本季是《高级持续渗透-第七季demo的成长》的延续。
点击文末左下方“阅读原文”可阅读第七季正文。
https://www.secpulse.com/archives/94612.html
在之一季关于后门中,文章提到重新编译notepad++,来引入有目标源码后门构造。
在第六季关于后门中,文章假设在不得知notepad++的源码,来引入无目标源码沟门构造。
在第七季关于后门中,文章让demo与上几季中对比,更贴近于实战。
而在第八季,继续优化更新demo,强调后门链在高级持续渗透中的作用。
该系列仅做后门思路。
在上季中引用一个概念:“安全是一个链安全,攻击引入链攻击,后门引入链后门”,而”链”的本质是增加对手的时间成本,金钱成本,人力成本等。
第七季的文章结尾是这样写道:
而增改后门每一个功能,则需要更改demo的功能,或者增加几个功能的 *** 。那么它并不是一个标准的"链"后门。为了更好的强调“链”后门在高级持续渗透中的作用。第八季把demo打造成一个远控。以及可结合任意第三方渗透框架。
远控4四大要素:
可执行cmd命令
可远程管理目标机文件,文件夹等
可查看目标摄像头
注册表和服务操作
等等
而以上功能需要大量的代码以及大量的特征加入到该dll里,而此时,后门不在符合实战要求。从而需要重新构建后门。思路如下:dll不实现任何后门功能,只做“后门中间件”。而以上功能则第四方来实现。第三方作为与后门建立连接关系。
Demo 环境:
Windows2003 x64
Windows 7x64
Debian
notepad++7.6.1,notepad++7.5.9
vs 2017
Windows 2003: ip 192.168.1.119
开放端口:
notepad++版本:
notepad++v7.6以下版本插件直接放入X:Program Files(x86)Notepad++plugins目录下即可。
放置后门:
配置后门链:
配置下载服务器:
配置msf:
再次打开notepad++:
变化如下:
下载服务器:
msf服务器:
执行顺序为:
notepad++挂起dll后门
后门访问下载服务器读取shellcode
根据shellcode内容,加载内存
执行shellcode
Micropoor.rb核心代码如下:
而此时,无需在对dll的功能改变而更改目标服务器,只需更改下载服务器shellcode,以messagebox为例:
msf生成shellcode如下:
替换下载服务器shellcode:
再次运行notepad++,弹出messagebox,而无msf payload功能。
在第八季中,只需配置一次目标服务器,便完成了对目标服务器的“后门”全部配置。以减小最小化接触目标服务器,来减少被发现。而以后得全部配置,则在下载服务器中。来调用第四方框架。并且目标服务器只落地一次文件,未来其他功能都将会直接加载到内存。大大的增加了管理人员的对抗成本。“后门链”的本质是增加对手的时间成本,金钱成本,人力成本等。而对于攻击者来说,下载,执行,后门分别在不同的IP。对于对抗安全软件,仅仅需要做“落地”的exe的加解密shellcode。
附:
文件1:Micropoor.rb
大小: 1830 字节
修改时间: 2019年1月4日, 15:46:44
MD5: D5647F7EB16C72B94E0C59D87F82F8C3
SHA1: BDCFB4A9B421ACE280472B7A8580B4D9AA97FC22
CRC32: ABAB591B
文件2:MicroNc.exe
注:强烈建议在虚拟中测试,因Micropoor已被安全软件加入特征,故报毒。
大小: 93696 字节
修改时间: 2019年1月4日, 15:50:41
MD5: 42D900BE401D2A76B68B3CA34D227DD2
SHA1: B94E2D9828009D80EEDDE3E795E9CB43C3DC2ECE
CRC32: CA015C3E
https://drive.google.com/openid=1ZKKPOdEcfirHb2oT1opxSKCZPSplZUSf
本文导读目录: 1、想成为一名的黑客 必须学习哪些课程? 2、入黑客要学哪些语言哪些知识? 3、网络安全学习要学那几门编程语言? 4、黑客需要掌握哪些编程语言 5、黑客要学哪些编程语言...
最近,有未接触过邮箱的粉丝问,怎么才能选到适合自己的邮箱,怎么注册个人邮箱等问题。下面,小编用国内主流的大品牌【TOM VIP邮箱】举例,为大家详细解答。 1. 个人邮箱注册怎么申请 第一...
王者荣耀50强和100强在哪隐藏称号?王者荣耀50强和100强可以隐藏吗?王者荣耀50强和100强怎么隐藏称号?想必有不少的小伙伴们都想知道吧,下面是王者荣耀50强和100强隐藏称号的方法,感兴趣的小...
新华社北京1月15日电(记者安蓓)记者15日了解到,国家发展改革委近日召开视频会议,部署做好2021年春节及“两会”期间生活物资保供稳价和能源供应保障等工作。会议要求统筹做好疫情防控条件下节日期间...
win10系统软件是现阶段应用人最多的一款电脑操作系统,页面简约美观大方,便捷性强,备受大伙儿钟爱。可是也是有盆友体现升級win10系统软件后无法打开cdr文件了。下面,大家就来看看cdr文件的恰当打...
本文目录一览: 1、《疾速追杀》系列三部曲的世界观是什么? 2、有黑客帝国中的男、女演员(尼欧、崔尼蹄、还有那个光头的人)他们的个人资料吗 3、《疾速追杀》三部曲 名字是什么? 4、黑客帝...