🚩 Sponsor

Se ti piace questo progetto, considera di sponsorizzarlo su GitHub! Sponsor

EVILRDP - Più controllo su RDP

Il gemello malvagio di aardwolfgui che utilizza la libreria client RDP aardwolf che ti offre un controllo esteso sul target e capacità di scripting aggiuntive dalla riga di comando.

Caratteristiche

• Controlla mouse e tastiera in modo automatizzato dalla riga di comando
• Controlla la clipboard in modo automatizzato dalla riga di comando
• Avvia un proxy SOCKS dal client che incanala la comunicazione di rete al target tramite RDP
• Esegui comandi SHELL e PowerShell arbitrari sul target senza caricare file
• Carica e scarica file da/verso il target anche quando i trasferimenti di file sono disabilitati sul target

Script

• evilrdp - Client RDP GUI + riga di comando

Utilizzo

Dopo aver installato questo pacchetto, un nuovo eseguibile chiamato evilrdp sarà disponibile.
Dopo aver effettuato una connessione riuscita al target, ti verrà presentata una GUI proprio come un normale client RDP, e la riga di comando da cui hai eseguito evilrdp si trasformerà in una shell interattiva.
Ci saranno due gruppi di comandi a tua disposizione, come segue:

• Comandi che possono essere emessi in qualsiasi momento. Questi includono comandi come:
  • mousemove
  • rightclick
  • doubleclick
  • type
  • typefile
  • return/enter
  • invokerun
  • clipboardset
  • clipboardsetfile
  • clipboardget
  • powershell
  • screenshot
• Comandi che funzionano solo quando il canale PSCMD è stabilito
  • pscmdchannel - Cambia il nome del canale PSCMD rispetto a quello predefinito. Usalo quando hai cambiato il nome del canale nel file dello script agente
  • startpscmd - Questo tenta di avviare automaticamente l'agente remoto che permette l'uso di ulteriori comandi
  • pscmd - Esegue un comando powershell
  • getfile - Scarica un file remoto
  • shell - Esegue un comando shell
  • socksproxy - Avvia un proxy SOCKS4a/5

Come per tutte le cose RDP, l'esecuzione automatica dei comandi non funziona sempre, principalmente a causa di problemi di temporizzazione, quindi startpscmd potrebbe dover essere usato 2 volte, OPPURE potrebbe essere necessario avviare manualmente il canale PSCMD.
Quando il canale PSCMD si avvia, riceverai una notifica nella shell del tuo client.

Formato URL

Come di consueto, gli script accettano target/credenziali in formato URL. Di seguito alcuni esempi

• rdp+kerberos-password://TEST\Administrator:[email protected]/?dc=10.10.10.2&proxytype=socks5&proxyhost=127.0.0.1&proxyport=1080
  Autenticazione CredSSP (aka HYBRID) usando Kerberos + password tramite socks5 a win2016ad.test.corp, il controller di dominio (servizio kerberos) è a 10.10.10.2. Il proxy socks è su 127.0.0.1:1080
• rdp+ntlm-password://TEST\Administrator:[email protected]
  Autenticazione CredSSP (aka HYBRID) usando NTLM + password che si connette al server RDP 10.10.10.103
• rdp+ntlm-password://TEST\Administrator:<NThash>@10.10.10.103
  Autenticazione CredSSP (aka HYBRID) usando Pass-the-Hash (NTLM) che si connette al server RDP 10.10.10.103

Riconoscimenti

• Balazs Bucsay (@xoreipeip) SocksOverRDP. L'idea di base per le comunicazioni nascoste su RDP