内网渗透之psexec.py规避杀软

admin 2022年5月10日22:12:23评论104 views字数 808阅读2分41秒阅读模式

前言

在内网渗透中,当获取到一个账号密码后,经常会使用impacket套件中的psexec.py进行远程连接并执行命令,但是因为用的人多了,杀软也对psexec.py特征进行了拦截,也就导致了如果使用默认的psexec.py进行执行命令时会失败。

原理分析

psexec.py的原理是通过smb上传一个服务程序到c:windows(ADMIN$)目录,服务程序通过管道进行后续的命令执行的输入输出。

服务程序来自于remcomsvc.py:

内网渗透之psexec.py规避杀软

服务安装通过serviceinstall.py进行:

内网渗透之psexec.py规避杀软

服务和服务文件的名字默认是随机的:

内网渗透之psexec.py规避杀软

直接psexec.py不带任何参数,上传过去的服务文件名就长这样:

内网渗透之psexec.py规避杀软

因此为了防止奇奇怪怪的名字很容易被机器负责人发现,psexec.py也是提供了相应的参数用来自定义:

内网渗透之psexec.py规避杀软

这里要提一嘴的是,因为UAC的缘故,如果RID不是500,就算账号是管理员也是没权限上传文件到ADMIN$目录,程序报错如下:

内网渗透之psexec.py规避杀软

改造

默认情况下,使用psexec.py会被拦截:

内网渗透之psexec.py规避杀软

内网渗透之psexec.py规避杀软


内网渗透之psexec.py规避杀软

根据上面的杀软截图能看到是服务程序被拦截,因此我们需要对服务程序进行修改来尝试绕过杀软,源码在这:

https://github.com/kavika13/RemCom

这里可以尝试修改print的输出:

内网渗透之psexec.py规避杀软

或者修改管道名称:

内网渗透之psexec.py规避杀软

然后重新生成RemComSvc,然后转成hex:

import binascii
filename = 'RemComSvc.exe'
with open(filename, 'rb') as f:
    content = f.read()
print(binascii.hexlify(content))

最终可以规避杀软进行命令执行,55.3、55.5分别为上述装有360和腾讯电脑管家的机器:

内网渗透之psexec.py规避杀软

总结

本文介绍了通过修改服务程序来绕过杀软,让psexec.py再次大放异彩。

原文始发于微信公众号(中国白客联盟):内网渗透之psexec.py规避杀软

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年5月10日22:12:23
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   内网渗透之psexec.py规避杀软http://cn-sec.com/archives/996082.html

发表评论

匿名网友 填写信息