकता मोठ्या प्रमाणात भिन्न असू शकतात, परंतु कामाच्या अनुभवावर आधारित, मुख्य ओळखले जाऊ शकतात:

• Windows-7-10 OS वर कार्य करा. बहुतेक कॉर्पोरेट नेटवर्क विंडोज वापरत असल्याने;
• ips वापरून मूर्ख ऐकणे टाळण्यासाठी क्लायंट SSL द्वारे सर्व्हरशी कनेक्ट होतो;
• कनेक्ट करताना, क्लायंटने अधिकृततेसह प्रॉक्सी सर्व्हरद्वारे कामाचे समर्थन केले पाहिजे, कारण अनेक कंपन्यांमध्ये, प्रॉक्सीद्वारे इंटरनेटवर प्रवेश होतो. खरं तर, क्लायंट मशीनला याबद्दल काहीही माहिती नसू शकते आणि प्रॉक्सी पारदर्शक मोडमध्ये वापरली जाते. परंतु आपण अशी कार्यक्षमता प्रदान केली पाहिजे;
• क्लायंटचा भाग संक्षिप्त आणि पोर्टेबल असावा;
  हे स्पष्ट आहे की ग्राहकाच्या नेटवर्कमध्ये काम करण्यासाठी, तुम्ही क्लायंट मशीनवर ओपनव्हीपीएन स्थापित करू शकता आणि तुमच्या सर्व्हरवर एक पूर्ण वाढ झालेला बोगदा तयार करू शकता (सुदैवाने, ओपनव्हीपीएन क्लायंट प्रॉक्सीद्वारे कार्य करू शकतात). परंतु, प्रथम, हे नेहमीच कार्य करणार नाही, कारण आम्ही तेथे स्थानिक प्रशासक नसू शकतो आणि दुसरे म्हणजे, ते इतका आवाज काढेल की सभ्य SIEM किंवा HIPS आम्हाला त्वरित "स्निच" करेल. तद्वतच, आमचा क्लायंट तथाकथित इनलाइन कमांड असावा, उदाहरणार्थ अनेक बॅश शेल लागू केले जातात, आणि कमांड लाइनद्वारे लॉन्च केले जातात, उदाहरणार्थ, मॅक्रो शब्दावरून कमांड कार्यान्वित करताना.
• आमचा बोगदा बहु-थ्रेडेड असणे आवश्यक आहे आणि एकाच वेळी अनेक कनेक्शनला समर्थन देणे आवश्यक आहे;
• क्लायंट-सर्व्हर कनेक्शनला काही प्रकारचे अधिकृतता असणे आवश्यक आहे जेणेकरून बोगदा केवळ आमच्या क्लायंटसाठी स्थापित केला जाईल, आणि निर्दिष्ट पत्त्यावर आणि पोर्टवर आमच्या सर्व्हरवर येणाऱ्या प्रत्येकासाठी नाही. आदर्शपणे, मूळ डोमेनशी संबंधित मांजरी किंवा व्यावसायिक विषय असलेले लँडिंग पृष्ठ "तृतीय-पक्ष वापरकर्त्यांसाठी" उघडले पाहिजे.
  उदाहरणार्थ, जर ग्राहक वैद्यकीय संस्था असेल, तर क्लिनिकच्या कर्मचार्‍याने अॅक्सेस केलेले संसाधन तपासण्याचा निर्णय घेणार्‍या माहिती सुरक्षा प्रशासकासाठी, फार्मास्युटिकल उत्पादनांसह पृष्ठ, निदानाचे वर्णन असलेले विकिपीडिया किंवा डॉ. कोमारोव्स्की यांचा ब्लॉग इ. उघडले पाहिजे.

विद्यमान साधनांचे विश्लेषण

तुमची स्वतःची सायकल पुन्हा शोधण्याआधी, तुम्हाला सध्याच्या सायकलींचे विश्लेषण करणे आवश्यक आहे आणि आम्हाला याची खरोखर गरज आहे का हे समजून घेणे आवश्यक आहे आणि बहुधा, अशा कार्यक्षम सायकलच्या गरजेबद्दल विचार करणारे आम्ही एकमेव नाही.

इंटरनेटवर गुगलिंग (आम्ही साधारणपणे गुगल करतो असे दिसते), तसेच "रिव्हर्स सॉक्स" कीवर्ड वापरून गिथबवर शोधल्याने बरेच परिणाम मिळाले नाहीत. मुळात, हे सर्व रिव्हर्स पोर्ट फॉरवर्डिंगसह ssh बोगदे तयार करण्यासाठी आणि त्याच्याशी जोडलेल्या सर्व गोष्टींवर येते. SSH बोगदे व्यतिरिक्त, अनेक उपाय आहेत:

github.com/klsecservices/rpivot
कॅस्परस्की लॅबमधील मुलांकडून रिव्हर्स टनेलची दीर्घकालीन अंमलबजावणी. ही लिपी कशासाठी आहे हे नाव स्पष्ट करते. पायथन 2.7 मध्ये लागू केलेला, बोगदा क्लिअरटेक्स्ट मोडमध्ये चालतो (आता म्हणायचे फॅशनेबल आहे - हॅलो आरकेएन)

github.com/tonyseek/rsocks
पायथनमधील आणखी एक अंमलबजावणी, स्पष्ट मजकूरात, परंतु अधिक शक्यतांसह. हे मॉड्यूल म्हणून लिहिलेले आहे आणि आपल्या प्रकल्पांमध्ये समाधान समाकलित करण्यासाठी API आहे.

github.com/llkat/rsockstun
github.com/mis-team/rsockstun
पहिला दुवा गोलंग मधील रिव्हर्स सॉक्स अंमलबजावणीची मूळ आवृत्ती आहे (विकासकाद्वारे समर्थित नाही).
दुसरा दुवा म्हणजे गोलांगमध्ये देखील अतिरिक्त वैशिष्ट्यांसह आमची पुनरावृत्ती. आमच्या आवृत्तीमध्ये, आम्ही एसएसएल लागू केले, NTLM अधिकृततेसह प्रॉक्सीद्वारे कार्य केले, क्लायंटवर अधिकृतता, चुकीच्या संकेतशब्दाच्या बाबतीत लँडिंग पृष्ठ (किंवा त्याऐवजी, लँडिंग पृष्ठावर पुनर्निर्देशन), मल्टी-थ्रेडेड मोड (म्हणजे अनेक लोक. एकाच वेळी बोगद्यासह कार्य करू शकते), तो जिवंत आहे की नाही हे निर्धारित करण्यासाठी क्लायंटला पिंग करण्याची प्रणाली.

github.com/jun7th/tsocks
पायथनमधील आमच्या “चायनीज मित्र” कडून रिव्हर्स सॉक्सची अंमलबजावणी. तेथे, आळशी आणि "अमर" साठी, एक तयार बायनरी (exe) आहे, जी चिनी लोकांनी एकत्र केली आहे आणि वापरण्यासाठी तयार आहे. येथे, मुख्य कार्यक्षमतेशिवाय या बायनरीमध्ये आणखी काय असू शकते हे केवळ चिनी देवालाच ठाऊक आहे, म्हणून आपल्या स्वतःच्या जोखमीवर आणि जोखमीवर वापरा.

github.com/securesocketfunneling/ssf
रिव्हर्स सॉक्स आणि बरेच काही लागू करण्यासाठी C++ मध्ये एक मनोरंजक प्रकल्प. रिव्हर्स टनल व्यतिरिक्त, ते पोर्ट फॉरवर्डिंग, कमांड शेल तयार करू शकते इ.

एमएसएफ मीटरप्रिटर
येथे, जसे ते म्हणतात, कोणत्याही टिप्पण्या नाहीत. सर्व कमी-अधिक शिक्षित हॅकर्स या गोष्टीशी परिचित आहेत आणि ते सुरक्षितता साधनांद्वारे किती सहजपणे शोधले जाऊ शकतात हे समजतात.

वर वर्णन केलेली सर्व साधने समान तंत्रज्ञानाचा वापर करून कार्य करतात: नेटवर्कमधील मशीनवर पूर्व-तयार एक्झिक्यूटेबल बायनरी मॉड्यूल लॉन्च केले जाते, जे बाह्य सर्व्हरशी कनेक्शन स्थापित करते. सर्व्हर SOCKS4/5 सर्व्हर चालवतो जो कनेक्शन स्वीकारतो आणि क्लायंटला रिले करतो.

वरील सर्व साधनांचा तोटा असा आहे की क्लायंट मशीनवर पायथन किंवा गोलांग स्थापित करणे आवश्यक आहे (उदाहरणार्थ, कंपनी संचालक किंवा कार्यालयातील कामगारांच्या मशीनवर पायथन स्थापित केलेले आपण अनेकदा पाहिले आहे का?), किंवा पूर्व-असेम्बल केलेले बायनरी (खरेतर अजगर) या मशीनवर ड्रॅग करणे आवश्यक आहे आणि एका बाटलीमध्ये स्क्रिप्ट) आणि ही बायनरी आधीच तेथे चालवा. आणि exe डाउनलोड करणे आणि नंतर ते लॉन्च करणे हे देखील स्थानिक अँटीव्हायरस किंवा HIPS साठी स्वाक्षरी आहे.

सर्वसाधारणपणे, निष्कर्ष स्वतःच सूचित करतो - आम्हाला पॉवरशेल सोल्यूशनची आवश्यकता आहे. आता टोमॅटो आमच्याकडे उडतील - ते म्हणतात की पॉवरशेल आधीच सर्व हॅकनीड आहे, त्याचे निरीक्षण केले आहे, अवरोधित केले आहे इ. आणि असेच. खरं तर, सर्वत्र नाही. आम्ही जबाबदारीने जाहीर करतो. तसे, ब्लॉकिंगला बायपास करण्याचे बरेच मार्ग आहेत (येथे हॅलो RKN बद्दल एक फॅशनेबल वाक्यांश आहे 🙂), powershell.exe -> cmdd.exe च्या मूर्खपणाच्या पुनर्नामितीपासून सुरू होऊन आणि powerdll ने समाप्त होणे इ.

चला शोध सुरू करूया

हे स्पष्ट आहे की प्रथम आम्ही Google वर पाहू आणि… आम्हाला या विषयावर काहीही सापडणार नाही (जर कोणाला ते सापडले असेल तर, टिप्पण्यांमध्ये लिंक पोस्ट करा). फक्त आहे अंमलबजावणी पॉवरशेलवर सॉक्स 5, परंतु हे एक सामान्य "डायरेक्ट" सॉक्स आहे, ज्याचे स्वतःचे अनेक तोटे आहेत (आम्ही त्यांच्याबद्दल नंतर बोलू). आपण, अर्थातच, आपल्या हाताच्या किंचित हालचालीसह, त्यास उलट मध्ये बदलू शकता, परंतु हे केवळ एकल-थ्रेडेड सॉक्स असेल, जे आपल्यासाठी आवश्यक नाही.

तर, आम्हाला काही रेडीमेड सापडले नाही, त्यामुळे आम्हाला अजूनही आमचे चाक पुन्हा शोधून काढावे लागेल. आम्ही आमच्या सायकलचा आधार घेऊ आमचा विकास गोलंगमध्ये रिव्हर्स सॉक्स आणि आम्ही पॉवरशेलमध्ये क्लायंट लागू करतो.

RSocksTun
मग rsockstun कसे कार्य करते?

RsocksTun चे ऑपरेशन (यापुढे rs म्हणून संदर्भित) दोन सॉफ्टवेअर घटकांवर आधारित आहे - Yamux आणि Socks5 सर्व्हर. सॉक्स5 सर्व्हर हा नियमित स्थानिक सॉक्स5 आहे, तो क्लायंटवर चालतो. आणि त्याच्याशी जोडण्यांचे मल्टीप्लेक्सिंग (मल्टीथ्रेडिंगबद्दल लक्षात ठेवा?) yamux (अजून एक मल्टिप्लेक्सर). ही योजना तुम्हाला अनेक क्लायंट सॉक्स5 सर्व्हर लाँच करण्याची आणि त्यांना बाह्य कनेक्शन वितरीत करण्याची परवानगी देते, त्यांना क्लायंटपासून सर्व्हरवर एकाच टीसीपी कनेक्शनद्वारे (जवळजवळ मीटरप्रीटर प्रमाणे) फॉरवर्ड करते, त्याद्वारे मल्टी-थ्रेडेड मोड लागू करते, ज्याशिवाय आम्ही सहज करू शकत नाही. अंतर्गत नेटवर्कमध्ये पूर्णपणे कार्य करण्यास सक्षम.

yamux कसे कार्य करते याचे सार हे आहे की ते प्रत्येक पॅकेटसाठी 12-बाइट शीर्षलेखाच्या स्वरूपात स्ट्रीमचा अतिरिक्त नेटवर्क स्तर सादर करते. (येथे आम्ही मुद्दाम थ्रेड ऐवजी “स्ट्रीम” हा शब्द वापरतो, जेणेकरुन वाचकांना प्रोग्राम स्ट्रीम “थ्रेड” सह गोंधळात टाकू नये - आम्ही या लेखात ही संकल्पना देखील वापरू). yamux शीर्षलेखामध्ये प्रवाह क्रमांक, प्रवाह स्थापित/समाप्त करण्यासाठी ध्वज, हस्तांतरित केलेल्या बाइट्सची संख्या आणि हस्तांतरण विंडोचा आकार असतो.

प्रवाह स्थापित/समाप्त करण्याव्यतिरिक्त, yamux एक कायमस्वरूपी यंत्रणा कार्यान्वित करते जी तुम्हाला स्थापित संप्रेषण चॅनेलच्या कार्यक्षमतेचे निरीक्षण करण्यास अनुमती देते. Yamux सत्र तयार करताना Keeplive संदेश यंत्रणेचे ऑपरेशन कॉन्फिगर केले जाते. वास्तविक, सेटिंग्जमध्ये फक्त दोन पॅरामीटर्स आहेत: सक्षम/अक्षम करा आणि काही सेकंदात पॅकेट पाठवण्याची वारंवारता. Keepalive संदेश yamux सर्व्हर किंवा yamux क्लायंटद्वारे पाठवले जाऊ शकतात. कायमस्वरूपी संदेश प्राप्त करताना, दूरस्थ पक्षाने त्याला प्राप्त केलेला संदेश अभिज्ञापक (खरेतर एक नंबर) पाठवून प्रतिसाद देणे आवश्यक आहे. सर्वसाधारणपणे, Keepalive समान पिंग आहे, फक्त yamux साठी.

मल्टिप्लेक्सरचे संपूर्ण ऑपरेटिंग तंत्र: पॅकेट प्रकार, कनेक्शन सेटअप आणि टर्मिनेशन फ्लॅग्ज आणि डेटा ट्रान्सफर मेकॅनिझमचे तपशीलवार वर्णन केले आहे. तपशील yamux ला.

पहिल्या भागाचा निष्कर्ष

तर, लेखाच्या पहिल्या भागात, आम्ही उलट बोगदे आयोजित करण्यासाठी काही साधनांशी परिचित झालो, त्यांचे फायदे आणि तोटे पाहिले, यामक्स मल्टिप्लेक्सरच्या ऑपरेशनच्या यंत्रणेचा अभ्यास केला आणि नव्याने तयार केलेल्या पॉवरशेल मॉड्यूलसाठी मूलभूत आवश्यकतांचे वर्णन केले. पुढच्या भागात आपण मॉड्युल स्वतःच विकसित करू, प्रत्यक्षपणे सुरवातीपासून. पुढे चालू. स्विच करू नका :)

स्त्रोत: www.habr.com