पावरशेलमा रिभर्स मोजा ५ प्रोक्सी लेख्दै। भाग १

३ भागमा अनुसन्धान र विकासको कथा। भाग १ अन्वेषणात्मक छ।
त्यहाँ धेरै बिच रूखहरू छन् - अझ बढी फाइदाहरू।

समस्याको गठन

पेन्टेस्ट र RedTeam अभियानहरूमा, यो सधैं ग्राहकको मानक उपकरणहरू प्रयोग गर्न सम्भव छैन, जस्तै VPN, RDP, Citrix, आदि। आन्तरिक नेटवर्कमा प्रवेश गर्नको लागि लंगरको रूपमा। केहि स्थानहरूमा, मानक VPN ले MFA प्रयोग गरेर काम गर्दछ र एक हार्डवेयर टोकन दोस्रो कारकको रूपमा प्रयोग गरिन्छ, अरूमा यो क्रूर रूपमा अनुगमन गरिन्छ र हाम्रो VPN लगइन तुरुन्तै देखिने हुन्छ, तिनीहरू भन्छन्, यसमा समावेश भएका सबैसँग, तर अरूमा त्यहाँ छन्। केवल त्यस्तो कुनै माध्यम छैन।

यस्तो अवस्थामा, हामीले निरन्तर तथाकथित "रिभर्स टनेल" बनाउनु पर्छ - आन्तरिक नेटवर्कबाट बाह्य स्रोत वा हामीले नियन्त्रण गर्ने सर्भरमा जडानहरू। यस्तो सुरुङ भित्र, हामी पहिले नै ग्राहकहरु को आन्तरिक स्रोतहरु संग काम गर्न सक्छौं।

यी फिर्ती सुरुङहरूका धेरै प्रकारहरू छन्। तिनीहरूमध्ये सबैभन्दा प्रसिद्ध, निस्सन्देह, मीटरप्रिटर हो। रिभर्स पोर्ट फर्वार्डिङको साथ SSH टनेलहरू पनि ह्याकर जनताको बीचमा ठूलो मागमा छन्। रिभर्स टनेलिङ लागू गर्नका लागि त्यहाँ धेरै माध्यमहरू छन् र तिनीहरूमध्ये धेरै राम्ररी अध्ययन र वर्णन गरिएका छन्।
निस्सन्देह, तिनीहरूको भागको लागि, सुरक्षा समाधानहरूको विकासकर्ताहरू एकै ठाउँमा खडा हुँदैनन् र सक्रिय रूपमा त्यस्ता कार्यहरू पत्ता लगाउँछन्।
उदाहरणका लागि, सिस्को वा पोजिटिभ टेकबाट आधुनिक IPS द्वारा MSF सत्रहरू सफलतापूर्वक पत्ता लगाइन्छ, र लगभग कुनै पनि सामान्य फायरवालद्वारा रिभर्स SSH टनेल पत्ता लगाउन सकिन्छ।

तसर्थ, राम्रो RedTeam अभियानमा ध्यान नदिनको लागि, हामीले गैर-मानक माध्यमहरू प्रयोग गरेर रिभर्स टनेल निर्माण गर्नुपर्छ र नेटवर्कको वास्तविक अपरेटिङ मोडमा सकेसम्म नजिकबाट अनुकूलन गर्नुपर्छ।

यस्तै केहि खोज्ने वा आविष्कार गर्ने प्रयास गरौं।

कुनै पनि कुराको आविष्कार गर्नु अघि, हामीले के नतिजा हासिल गर्न चाहन्छौं, हाम्रो विकासले के कार्यहरू गर्नुपर्दछ भन्ने कुरा बुझ्नुपर्छ। टनेलका लागि के आवश्यकताहरू हुनेछन् ताकि हामी अधिकतम स्टेल्थ मोडमा काम गर्न सक्छौं?

यो स्पष्ट छ कि प्रत्येक केसको लागि त्यस्ता आवश्यकताहरू धेरै फरक हुन सक्छन्, तर कार्य अनुभवको आधारमा, मुख्य व्यक्तिहरूलाई पहिचान गर्न सकिन्छ:

• Windows-7-10 OS मा काम गर्नुहुन्छ। अधिकांश कर्पोरेट नेटवर्कहरूले विन्डोज प्रयोग गर्ने भएकोले;
• ग्राहकले Ips प्रयोग गरेर मूर्ख सुन्नबाट बच्न SSL मार्फत सर्भरमा जडान गर्दछ;
• जडान गर्दा, ग्राहकले प्राधिकरणको साथ प्रोक्सी सर्भर मार्फत कामलाई समर्थन गर्नुपर्छ, किनभने धेरै कम्पनीहरूमा, इन्टरनेटमा पहुँच प्रोक्सी मार्फत हुन्छ। वास्तवमा, क्लाइन्ट मेसिनलाई यसको बारेमा केहि पनि थाहा नहुन सक्छ, र प्रोक्सी पारदर्शी मोडमा प्रयोग गरिन्छ। तर हामीले यस्तो कार्यक्षमता प्रदान गर्नुपर्छ;
• ग्राहक भाग संक्षिप्त र पोर्टेबल हुनुपर्छ;
  यो स्पष्ट छ कि ग्राहकको सञ्जाल भित्र काम गर्न, तपाइँ क्लाइन्ट मेसिनमा OpenVPN स्थापना गर्न सक्नुहुन्छ र तपाइँको सर्भरमा एक पूर्ण टनेल सिर्जना गर्न सक्नुहुन्छ (भाग्यवश, openvpn ग्राहकहरूले प्रोक्सी मार्फत काम गर्न सक्छन्)। तर, पहिलो, यसले सधैं काम गर्दैन, किनकि हामी त्यहाँ स्थानीय प्रशासकहरू नहुन सक्छौं, र दोस्रो, यसले यति धेरै शोर मचाउनेछ कि एक सभ्य SIEM वा HIPS ले तुरुन्तै हामीलाई "स्निच" गर्नेछ। आदर्श रूपमा, हाम्रो क्लाइन्ट एक तथाकथित इनलाइन कमाण्ड हुनुपर्छ, उदाहरणका लागि धेरै bash शेलहरू लागू गरिन्छ, र कमाण्ड लाइन मार्फत सुरू गरिन्छ, उदाहरणका लागि, शब्द म्याक्रोबाट आदेशहरू कार्यान्वयन गर्दा।
• हाम्रो सुरुङ बहु-थ्रेडेड हुनुपर्छ र एकै साथ धेरै जडानहरू समर्थन गर्दछ;
• क्लाइन्ट-सर्भर जडानसँग कुनै प्रकारको प्राधिकरण हुनुपर्दछ ताकि सुरुङ हाम्रो ग्राहकको लागि मात्र स्थापित हुन्छ, र निर्दिष्ट ठेगाना र पोर्टमा हाम्रो सर्भरमा आउने सबैको लागि होइन। आदर्श रूपमा, मूल डोमेनसँग सम्बन्धित बिरालाहरू वा व्यावसायिक विषयहरू भएको ल्यान्डिङ पृष्ठ "तेस्रो-पक्ष प्रयोगकर्ताहरू" को लागि खोल्नु पर्छ।
  उदाहरणका लागि, यदि ग्राहक एक चिकित्सा संस्था हो भने, क्लिनिक कर्मचारीले पहुँच गरेको स्रोत जाँच गर्ने निर्णय गर्ने सूचना सुरक्षा प्रशासकको लागि, औषधि उत्पादनहरू भएको पृष्ठ, निदानको विवरणसहितको विकिपिडिया, वा डा. कोमारोव्स्कीको ब्लग, आदि। खोल्नु पर्छ।

अवस्थित उपकरणहरूको विश्लेषण

आफ्नो साइकल पुन: आविष्कार गर्नु अघि, तपाईंले अवस्थित साइकलहरूको विश्लेषण गर्न आवश्यक छ र हामीलाई वास्तवमै यसको आवश्यकता छ कि छैन भनेर बुझ्न आवश्यक छ र, सम्भवतः, हामी मात्र होइनौं जसले यस्तो कार्यात्मक साइकलको आवश्यकता बारे सोचेका छौं।

इन्टरनेटमा गुगलिङ (हामी सामान्यतया गुगल जस्तो देखिन्छ), साथै "रिभर्स मोजा" शब्दहरू प्रयोग गरेर Github मा खोजी गर्दा धेरै परिणामहरू आएन। सामान्यतया, यो सबै रिभर्स पोर्ट फर्वार्डिङ र यससँग जोडिएको सबै कुराको साथ ssh टनेलहरू निर्माण गर्न तल आउँछ। SSH टनेलहरूको अतिरिक्त, त्यहाँ धेरै समाधानहरू छन्:

github.com/klsecservices/rpivot
Kaspersky Lab मा केटाहरूबाट रिभर्स टनेलको लामो समयदेखि कार्यान्वयन। नामले यो लिपिको उद्देश्य के हो भनेर स्पष्ट पार्छ। Python 2.7 मा लागू गरिएको, टनेल क्लियरटेक्स्ट मोडमा सञ्चालन हुन्छ (जस्तै यो अहिले भन्न फेसन हो - hello RKN)

github.com/tonyseek/rsocks
पाइथनमा अर्को कार्यान्वयन, स्पष्ट पाठमा पनि, तर थप सम्भावनाहरूसँग। यो मोड्युलको रूपमा लेखिएको छ र तपाइँको परियोजनाहरूमा समाधान एकीकृत गर्नको लागि API छ।

github.com/llkat/rsockstun
github.com/mis-team/rsockstun
पहिलो लिङ्क Golang मा रिभर्स sox कार्यान्वयन को मूल संस्करण हो (विकासकर्ता द्वारा समर्थित छैन)।
दोस्रो लिङ्क थप सुविधाहरूको साथ हाम्रो संशोधन हो, Golang मा पनि। हाम्रो संस्करणमा, हामीले SSL लागू गर्यौं, NTLM प्राधिकरणको साथ प्रोक्सी मार्फत काम, क्लाइन्टमा प्राधिकरण, गलत पासवर्डको अवस्थामा ल्यान्डिङ पृष्ठ (वा बरु, ल्यान्डिङ पृष्ठमा रिडिरेक्ट), बहु-थ्रेडेड मोड (अर्थात धेरै मानिसहरू। एकै समयमा सुरुङसँग काम गर्न सक्छ) , ग्राहकलाई पिङ गर्ने प्रणाली जुन ऊ जीवित छ वा छैन भनेर निर्धारण गर्न।

github.com/jun7th/tsocks
पाइथनमा हाम्रा "चिनियाँ साथीहरू" बाट रिभर्स सोक्सको कार्यान्वयन। त्यहाँ, अल्छी र "अमर" को लागि, त्यहाँ चिनियाँहरू द्वारा भेला गरिएको र प्रयोगको लागि तयार एक तयार-बनाई बाइनरी (exe) छ। यहाँ, केवल चिनियाँ भगवानलाई थाहा छ यो बाइनरीमा मुख्य कार्यक्षमता बाहेक अरू के हुन सक्छ, त्यसैले आफ्नै जोखिम र जोखिममा प्रयोग गर्नुहोस्।

github.com/securesocketfunneling/ssf
रिभर्स सोक्स र अधिक लागू गर्नको लागि C++ मा एकदमै रोचक परियोजना। रिभर्स टनेलको अतिरिक्त, यसले पोर्ट फर्वार्डिङ, कमाण्ड शेल, आदि बनाउन सक्छ।

MSF मिटरप्रिटर
यहाँ, तिनीहरू भन्छन्, कुनै टिप्पणी छैन। सबै भन्दा कम वा कम शिक्षित ह्याकरहरू यस कुरासँग धेरै परिचित छन् र सुरक्षा उपकरणहरू द्वारा यसलाई कत्ति सजिलै पत्ता लगाउन सकिन्छ भनेर बुझ्दछन्।

माथि वर्णन गरिएका सबै उपकरणहरूले समान प्रविधि प्रयोग गरेर काम गर्दछ: नेटवर्क भित्रको मेसिनमा पूर्व-तयार गरिएको कार्यान्वयनयोग्य बाइनरी मोड्युल सुरु गरिएको छ, जसले बाह्य सर्भरसँग जडान स्थापित गर्दछ। सर्भरले SOCKS4/5 सर्भर चलाउँछ जसले जडानहरू स्वीकार गर्छ र तिनीहरूलाई क्लाइन्टमा रिले गर्छ।

माथिका सबै उपकरणहरूको बेफाइदा यो हो कि ग्राहक मेसिनमा पाइथन वा गोलाङ्ग स्थापना हुनुपर्छ (के तपाईंले प्राय: पाइथनलाई मेसिनमा स्थापना गरेको देख्नुभएको छ, उदाहरणका लागि, कम्पनी निर्देशक वा कार्यालयका कर्मचारीहरू?), वा पूर्व-एकत्रित। बाइनरी (वास्तवमा पाइथन) लाई यस मेसिनमा तान्नु पर्छ र एउटै बोतलमा लिपि) र यो बाइनरी पहिले नै त्यहाँ चलाउनुहोस्। र एक exe डाउनलोड र त्यसपछि यो एक स्थानीय एन्टिभाइरस वा HIPS को लागी एक हस्ताक्षर पनि हो।

सामान्यतया, निष्कर्षले आफैलाई सुझाव दिन्छ - हामीलाई पावरशेल समाधान चाहिन्छ। अब टमाटरहरू हामीतिर उड्नेछन् - तिनीहरू भन्छन् कि पावरशेल पहिले नै सबै ह्याकनी गरिएको छ, यो निगरानी गरिएको छ, रोकिएको छ, आदि। र यस्तै। वास्तवमा, सबै ठाउँमा छैन। हामी जिम्मेवारीपूर्वक घोषणा गर्छौं। वैसे, त्यहाँ ब्लकिङलाई बाइपास गर्ने धेरै तरिकाहरू छन् (यहाँ फेरि hello RKN 🙂 को बारे मा एक फैशनेबल वाक्यांश छ), powershell.exe -> cmdd.exe को बेवकूफ पुनर्नामाकरण देखि सुरु गरी powerdll, आदि संग समाप्त हुन्छ।

आविष्कार सुरु गरौं

यो स्पष्ट छ कि पहिले हामी Google मा हेर्नेछौं र... हामीले यस विषयमा केहि फेला पार्ने छैनौं (यदि कसैले फेला पारेको छ भने, टिप्पणीहरूमा लिङ्क पोस्ट गर्नुहोस्)। त्यहाँ मात्र छ कार्यान्वयन Powershell मा Socks5, तर यो एक सामान्य "प्रत्यक्ष" sox हो, जसको आफ्नै बेफाइदाहरू छन् (हामी तिनीहरूको बारेमा पछि कुरा गर्नेछौं)। तपाईं पक्कै पनि, आफ्नो हातको एक सानो चाल संग, यसलाई उल्टो एक मा परिणत गर्न सक्नुहुन्छ, तर यो केवल एकल-थ्रेडेड सोक्स हुनेछ, जुन हाम्रो लागि चाहिने कुरा होइन।

त्यसोभए, हामीले कुनै पनि तयारी फेला पारेका छैनौं, त्यसैले हामीले अझै पनि हाम्रो पाङ्ग्रालाई पुन: आविष्कार गर्नुपर्नेछ। हामी हाम्रो साइकलको लागि आधारको रूपमा लिनेछौं हाम्रो विकास Golang मा रिभर्स sox, र हामी Powershell मा यसको लागि एक ग्राहक लागू गर्छौं।

RSocksTun
त्यसोभए कसरी rsockstun काम गर्छ?

RsocksTun को सञ्चालन (यहाँ पछि rs को रूपमा उल्लेख गरिएको छ) दुई सफ्टवेयर कम्पोनेन्टहरूमा आधारित छ - Yamux र Socks5 सर्भर। Socks5 सर्भर एक नियमित स्थानीय socks5 हो, यो ग्राहक मा चल्छ। र यसमा जडानहरूको मल्टिप्लेक्सिङ (मल्टीथ्रेडिङको बारेमा सम्झनुहोस्?) yamux (अर्को मल्टिप्लेक्सर)। यो योजनाले तपाईंलाई धेरै ग्राहक मोजा ५ सर्भरहरू सुरु गर्न र तिनीहरूलाई बाह्य जडानहरू वितरण गर्न अनुमति दिन्छ, तिनीहरूलाई एकल TCP जडान (लगभग मिटरप्रिटरमा जस्तै) मार्फत क्लाइन्टबाट सर्भरमा फर्वार्ड गर्दै, यसरी बहु-थ्रेडेड मोड लागू गर्दछ, जसको बिना हामी सजिलै हुनेछैनौं। आन्तरिक नेटवर्कहरूमा पूर्ण रूपमा काम गर्न सक्षम।

yamux ले कसरी काम गर्छ भन्ने सार यो हो कि यसले प्रत्येक प्याकेटको लागि 12-बाइट हेडरको रूपमा कार्यान्वयन गर्दै स्ट्रिमहरूको अतिरिक्त नेटवर्क तह परिचय गराउँछ। (यहाँ हामीले जानाजानी थ्रेडको सट्टा "स्ट्रिम" शब्द प्रयोग गर्दछौं, ताकि पाठकलाई प्रोग्राम स्ट्रिम "थ्रेड" सँग भ्रमित नहोस् - हामी यस लेखमा यो अवधारणा पनि प्रयोग गर्नेछौं)। yamux हेडरले स्ट्रिम नम्बर, स्ट्रिम स्थापना/समाप्त गर्नका लागि झण्डाहरू, स्थानान्तरण गरिएका बाइटहरूको सङ्ख्या, र स्थानान्तरण सञ्झ्यालको आकार समावेश गर्दछ।

स्ट्रिम स्थापना/समाप्त गर्नुको अतिरिक्त, yamux ले एक Keepalive संयन्त्र लागू गर्दछ जसले तपाईंलाई स्थापित सञ्चार च्यानलको कार्यसम्पादन निगरानी गर्न अनुमति दिन्छ। Yamux सत्र सिर्जना गर्दा Keeplive सन्देश संयन्त्रको सञ्चालन कन्फिगर गरिएको छ। वास्तवमा, सेटिङहरूमा त्यहाँ केवल दुई प्यारामिटरहरू छन्: सक्षम / असक्षम र सेकेन्डमा प्याकेट पठाउने आवृत्ति। Keepalive सन्देशहरू yamux सर्भर वा yamux ग्राहक द्वारा पठाउन सकिन्छ। Keepalive सन्देश प्राप्त गर्दा, रिमोट पार्टीले ठ्याक्कै उही सन्देश पहिचानकर्ता (वास्तवमा एउटा नम्बर) पठाएर प्रतिक्रिया दिनुपर्छ। सामान्यतया, Keepalive एउटै पिंग हो, केवल yamux को लागी।

मल्टिप्लेक्सरको सम्पूर्ण सञ्चालन प्रविधि: प्याकेट प्रकारहरू, जडान सेटअप र समाप्ति झण्डाहरू, र डाटा ट्रान्सफर मेकानिज्मलाई विस्तृत रूपमा वर्णन गरिएको छ। विशिष्टताहरु yamux लाई।

पहिलो भागको निष्कर्ष

त्यसोभए, लेखको पहिलो भागमा, हामीले रिभर्स टनेलहरू व्यवस्थित गर्नका लागि केही उपकरणहरूसँग परिचित भयौं, तिनीहरूको फाइदा र बेफाइदाहरू हेर्यौं, यामक्स मल्टिप्लेक्सरको सञ्चालनको संयन्त्रको अध्ययन गर्‍यौं र नयाँ निर्मित पावरशेल मोड्युलका लागि आधारभूत आवश्यकताहरू वर्णन गर्यौं। अर्को भागमा हामी मोड्युल आफैं विकास गर्नेछौं, व्यावहारिक रूपमा स्क्र्याचबाट। फेरि जारी राखौंला। स्विच नगर्नुहोस् :)

स्रोत: www.habr.com