HOME FORUMS MEMBERS RECENT POSTS LOG IN  
× Авторизация
Имя пользователя:
Пароль:
Нет аккаунта? Регистрация
Баннер 1   Баннер 2
НОВЫЕ ТОРГОВАЯ НОВОСТИ ЧАТ
loading...
Скрыть
Вернуться   ANTICHAT > БЕЗОПАСНОСТЬ И УЯЗВИМОСТИ > Этичный хакинг или пентестинг
Перезагрузить страницу Вопрос о скрытии окна командной строки (Windows)
   
Ответ
 
Опции темы Поиск в этой теме Опции просмотра

  #1  
Старый 16.01.2018, 23:42
Tayler
Новичок
Регистрация: 12.01.2018
Сообщений: 0
С нами: 4386511

Репутация: 0
По умолчанию
Можно попытаться приклеить подпись чужую к файлу https://github.com/secretsquirrel/SigThief
𝕏 Twitter Reddit Telegram Копировать ссылку
 
Ответить с цитированием

  #2  
Старый 17.01.2018, 00:24
binarymaster
Флудер
Регистрация: 11.12.2010
Сообщений: 4,688
С нами: 8115446

Репутация: 125


По умолчанию
Цитата:

giloo сказал(а):

Но делает он это с отображением окна (к примеру cmd.exe). Есть ли такое приложение, или особая техника для выполнения команды без различных окон?
Просто выполняйте запуск программы с параметром SW_HIDE для скрытия окна (через API - CreateProcess или ShellExecute). Но имейте ввиду, что это не универсальный вариант, не для любого приложения (но для cmd.exe сойдёт).
 
Ответить с цитированием

  #3  
Старый 17.01.2018, 01:57
z3r0c10wn
Новичок
Регистрация: 04.09.2017
Сообщений: 0
С нами: 4573785

Репутация: 0
По умолчанию
Цитата:

giloo сказал(а):

Всем привет! Вопрос достаточно деликатный для меня. Есть сплоит для поднятия прав в ОС. Он запускает исполняемый файл с возможностью передачи аргументов. Но делает он это с отображением окна (к примеру cmd.exe). Есть ли такое приложение, или особая техника для выполнения команды без различных окон?
Был у меня почти идеальный вариант - eventvwr.exe. Он мало того что выполнял тихонечко команду через реестр, да еще и права админки давал. К сожалению все попытки изменить его ветку реестра (hkcu\software\classes\mscfile\shell\open\commad\* evil) палятся авшками(( Поэтому он отпадает. Пробовала wscript, тоже не то. Скриптам не доверяют ав.
Сразу оговорюсь, пишу на шарпе. Могу собрать тихое приложение сама и дать ему на отработку все команды. Но я выбрала другой вектор атаки, а именно базирующийся на доверенных файлах. А ав не доверяют нонейм exeшкам и прочим скриптам.
Буду рада любым советам и идеям!) Спасибо всем заранее!

powershell.exe -noprofile -nologo -noninteractiv -w hidden file.exe
 
Ответить с цитированием

  #4  
Старый 17.01.2018, 13:13
binarymaster
Флудер
Регистрация: 11.12.2010
Сообщений: 4,688
С нами: 8115446

Репутация: 125


По умолчанию
Цитата:

giloo сказал(а):

Не подходит, вы предлагаете написать новое приложение, а это новая хэш сумма :3

Эти API ведь можно использовать в VBScript, если мне память не подводит.
 
Ответить с цитированием

  #5  
Старый 17.01.2018, 14:12
z3r0c10wn
Новичок
Регистрация: 04.09.2017
Сообщений: 0
С нами: 4573785

Репутация: 0
По умолчанию
Могу предложить такой вариант - создаем file.vbs

Код:


Код:
Dim WShell
Set WShell = CreateObject("WScript.Shell")
WShell.Run "Programm.exe", 0
Set WShell = Nothing
Для запуска отдаем:
wscript ""path\to\your vbs file.vbs"

Код:


Код:
wscript "file.vbs"
в данном случае в VBS так же можно передать параметры

Код:


Код:
WShell.Run "Programm.exe /argument1 /argument2", 0

Последний параметр обязательно оставляем 0 - так как он и передает значение запуска в скрытом режиме.
 
Ответить с цитированием

  #6  
Старый 17.01.2018, 19:29
z3r0c10wn
Новичок
Регистрация: 04.09.2017
Сообщений: 0
С нами: 4573785

Репутация: 0
По умолчанию
Для подготовки к подобного рода векторам атаки, необходимо понять на чем вы палитесь -
1) On-access scan
2) In-memory scan
3) Traffic analyze - если поднимаете шелл

В серьезных корп АВ - если ИБшник не халтурничает и нет большого легаси, все эти пункты настроены и работают как надо.

1) Вам нужно простое, легальное и не большое приложение - не больше putty
2) Inject в приложение обфусцированно-криптованой нагрузкой - собирайте в памяти
3) Выполнение нагрузки.
Платный shellter в мануальном режиме в помощь

Описанный выше вариант поможет только от On-access scan и только в некоторых случаях от In-memory
Но опять же - все зависит от параметров in-memory scan.
Если там(на in-memory scan) обычная эвристика - указанный метод её обойдет.
Если вам противостоит маньяк-ИБшник который включил в АВ поведенческий анализ (такое есть к примеру у корп версий Касперского или например у корп версии TrendMicro), вряд ли вы что то сделаете. В таких случаях стоит работать в полях на уровне компрометации сетевых коннектов.
2е - даже если вы обманите на этапе сборки и эксплуатации вашей нагрузки АВ, не забывайте что если сплойт публичный - АВ его обнаружит без проблем.

P.S. и еще момент, если в сети стоит Cisco-firepower в нормальном настроенном виде, то компрометируем систему только локально. Соц-тех вектор.
 
Ответить с цитированием
Ответ



Предыдущая тема Следующая тема

Здесь присутствуют: 1 (пользователей: 0 , гостей: 1)
 


Быстрый переход




ANTICHAT ™ © 2001- Antichat Kft.