🚩 Patrocinadores

Si te gusta este proyecto, ¡considera patrocinarlo en GitHub! Patrocinadores

EVILRDP - Más control sobre RDP

El gemelo malvado de aardwolfgui que utiliza la biblioteca cliente RDP aardwolf y te brinda control extendido sobre el objetivo y capacidades adicionales de scripting desde la línea de comandos.

Características

• Controlar el ratón y el teclado de forma automatizada desde la línea de comandos
• Controlar el portapapeles de forma automatizada desde la línea de comandos
• Iniciar un proxy SOCKS desde el cliente que canaliza la comunicación de red hacia el objetivo a través de RDP
• Ejecutar comandos SHELL y PowerShell arbitrarios en el objetivo sin subir archivos
• Subir y descargar archivos hacia/desde el objetivo incluso cuando las transferencias de archivos están deshabilitadas en el objetivo

Scripts

• evilrdp - Cliente RDP de GUI + línea de comandos

Uso

Después de instalar este paquete, un nuevo ejecutable llamado evilrdp estará disponible.
Al realizar una conexión exitosa al objetivo, se te presentará una GUI como un cliente RDP normal, y la línea de comandos desde donde ejecutaste evilrdp se convertirá en un shell interactivo.
Habrá dos grupos de comandos disponibles para ti, de la siguiente manera:

• Comandos que se pueden emitir en cualquier momento. Incluyen comandos como:
  • mousemove
  • rightclick
  • doubleclick
  • type
  • typefile
  • return/enter
  • invokerun
  • clipboardset
  • clipboardsetfile
  • clipboardget
  • powershell
  • screenshot
• Comandos que solo funcionan cuando el canal PSCMD está establecido
  • pscmdchannel - Cambia el nombre del canal PSCMD del predeterminado. Úsalo cuando hayas cambiado el nombre del canal en el archivo de script del agente.
  • startpscmd - Esto intenta iniciar automáticamente el agente remoto que permite usar más comandos
  • pscmd - Ejecuta un comando de powershell
  • getfile - Descarga un archivo remoto
  • shell - Ejecuta un comando de shell
  • socksproxy - Inicia un proxy SOCKS4a/5

Como ocurre con todo lo relacionado con RDP, la ejecución automática de comandos no siempre funciona, principalmente debido a problemas de sincronización, por lo que startpscmd podría necesitar usarse 2 veces, O podría ser necesario iniciar el canal PSCMD manualmente.
Cuando el canal PSCMD se inicie, recibirás una notificación en el shell de tu cliente.

Formato de URL

Como es habitual, los scripts toman el objetivo/credenciales en formato URL. A continuación algunos ejemplos

• rdp+kerberos-password://TEST\Administrator:[email protected]/?dc=10.10.10.2&proxytype=socks5&proxyhost=127.0.0.1&proxyport=1080
  Autenticación CredSSP (también conocida como HYBRID) usando autenticación Kerberos + contraseña a través de socks5 hacia win2016ad.test.corp, el controlador de dominio (servicio Kerberos) está en 10.10.10.2. El proxy socks está en 127.0.0.1:1080
• rdp+ntlm-password://TEST\Administrator:[email protected]
  Autenticación CredSSP (también conocida como HYBRID) usando autenticación NTLM + contraseña conectándose al servidor RDP 10.10.10.103
• rdp+ntlm-password://TEST\Administrator:<NThash>@10.10.10.103
  Autenticación CredSSP (también conocida como HYBRID) usando autenticación Pass-the-Hash (NTLM) conectándose al servidor RDP

Agradecimientos

• Balazs Bucsay (@xoreipeip) SocksOverRDP. La idea base para comunicaciones encubiertas a través de RDP