特征

• 从命令行以自动方式控制鼠标和键盘
• 从命令行以自动方式控制剪贴板
• 从客户端生成 SOCKS 代理，通过 RDP 将网络通信传输到目标
• 在目标上执行任意SHELL和PowerShell命令，无需上传文件
• 即使目标上禁用了文件传输，也可以向目标上传文件或从目标下载文件

安装此软件包后，将提供一个名为 的新可执行文件evilrdp。
成功连接到目标后，您将看到一个 GUI，就像普通的 RDP 客户端一样，并且执行的命令evilrdp行将变成交互式 shell。
将有两组命令可供您使用，如下所示：

• 随时可能出现问题的命令。这包括如下命令：
  • 鼠标移动
  • 右键点击
  • 双击
  • 类型
  • 类型文件
  • 返回/输入
  • 调用运行
  • 剪贴板集
  • 剪贴板集文件
  • 剪贴板获取
  • 电源外壳
  • 截屏
• PSCMD仅当通道建立 时才起作用的命令
  • pscmdchannel - 更改PSCMD默认通道名称。当您更改代理脚本文件中的通道名称时使用此选项
  • startpscmd - 这会尝试自动启动远程代理，以允许使用更多命令
  • pscmd - 执行 powershell 命令
  • getfile - 下载远程文件
  • shell - 执行 shell 命令
  • ocksproxy - 启动 SOCKS4a/5 代理

与所有 RDP 一样，自动命令执行并不总是有效，主要是因为计时问题，因此startpscmd可能需要使用 2 次，或者您可能需要PSCMD手动启动通道。
当PSCMD通道启动时，您将在客户端 shell 中收到通知。

与往常一样，脚本采用 URL 格式的目标/凭据。下面是一些例子

• rdp+kerberos-password://TESTAdministrator:[email protected]/?dc=10.10.10.2&proxytype=socks5&proxyhost=127.0.0.1&proxyport=1080
HYBRID使用 Kerberos 身份验证 + 密码通过 进行 CredSSP（又名 ）身份验证socks5， 域win2016ad.test.corp控制器（kerberos 服务）位于10.10.10.2。袜子代理已开启127.0.0.1:1080
• rdp+ntlm-password://TESTAdministrator:[email protected]
HYBRID使用 NTLM 身份验证 + 密码连接到 RDP 服务器的 CredSSP（又名）身份验证10.10.10.103
• rdp+ntlm-password://TESTAdministrator:<NThash>@10.10.10.103
HYBRID使用哈希传递 (NTLM) 身份验证连接到 RDP 服务器的 CredSSP（又名）身份验证10.10.10.103
• rdp+plain://Administrator:[email protected]
  使用密码连接到 RDP 服务器的普通身份验证（无 SSL，加密为 RC4）10.10.10.103

项目下载：

https://github.com/skelsec/evilrdp

原文始发于微信公众号（TtTeam）：RDP 神器 - EVILRDP