pyrdp

RDP monster-in-the-middle (mitm) e libreria per Python con la possibilità di osservare le connessioni in tempo reale o a posteriori

PyRDP è stato introdotto nel 2018 in cui abbiamo dimostrato di poter catturare un vero attore di minacce in azione. Questo strumento viene sviluppato pensando sia ai casi d'uso di pentest che di ricerca sui malware.

Indice

• Sistemi supportati
• Installazione
  • Usando pipx
  • Usando l'immagine Docker
• Usare PyRDP
  • Usare PyRDP Monster-in-the-Middle
  • Usare PyRDP Player
  • Usare PyRDP Certificate Cloner
  • Usare PyRDP Convert
  • Configurare PyRDP
  • Utilizzo avanzato
  • Istruzioni specifiche per Docker
• Storia di PyRDP
• Contribuire a PyRDP
• Ringraziamenti

Sistemi supportati

PyRDP dovrebbe funzionare su Python 3.7 e successive sulle piattaforme x86-64, ARM e ARM64.

Questo strumento è stato testato su Python 3.7 su Linux (Ubuntu 20.04, 22.04), Raspberry Pi e Windows. Non è stato testato su macOS.

Installazione

Sono consigliate due tecniche di installazione: tramite pipx o usando container Docker. L'installazione dal sorgente o la creazione di container Docker personalizzati sono trattate nella documentazione di sviluppo.

Usando pipx

Dipendenze

Linux

Per prima cosa, assicurati di installare i pacchetti prerequisiti (sono elencati per Ubuntu 22.04, potrebbe essere necessario adattarli per altre distribuzioni). Forniamo due tipi di installazione: una completa e una ridotta. Installa le dipendenze in base al tuo caso d'uso.```sh

Full install (GUI, convert captures to video)

sudo apt install python3 python3-pip python3-venv
build-essential python3-dev openssl
libegl1 libxcb-cursor0 libxkbcommon-x11-0 libxcb-icccm4 libxcb-keysyms1
libnotify-bin
libavcodec58 libavdevice58

Slim install (no GUI, no conversion to video possible)

sudo apt install python3 python3-pip python3-venv
build-essential python3-dev git openssl

Windows

Assicurati di avere Python installato. Python da Windows Store non ha funzionato per me su Windows 11. Consigliamo di installare Python tramite Scoop.```sh scoop install python # if not installed already scoop install pipx pipx ensurepath

Per la versione compatta pensata per essere eseguita in ambienti headless (server, RaspberryPi):```sh pipx install pyrdp-mitm

In alternativa abbiamo un'immagine più snella senza interfaccia grafica e dipendenze ffmpeg. Questa è l'unica immagine fornita su piattaforme ARM.```sh docker pull gosecure/pyrdp:latest-slim

Quando si esegue il MITM per la prima volta, verrà creata una directory chiamata pyrdp_output/ relativa alla directory di lavoro corrente. Ecco un esempio di layout di quella directory:```sh pyrdp_output/ ├── certs │   ├── WinDev2108Eval.crt │   └── WinDev2108Eval.pem ├── files │   ├── e91c6a5eb3ca15df5a5cb4cf4ebb6f33b2d379a3a12d7d6de8c412d4323feb4c │   ├── b14b26b7d02c85e74ab4f0d847553b2fdfaf8bc616f7c3efcc4771aeddd55700 ├── filesystems │   ├── romantic_kalam_8214773 │   │   └── device1 │   │   └── clipboard | └── priv-esc.exe -> ../../../files/b14b26b7d02c85e74ab4f0d847553b2fdfaf8bc616f7c3efcc4771aeddd55700 │   └── happy_stonebraker_1992243 │   ├── device1 │   └── device2 | └── Users/User/3D Objects/desktop.ini -> ../../../../../../e91c6a5eb3ca15df5a5cb4cf4ebb6f33b2d379a3a12d7d6de8c412d4323feb4c ├── logs │   ├── crawl.json │   ├── crawl.log │   ├── mitm.json │   ├── mitm.log │   ├── mitm.log.2021-08-26 │   ├── ntlmssp.log │   ├── player.log │   └── ssl.log └── replays ├── rdp_replay_20231214_01-20-28_965_happy_stonebraker_1992243.pyrdp └── rdp_replay_20231214_00-42-24_295_romantic_kalam_8214773.pyrdp

Connessioni Monster-in-the-Middle con autenticazione a livello di rete (NLA)

L'autenticazione a livello di rete (NLA) è una funzionalità di sicurezza disponibile da Windows Vista che aggiunge sicurezza alle connessioni RDP. NLA si basa sul nuovo provider di supporto per la sicurezza CredSSP e a volte viene indicato con questo nome. Un server che impone la NLA è più difficile da attaccare. Esistono tre diverse strategie che possono essere utilizzate:

• Ottenere il certificato e la chiave privata del server
• Utilizzare una funzionalità di reindirizzamento dell'host
• Catturare l'hash NetNTLMv2 del client e craccarlo

Monster-in-the-Middle NLA

Se abbiamo accesso al certificato e alla chiave privata del server, possiamo eseguire con successo un MITM su RDP anche se la NLA è imposta. Abbiamo documentato questo attacco nel nostro post del blog del rilascio 1.0. Le istruzioni per estrarre il certificato RDP e la chiave privata sono disponibili sul nostro GitHub.

Con il certificato e la chiave privata accessibili, è sufficiente impostare l'autenticazione su ssp aggiungendo questo sulla riga di comando di pyrdp-mitm:```sh --auth ssp -c <certificate.pem> -k <private-key.pem>

Questa funzionalità è stata introdotta in PyRDP 1.1.0.

Acquisizione di hash NetNTLMv2

Gli hash NetNTLMv2 sono utili per un attaccante poiché possono essere craccati con relativa facilità, consentendo agli aggressori di sfruttare l'accesso RDP legittimo o tentare di riempire le credenziali. A partire dalla versione 1.1.0, PyRDP è in grado di catturare gli hash NetNTLMv2 del client tramite una connessione NLA (CredSSP) effettuando la negoziazione e catturando i messaggi di autenticazione NTLMSSP. Nella versione 1.2.0, questo supporto è stato esteso per funzionare anche se non si dispone del certificato e della chiave privata del server, il che significa che la connessione non sarà un MITM riuscito. Questo è simile a ciò che fa Responder con RDP. L'hash NetNTLMv2 catturato può essere trovato nel file di log ntlmssp.log ed è formattato in modo che strumenti di cracking come John The Ripper o hashcat possano elaborarlo.

Questa tecnica è stata descritta in dettaglio in un post del blog: Capturing RDP NetNTLMv2 Hashes: Attack details and a Technical How-To Guide

Questa funzionalità è compatibile con --auth ssp ma incompatibile con --nla-redirection-host.

Connessione al player PyRDP

Se desideri vedere le connessioni RDP in tempo reale attraverso il player PyRDP, dovrai specificare l'indirizzo IP e la porta su cui il player è in ascolto utilizzando gli argomenti -i e -d. Nota: l'argomento della porta è facoltativo, la porta predefinita è 3000.```sh pyrdp-mitm 192.168.1.10 -i 127.0.0.1 -d 3000

Esecuzione di payload su nuove connessioni

PyRDP supporta l'esecuzione automatica di comandi console o payload PowerShell quando vengono stabilite nuove connessioni. A causa della natura di RDP, il processo è un po' rozzo e non sempre affidabile al 100%. Ecco come funziona:

1. Attendi che l'utente sia autenticato.
2. Blocca l'input/output del client per nascondere il payload e prevenire interferenze.
3. Invia una sequenza finta Windows+R ed esegui cmd.exe.
4. Esegui il payload come comando console ed esci dalla console. Se è configurato un payload PowerShell, viene eseguito con powershell -enc <PAYLOAD>.
5. Attendi un po' per consentire il completamento del payload.
6. Ripristina l'input/output del client.

Affinché funzioni, è necessario impostare 3 argomenti:

• il payload
• il ritardo prima dell'avvio del payload
• la durata del payload

Impostazione del payload

Puoi utilizzare uno dei seguenti argomenti per impostare il payload da eseguire:

• --payload, una stringa contenente comandi console
• --payload-powershell, una stringa contenente comandi PowerShell
• --payload-powershell-file, un percorso a uno script PowerShell

Scelta del momento di avvio del payload

Per il momento, PyRDP non rileva quando l'utente ha effettuato l'accesso. Devi specificare un intervallo di tempo da attendere prima di eseguire il payload. Trascorso questo intervallo, invierà le sequenze fittizie di tasti e si aspetterà che il payload venga eseguito correttamente. Per fare ciò, si utilizza l'argomento --payload-delay. Il ritardo è in millisecondi. Ad esempio, se prevedi che l'utente abbia effettuato l'accesso entro i primi 5 secondi, dovresti utilizzare i seguenti argomenti:```sh --payload-delay 5000

Questo bloccherà l'input / output del client per 5 secondi per nascondere la console e prevenire interferenze. Dopo 5 secondi, l'input / output verrà ripristinato alla normalità.

Altri argomenti MITM

Esegui pyrdp-mitm --help per una lista completa di argomenti.

--no-downgrade

Questo argomento è utile quando si esegue PyRDP in scenari Honeypot per evitare il fingerprinting degli scanner. Quando l'opzione è abilitata, PyRDP non declasserà le estensioni non supportate e lascerà passare il traffico in modo trasparente. Il player probabilmente non sarà in grado di riprodurre correttamente il traffico video, ma i seguenti canali supportati dovrebbero essere ancora accessibili:

• Registrazione dei tasti premuti
• Aggiornamenti della posizione del mouse
• Accesso agli appunti (passivo)
• Accesso alle unità (passivo)

Questa funzionalità è ancora in fase di sviluppo e alcuni declassamenti sono attualmente inevitabili per consentire alla connessione di essere stabilita. I seguenti elementi non sono attualmente influenzati da questa opzione e rimarranno disabilitati:

• Crittografia FIPS
• Protocolli di crittografia non TLS
• Compressione ClientInfo
• Compressione dei canali virtuali

NOTA: Se è importante poter riprodurre in futuro l'intera sessione, una buona soluzione è registrare il traffico RDP grezzo utilizzando Wireshark e conservare i segreti master TLS. Quando PyRDP aggiungerà il supporto per ulteriori estensioni, sarà possibile estrarre un file di riproduzione RDP valido dalla cattura di rete grezza.

--transparent

Indica a PyRDP di tentare di falsificare l'indirizzo IP sorgente del client in modo che il server veda l'indirizzo IP reale invece di quello del MITM. Questa opzione è utile solo in determinati scenari in cui il MITM è fisicamente un gateway tra i client e il server e vede tutto il traffico. Esempi specifici possono essere trovati qui.

NOTA: Questo richiede privilegi di root, funziona solo su Linux e richiede la configurazione manuale del firewall per garantire che il traffico sia instradato correttamente.

--no-gdi: Disabilita la pipeline grafica accelerata

PyRDP declassa il video alla pipeline grafica più recente che supporta. Questa opzione dice esplicitamente al MITM di non utilizzare le estensioni Graphics Device Interface Acceleration per lo streaming video. Il vantaggio di questa modalità è una significativa riduzione della larghezza di banda richiesta per connessioni ad alta risoluzione.

Nota che alcuni ordini di disegno GDI sono attualmente non implementati perché sembrano non essere utilizzati. Se hai una riproduzione che contiene un ordine non supportato o non testato, non esitare a condividerlo con i manutentori del progetto in modo che il supporto possa essere aggiunto secondo necessità. (Assicurati che la traccia non contenga informazioni sensibili)

Utilizzo del PyRDP Player

Usa pyrdp-player per eseguire il player.

Riproduzione di un file di replay

Puoi usare il menu per aprire un nuovo file di replay: File > Apri.

Puoi anche aprire file di replay all'avvio del player:```sh pyrdp-player ...

Cambiare l'indirizzo di ascolto

Per impostazione predefinita, il lettore ascolta solo le connessioni provenienti dalla macchina locale. Sconsigliamo di aprire il lettore ad altre macchine. Se si desidera comunque cambiare l'indirizzo di ascolto, è possibile farlo con -b:```sh pyrdp-player -b

Il parametro -o definisce il nome del percorso da utilizzare per la chiave privata generata.

Utilizzare una chiave privata personalizzata

Se vuoi utilizzare la tua chiave privata invece di generarne una nuova:```sh pyrdp-clonecert 192.168.1.10 cert.pem -i input_key.pem

Nota che la conversione MP4 richiede libavcodec e ffmpeg, quindi potrebbe richiedere passaggi aggiuntivi su Windows.

Le tracce di rete decriptate manualmente possono essere esportate da Wireshark selezionando File > Export PDUs e scegliendo OSI Layer 7.

Prima, assicurati di aver configurato Wireshark per caricare i segreti TLS:

Successivamente, esporta i PDU del livello OSI 7:

E opzionalmente, filtra la traccia per contenere solo le conversazioni di interesse applicando un filtro di visualizzazione e cliccando File > Export Specified Packets...

Ora questa traccia può essere usata direttamente in pyrdp-convert.

Configurazione di PyRDP

La maggior parte della configurazione di PyRDP viene effettuata tramite opzioni della riga di comando, ma è anche possibile utilizzare un file di configurazione per alcune impostazioni come la configurazione dei log.

I file di configurazione predefiniti utilizzati da PyRDP si trovano in mitm.default.ini e player.default.ini. Entrambi i file sono ampiamente documentati e possono servire come base per ulteriori configurazioni.

In futuro si prevede di supportare altri aspetti della configurazione di PyRDP attraverso quei file di configurazione.

Utilizzo Avanzato

Utilizzare PyRDP come Libreria

Se sei interessato a sperimentare con RDP e creare i tuoi strumenti, vai alla nostra sezione documentazione per maggiori informazioni.

Utilizzare PyRDP con twistd

Il componente MITM di PyRDP è stato implementato anche come plugin twistd. Questo ti permette di eseguirlo in modalità debug e ti consente di ottenere un repl interattivo di debug (pdb) se invii un SIGUSR2 al processo twistd. Consulta la documentazione twistd per maggiori informazioni.

Utilizzare PyRDP con Bettercap

Abbiamo sviluppato il nostro modulo Bettercap, rdp.proxy, per fare monster-in-the-middle su tutte le connessioni RDP in una specifica LAN. Dai un'occhiata a questo documento per maggiori informazioni.

Istruzioni d'Uso Specifiche per Docker

Poiché Docker limita le interazioni con il sistema host (filesystem e rete), l'immagine Docker di PyRDP deve essere eseguita con alcuni parametri a seconda del caso d'uso. Questa sezione documenta tali parametri.

Ci riferiamo all'immagine Docker fornita pubblicamente, ma se hai costruito la tua sostituisci gosecure/pyrdp con il nome della tua immagine costruita localmente.

Mappatura di una Porta in Ascolto

Nella maggior parte dei casi di monster-in-the-middle, dovrai mappare una porta del tuo host nell'immagine Docker. Questo si ottiene con i parametri --publish (-p) applicati a docker run.

Ad esempio, per ascoltare sulla porta 3389 (la porta predefinita di RDP) su tutte le interfacce, usa:```sh docker run -p 3389:3389 gosecure/pyrdp pyrdp-mitm 192.168.1.10

Assicurati che la directory di destinazione sia di proprietà di un utente con UID 1000, altrimenti riceverai errori di permesso negato. Se sei l'unico utente non root sul sistema, di solito al tuo utente verrà assegnato l'UID 1000.

Registrazione dell'indirizzo IP dell'host

Se vuoi che PyRDP registri l'indirizzo IP dell'host nei suoi log, puoi impostare la variabile d'ambiente HOST_IP quando usi docker run:```sh docker run -p 3389:3389 -e HOST_IP=192.168.1.9 gosecure/pyrdp pyrdp-mitm 192.168.1.10

Tieni presente che esporre la rete dell'host a docker può compromettere l'isolamento tra il contenitore e l'host. Se hai intenzione di utilizzare il player, l'inoltro X11 tramite una connessione SSH sarebbe un modo più sicuro.

Conversione di video in Docker

Il processo di conversione video si basa su PyAV, ffmpeg e QT, quindi hai bisogno dell'immagine docker normale, non quella slim.

Hai bisogno di un mount di volume (-v) per condividere file con il contenitore. Qui mappiamo la nostra directory locale con /shared/ nel contenitore.```sh docker run -e QT_QPA_PLATFORM=offscreen -v $PWD/:/shared gosecure/pyrdp pyrdp-convert -f mp4 <filename-relative-to-volume-in-/shared/> -o /shared/