Вопрос по venom и powershell

[BurningMan]

Добрый вечер, буду краток. Есть тачка, win10 (1909). Имеется доступ по ssh локального пользователя. Хочу повысить привелегии до лок админа, пытаюсь сделать следующее: через sftp загружаю в папку OneDrive file.exe(внутри win/meterpreter_reverse_tcp_dns), сделанный посредством venom, все успешно загрузилось, захожу по ssh на компьютер и запускааю file.exe, но сессия метера не приходит, в чем мог оплашать?
Также пытался запустить пару скриптов из nishang через powershell, однако анти вирус знает свое дело...Может подскажет кто из опытных, как можно решить данный таск или быть может какой-нибудь другой путь подскажет. Буду очень благодарен за любую помощь:]
PS На орфографию и оформление прошу не ругаться, пишу в спешке

 

[BearSec]

Чем обусловлен такой специфичный выбор meterpreter_reverse_tcp_dns? Почему не meterpreter/reverse_tcp или meterpreter/reverse_tcp_http?

 

[BurningMan]

До этого пробовал meterpreter/reverse_https и meterpreter/reverse_tcp, забыл упомянуть
Результат тот же -_-

 

[BearSec]

Тогда надо начинать определение доступных возможностей.
Нужно понять, что блокирует фаервол и антивирус.
Есть ли доступ с этой тачки до твоей машины.

Пока мы знаем точно, что доступ у тебя есть со своей машины на целевую по ssh.

Пинги с цели до твоей машины идут?

 

[BurningMan]

В таком случае, как понять, что он блокирует, в терминале ничего такого не вылетало
Пинг идет
Как можно схитрить и обануть ав?
Пробовал юзать iconv + base64, но все равно он все палит

 

[BearSec]

В таком случае, как понять, что он блокирует, в терминале ничего такого не вылетало
Пинг идет
Как можно схитрить и обануть ав?
Пробовал юзать iconv + base64, но все равно он все палит

Я бы запустил на своей машине веб сервер на питон (он просто сразу покажет запрос)
Зашёл на целевую машину и сделал бы через телнет запрос на свой ip: port.

Когда пробовал meterpreter_reverse_tcp_http не забыл запустить листнер на нужном порту?

 

[BurningMan]

Бл, про него вот и забыл, сейчас попробую как ты сказал, спасибо))
Но вангую, что все равно АВ все оборвет)

 

[BearSec]

Бл, про него вот и забыл, сейчас попробую как ты сказал, спасибо))
Но вангую, что все равно АВ все оборвет)

Смог победить?

 

[BurningMan]

Отрицательно, друг, сессии нет
Сегодня со свежей головой попробую еще что-нибудь)

Отпишу, если прокатит

 

[BearSec]

Отрицательно, друг, сессии нет
Сегодня со свежей головой попробую еще что-нибудь)

А если через msfconsole подключится к цели через ssh_login, а после поднятия обычной shell сессии сделать shell_to_meterpreter?

 

[BurningMan]

ssh login я уже пробовал, вылетало что то типо этого:
Command shell session 1 opened (10.152.152.12:39375 -> 192.168.8.184:22) -0400
[-] 192.168.8.184:22 - While a session may have opened, it may be bugged. If you experience issues with it, re-run this module with 'set gatherproof off'. Also consider submitting an issue at github.com/rapid7/metasploit-framework with device details so it can be handled in the future.
Разбираться что не так не стал, уже валился с ног, на след день просто забил, делал по другому..
Сейчас попробовал как ты сказал сделать из сеисси ssh login накинуть еще и shell_to_meterpreter, получил следующее:
[!] SESSION may not be compatible with this module.
[*] Upgrading session ID: 1
[-] Shells on the target platform, unknown, cannot be upgraded to Meterpreter at this time.
Попробую погуглить...

Пропробовал еще вот так сделать, создал файлик исполняемый на msfvenom, закодировал его шикатаганай, 3 итерации и с помощью upload_exec отправил на сессию ssh login, один фиг ничего, с челом одним беседовал на другом форуме, говорит, что сейчас уже все ав детектят подобые вещи как msfvenom, mimikatz, powersploit, nishang и прочее, похоже нужно реверсить и самому что то новое делать
msf5 post(multi/manage/upload_exec) > set LPATH /home/host/Desktop/NSClient+-.exe
LPATH => /home/host/Desktop/NSClient+-.exe
msf5 post(multi/manage/upload_exec) > set session 1
session => 1
msf5 post(multi/manage/upload_exec) > exploit

[!] SESSION may not be compatible with this module.
[*] Uploading /home/host/Desktop/NSClient+-.exe to NSClient+-.exe

[-] Post failed: RuntimeError Can't find command on the victim for writing binary dataс
[-] Call stack:
[-] /usr/share/metasploit-framework/lib/msf/core/post/file.rb:366:in `write_file'
[-] /usr/share/metasploit-framework/lib/msf/core/post/file.rb:404:in `upload_file'
[-] /usr/share/metasploit-framework/modules/post/multi/manage/upload_exec.rb:30:in `run'
[*] Post module execution completed
Попробую еще пару разных нагрузок и модулей по тестить в msf и msfvenom, может что-нибудь сработает..

 

[BearSec]

Ок, надо попробовать на стенде глянуть с антивирусом.
Но я так понимаю, что тебе нужен метерпретер просто для автоматического поднятия привелегий в системе?
Если уже есть доступ через ssh можно залить на цель winpeas и посмотреть, что он найдёт. А дальше уже попробовать вручную эксплуатировать

 

[BurningMan]

Да, задача получить метерпретер и потом уже двигаться дальше
Спасибо, дружище, за советы и что столько времяни уделил)
Завтра погуляю по формумам, погуглю, может через winpeas что найду