🚩 Sponsors

Si vous aimez ce projet, envisagez de le sponsoriser sur GitHub ! Sponsors

EVILRDP - Plus de contrôle sur RDP

Le jumeau maléfique de aardwolfgui utilisant la bibliothèque client RDP aardwolf qui vous donne un contrôle étendu sur la cible et des capacités de script supplémentaires depuis la ligne de commande.

Fonctionnalités

• Contrôle automatisé de la souris et du clavier depuis la ligne de commande
• Contrôle automatisé du presse-papiers depuis la ligne de commande
• Lance un proxy SOCKS à partir du client qui achemine les communications réseau vers la cible via RDP
• Exécute des commandes SHELL et PowerShell arbitraires sur la cible sans télécharger de fichiers
• Téléverse et télécharge des fichiers vers/depuis la cible même lorsque les transferts de fichiers sont désactivés sur la cible

Scripts

• evilrdp - Client RDP GUI + ligne de commande

Utilisation

Après l'installation de ce paquet, un nouvel exécutable nommé evilrdp sera disponible.
Lors d'une connexion réussie à la cible, une interface graphique similaire à un client RDP normal s'affiche, et la ligne de commande depuis laquelle vous avez exécuté evilrdp se transforme en un shell interactif.
Deux groupes de commandes vous seront disponibles, comme suit :

• Commandes pouvant être émises à tout moment. Cela inclut des commandes comme :
  • mousemove
  • rightclick
  • doubleclick
  • type
  • typefile
  • return/enter
  • invokerun
  • clipboardset
  • clipboardsetfile
  • clipboardget
  • powershell
  • screenshot
• Commandes qui ne fonctionnent que lorsque le canal PSCMD est établi
  • pscmdchannel - Modifie le nom du canal PSCMD par défaut. Utilisez ceci lorsque vous avez changé le nom du canal dans le fichier de script de l'agent
  • startpscmd - Tente de démarrer automatiquement l'agent distant qui permet d'utiliser d'autres commandes
  • pscmd - Exécute une commande PowerShell
  • getfile - Télécharge un fichier distant
  • shell - Exécute une commande shell
  • socksproxy - Démarre un proxy SOCKS4a/5

Comme avec tout ce qui concerne RDP, l'exécution automatique des commandes ne fonctionne pas toujours principalement en raison de problèmes de synchronisation. Par conséquent, startpscmd peut devoir être utilisé 2 fois, OU vous devrez peut-être démarrer le canal PSCMD manuellement.
Lorsque le canal PSCMD démarre, vous recevrez une notification dans votre shell client.

Format d'URL

Comme d'habitude, les scripts prennent la cible/les identifiants au format URL. Voici quelques exemples

• rdp+kerberos-password://TEST\Administrator:[email protected]/?dc=10.10.10.2&proxytype=socks5&proxyhost=127.0.0.1&proxyport=1080
  Authentification CredSSP (alias HYBRID) utilisant l'authentification Kerberos + mot de passe via socks5 vers win2016ad.test.corp, le contrôleur de domaine (service Kerberos) est à 10.10.10.2. Le proxy socks est sur 127.0.0.1:1080
• rdp+ntlm-password://TEST\Administrator:[email protected]
  Authentification CredSSP (alias HYBRID) utilisant l'authentification NTLM + mot de passe se connectant au serveur RDP 10.10.10.103
• rdp+ntlm-password://TEST\Administrator:<NThash>@10.10.10.103
  Authentification CredSSP (alias HYBRID) utilisant l'authentification Pass-the-Hash (NTLM) se connectant au serveur RDP

Remerciements

• Balazs Bucsay (@xoreipeip) SocksOverRDP. L'idée de base pour les communications cachées via RDP