🚩 Sponsoren

Wenn dir dieses Projekt gefällt, erwäge bitte, es auf GitHub zu sponsern! Sponsoren

EVILRDP - Mehr Kontrolle über RDP

Der böse Zwilling von aardwolfgui, der die aardwolf RDP-Client-Bibliothek verwendet, gibt Ihnen erweiterte Kontrolle über das Ziel und zusätzliche Skriptfähigkeiten von der Kommandozeile aus.

Funktionen

• Steuere Maus und Tastatur automatisiert von der Kommandozeile aus
• Steuere die Zwischenablage automatisiert von der Kommandozeile aus
• Starte einen SOCKS-Proxy vom Client, der die Netzwerkkommunikation über RDP zum Ziel leitet
• Führe beliebige SHELL- und PowerShell-Befehle auf dem Ziel aus, ohne Dateien hochzuladen
• Lade Dateien zum/vom Ziel hoch und herunter, selbst wenn Dateiübertragungen auf dem Ziel deaktiviert sind

Skripte

• evilrdp - GUI + RDP-Client mit Kommandozeile

Verwendung

Nach der Installation dieses Pakets wird eine neue ausführbare Datei namens evilrdp verfügbar sein.
Nach erfolgreicher Verbindung zum Ziel wird Ihnen eine GUI wie bei einem normalen RDP-Client angezeigt, und die Kommandozeile, von der aus Sie evilrdp ausgeführt haben, wird zu einer interaktiven Shell.
Es stehen Ihnen zwei Gruppen von Befehlen zur Verfügung, wie folgt:

• Befehle, die jederzeit ausgeführt werden können. Dazu gehören Befehle wie:
  • mousemove
  • rightclick
  • doubleclick
  • type
  • typefile
  • return/enter
  • invokerun
  • clipboardset
  • clipboardsetfile
  • clipboardget
  • powershell
  • screenshot
• Befehle, die nur funktionieren, wenn der PSCMD-Kanal eingerichtet ist
  • pscmdchannel - Ändert den Standard-Namen des PSCMD-Kanals. Verwenden Sie dies, wenn Sie den Kanalnamen in der Agent-Skriptdatei geändert haben
  • startpscmd - Dies versucht, den Remote-Agenten automatisch zu starten, wodurch weitere Befehle verwendet werden können
  • pscmd - Führt einen PowerShell-Befehl aus
  • getfile - Lädt eine entfernte Datei herunter
  • shell - Führt einen Shell-Befehl aus
  • socksproxy - Startet einen SOCKS4a/5-Proxy

Wie bei allen RDP-Dingen funktioniert die automatische Befehlsausführung nicht immer, hauptsächlich aufgrund von Zeitproblemen. Daher muss startpscmd möglicherweise zweimal verwendet werden, ODER Sie müssen den PSCMD-Kanal manuell starten.
Wenn der PSCMD-Kanal startet, erhalten Sie eine Benachrichtigung in Ihrer Client-Shell.

URL-Format

Wie üblich übernehmen die Skripte das Ziel/die Anmeldedaten im URL-Format. Nachfolgend einige Beispiele

• rdp+kerberos-password://TEST\Administrator:[email protected]/?dc=10.10.10.2&proxytype=socks5&proxyhost=127.0.0.1&proxyport=1080
  CredSSP (auch HYBRID) Authentifizierung mit Kerberos + Passwort über socks5 nach win2016ad.test.corp, der Domänencontroller (Kerberos-Dienst) ist unter 10.10.10.2. Der SOCKS-Proxy ist auf 127.0.0.1:1080.
• rdp+ntlm-password://TEST\Administrator:[email protected]
  CredSSP (auch HYBRID) Authentifizierung mit NTLM + Passwort, Verbindung zum RDP-Server 10.10.10.103
• rdp+ntlm-password://TEST\Administrator:<NThash>@10.10.10.103
  CredSSP (auch HYBRID) Authentifizierung mit Pass-the-Hash (NTLM), Verbindung zum RDP-Server 10.10.10.103

Danksagungen

• Balazs Bucsay (@xoreipeip) SocksOverRDP. Die Grundidee für verdeckte Kommunikation über RDP