【神兵利器 | 文末抽奖】分享个CobaltStrike插件 Bypass防护添加用户(附下载)

admin 2022年7月19日20:17:26评论117 views字数 2184阅读7分16秒阅读模式
项目地址:
https://github.com/crisprss/BypassUserAdd

抽奖方式在文末

抽奖方式在文末

抽奖方式在文末

0x01 简介

通过反射DLL注入、Win API、C#、以及底层实现NetUserAdd方式实现BypassAV进行增加用户的功能,实现Cobalt Strike插件化


注:这个项目中有的添加用户方式可能在一些系统上无法使用,最好去测试一下,也可以自己去加些能够绕过防护的其他添加用户方式。


0x02 使用

结合cna使用,直接load cna然后选对应的UserAdd方式即可,可自定义用户名和密码。(我自己加了两种

【神兵利器 | 文末抽奖】分享个CobaltStrike插件 Bypass防护添加用户(附下载)
【神兵利器 | 文末抽奖】分享个CobaltStrike插件 Bypass防护添加用户(附下载)


注:测试这个项目时发现的一个问题,360也会拦删除用户行为,但如果我们的用户名中带有-时再去删除就不会拦了,也不会拦截Guest来宾用户激活和禁用。
【神兵利器 | 文末抽奖】分享个CobaltStrike插件 Bypass防护添加用户(附下载)


0x03 笔记

暂时先只支持x64,部分代码参考@idiotc4t师傅,非常感谢师傅的分享,主要实现了四种方式:

通过编写反射DLL实现API(NetUserAdd)添加用户通过编写反射DLL实现重新实现NetUserAdd底层封装(主要是利用MS-SAMR)进行用户添加通过微软提供C#利用活动目录创建用户方式,实现内存调用(execute-assembly) 参考:https://docs.microsoft.com/zh-cn/troubleshoot/dotnet/csharp/add-user-local-system通过上传重写NetUserAdd底层实现添加用户的可执行程序实现添加用户


使用过程中第2、4种方式(SelfBuild)设置的用户默认是未启用状态,AV一般不会监控账户启用而会监控账户禁用,因此还需要net user 对应的账户名称 /active:yes

【往期推荐】

【内网渗透】内网信息收集命令汇总

【内网渗透】域内信息收集命令汇总

【超详细 | Python】CS免杀-Shellcode Loader原理(python)

【超详细 | Python】CS免杀-分离+混淆免杀思路

【超详细 | 钟馗之眼】ZoomEye-python命令行的使用

【超详细 | 附EXP】Weblogic CVE-2021-2394 RCE漏洞复现

【超详细】CVE-2020-14882 | Weblogic未授权命令执行漏洞复现

【超详细 | 附PoC】CVE-2021-2109 | Weblogic Server远程代码执行漏洞复现

【漏洞分析 | 附EXP】CVE-2021-21985 VMware vCenter Server 远程代码执行漏洞

【CNVD-2021-30167 | 附PoC】用友NC BeanShell远程代码执行漏洞复现

【奇淫巧技】如何成为一个合格的“FOFA”工程师

【超详细】Microsoft Exchange 远程代码执行漏洞复现【CVE-2020-17144】

【超详细】Fastjson1.2.24反序列化漏洞复现

  记一次HW实战笔记 | 艰难的提权爬坑

【漏洞速递+检测脚本 | CVE-2021-49104】泛微E-Office任意文件上传漏洞

免杀基础教学(上卷)

免杀基础教学(下卷)

走过路过的大佬们留个关注再走呗【神兵利器 | 文末抽奖】分享个CobaltStrike插件 Bypass防护添加用户(附下载)

往期文章有彩蛋哦【神兵利器 | 文末抽奖】分享个CobaltStrike插件 Bypass防护添加用户(附下载)

【神兵利器 | 文末抽奖】分享个CobaltStrike插件 Bypass防护添加用户(附下载)

一如既往的学习,一如既往的整理,一如即往的分享【神兵利器 | 文末抽奖】分享个CobaltStrike插件 Bypass防护添加用户(附下载)

如侵权请私聊公众号删文

【抽奖环节】

【神兵利器 | 文末抽奖】分享个CobaltStrike插件 Bypass防护添加用户(附下载)

这本书从头开始,把历史上零信任的每个流派都梳理了一遍,盘点了各家的行业标准和技术框架。

  • 从Forrester的概念模型,到BeyondCorp的最佳实践。

  • 从NIST的技术标准,到国内外各大厂商的特色解决方案

  • ……

本书提供了一个全局视角,以便读者可以俯视百花齐放的市场现状。

另外,所有人都知道“零信任”是一种整体的网络安全架构。但实际上,市场上大多数零信任产品只是一个加强版的VPN。很多人只能看到零信任的冰山一角,而看不到 “全貌”。

《白话零信任》书中总结了完整的零信任模型,并且结合很多大型企业的整体建设、改造经验,试图展现出零信任架构的全貌,而不止是浮出水面的部分。

零信任有“7大维度”——数据、用户、设备、工作负载、网络、可见性与分析、自动化和编排。

就像谷歌的安全实践中,不只有BeyondCorp替代VPN。还有身份大数据、设备清单库的建立;有BeyondProd来做“从前置应用、到后置服务、到数据”整个流程前后关联的访问控制;有从底层硬件、到操作系统、到代码构建层层渗透的身份认证……

一个用户查看Gmail里的日历信息时,数据服务不仅要考察Gmail服务器是否合法,还要检查终端用户是否合法,用户的操作是否有必要驱动后端服务的调用,调用API的服务器上运行的代码是否可信等等。

总的来说,本书主要介绍了零信任在国内国外的发展历史,国内的市场现状、完整的零信任架构,深入解析8大技术组件,从攻防角度总结了零信任应对各类安全威胁的防御手段,介绍了24种各具特色的应用场景。通过4个典型案例的落地效果和实施经验,从建设视角、运营视角介绍了如何根据实际情况,规划、建设零信任网络,如何使用零信任,利用零信任进行整体安全运营。

================

==========

=====

废话不多说无需转发PYQ直接抽奖即可

祝好运【神兵利器 | 文末抽奖】分享个CobaltStrike插件 Bypass防护添加用户(附下载)【神兵利器 | 文末抽奖】分享个CobaltStrike插件 Bypass防护添加用户(附下载)【神兵利器 | 文末抽奖】分享个CobaltStrike插件 Bypass防护添加用户(附下载)

注意点击下方名片发送暗号"零信任"参与抽奖

【神兵利器 | 文末抽奖】分享个CobaltStrike插件 Bypass防护添加用户(附下载)


原文始发于微信公众号(渗透Xiao白帽):【神兵利器 | 文末抽奖】分享个CobaltStrike插件 Bypass防护添加用户(附下载)

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年7月19日20:17:26
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   【神兵利器 | 文末抽奖】分享个CobaltStrike插件 Bypass防护添加用户(附下载)http://cn-sec.com/archives/1186863.html

发表评论

匿名网友 填写信息