p0wnedShell

PowerShell Runspace Post Exploitation Toolkit

Autore: Cn33liz e Skons

Versione: 2.6 Licenza: BSD 3-Clause

Cos'è:

p0wnedShell è un'applicazione host offensiva PowerShell scritta in C# che non si basa su powershell.exe ma esegue comandi e funzioni PowerShell all'interno di un ambiente runspace PowerShell (.NET). Include numerosi moduli e binari PowerShell offensivi per facilitare il processo di Post-Exploitation. Abbiamo cercato di costruire uno strumento di Post-Exploitation "tutto in uno" che possa bypassare tutte le soluzioni di mitigazione (o almeno alcune) e che includa tutti gli strumenti rilevanti. Puoi usarlo per eseguire attacchi moderni in ambienti Active Directory e creare consapevolezza nel tuo team Blue in modo che possano costruire le giuste strategie di difesa.

Come compilarlo:

Per compilare p0wnedShell devi aprire questo progetto in Microsoft Visual Studio e compilarlo per la piattaforma x64/x86. Puoi modificare le seguenti opzioni AutoMasq prima della compilazione:

public static bool AutoMasq = true;

public static string masqBinary = @"C:\Windows\Notepad.exe";

Come usarlo:

Con AutoMasq impostato su false, basta eseguire l'eseguibile per farlo funzionare normalmente. Con AutoMasq abilitato, puoi rinominare l'eseguibile p0wnedShell con il nome del processo che intendi mascherare (masqBinary), in modo che abbia l'aspetto di quel processo (ad esempio notepad.exe).

Usando l'argomento facoltativo "-parent" da riga di comando, puoi avviare p0wnedShell utilizzando un altro Parent Process ID. Combinando l'opzione PEB Masq e un ID processo padre diverso (ad esempio svchost), puoi dare a p0wnedShell l'aspetto di un servizio legittimo ;)

Nota: Eseguire p0wnedShell con un Parent Process ID diverso non funziona da una sessione/shell Meterpreter... ancora!

La modifica del Parent Process ID può essere utilizzata anche per generare un processo p0wnedShell con privilegi di sistema,
ad esempio utilizzando lsass come processo padre.
Per questo è necessario avere privilegi amministrativi con UAC elevato.

C:\p0wnedShell>p0wnedShellx64.exe -parent
 
 [+] Inserisci un nome valido per il processo padre.
 [+] Ad esempio: C:\p0wnedShell\p0wnedShellx64.exe -parent svchost
 
C:\p0wnedShell>p0wnedShellx64.exe -parent lsass

Per eseguire come binario x86 e bypassare Applocker (il merito di questo grande bypass va a Casey Smith aka subTee):

cd \Windows\Microsoft.NET\Framework\v4.0.30319 (O cartella versione .NET più recente)

InstallUtil.exe /logfile= /LogToConsole=false /U C:\p0wnedShell\p0wnedShellx86.exe

Per eseguire come binario x64 e bypassare Applocker:

cd \Windows\Microsoft.NET\Framework64\v4.0.30319 (O cartella versione .NET più recente)

InstallUtil.exe /logfile= /LogToConsole=false /U C:\p0wnedShell\p0wnedShellx64.exe

Cosa c'è dentro il runspace:

I seguenti strumenti/funzioni PowerShell sono inclusi:

• PowerSploit: Invoke-Shellcode
• PowerSploit: Invoke-ReflectivePEInjection
• PowerSploit: Invoke-Mimikatz
• PowerSploit: Invoke-TokenManipulation
• PowerSploit: PowerUp e PowerView
• Rasta Mouse: Sherlock
• HarmJ0y's: Invoke-Psexec e Invoke-Kerberoast
• Rohan Vazarkar's: Invoke-BloodHound (C# Ingestor)
• Chris Campbell's: Get-GPPPassword
• Tim Medin's: GetUserSPNS
• Besimorhino's: PowerCat
• Nishang: Copy-VSS e Invoke-Encode
• Nishang: Invoke-PortScan e Get-PassHashes
• Kevin Robertson: Invoke-Tater, Invoke-SMBExec e Invoke-WMIExec
• Kevin Robertson: Invoke-Inveigh e Invoke-InveighRelay
• FuzzySecurity: Invoke-MS16-032 e Invoke-MS16-135

Le funzioni PowerShell all'interno del Runspace vengono caricate in memoria da stringhe compresse e codificate in Base64.

I seguenti binari/strumenti sono inclusi:

• Benjamin DELPY's Mimikatz
• Benjamin DELPY's MS14-068 kekeo Exploit
• Modifica di Didier Stevens del Prompt dei comandi di ReactOS
• MS14-058 Local SYSTEM Exploit
• hfiref0x MS15-051 Local SYSTEM Exploit

I binari vengono caricati in memoria utilizzando ReflectivePEInjection (gli array di byte vengono compressi usando Gzip e salvati all'interno di p0wnedShell come stringhe codificate in Base64).

Riconoscimenti:

p0wnedShell si basa pesantemente su strumenti e conoscenze di persone come harmj0y, i ragazzi di Powersploit, Sean Metcalf, SubTee, Nikhil Mittal, Besimorhino, Benjamin Delpy, Breenmachine, FoxGlove Security, Kevin Robertson, FuzzySecurity, James Forshaw e chiunque altro abbia dimenticato. Quindi ringraziamenti a loro e, naturalmente, ai nostri amici di Redmond per averci fornito un linguaggio di hacking molto potente.

Da fare:

• Completamento tramite tabulazione all'interno della shell usando TabExpansion2.
• Più attacchi (Kerberos Silver Tickets, ad esempio).
• Moduli PowerShell più utili.
• Correggere il reindirizzamento della console quando si esegue p0wnedShell da una shell Meterpreter usando un ID processo padre diverso.

Contatti:

Per segnalare un problema o richiedere una funzione, sentiti libero di contattarmi a: Cornelis at dePlaa.com o @Cn33lis