🚩 スポンサー

このプロジェクトが気に入ったら、GitHubでスポンサーになることを検討してください！ スポンサー

EVILRDP - RDPのより高度な制御

これは、aardwolfguiの邪悪な双子で、aardwolf RDPクライアントライブラリを使用し、ターゲットに対する拡張制御とコマンドラインからの追加のスクリプト機能を提供します。

特徴

• コマンドラインから自動的にマウスとキーボードを制御
• コマンドラインから自動的にクリップボードを制御
• RDP経由でターゲットへのネットワーク通信をチャネルするSOCKSプロキシをクライアントから起動
• ファイルをアップロードせずにターゲット上で任意のSHELLおよびPowerShellコマンドを実行
• ターゲットでファイル転送が無効になっていても、ターゲットとの間でファイルをアップロード/ダウンロード

スクリプト

• evilrdp - GUI + コマンドラインRDPクライアント

使用方法

このパッケージをインストールすると、evilrdp という新しい実行ファイルが利用可能になります。
ターゲットへの接続に成功すると、通常のRDPクライアントと同様のGUIが表示され、evilrdp を実行したコマンドラインはインタラクティブシェルに変わります。
以下の2つのコマンドグループが利用可能になります:

• いつでも実行できるコマンド。以下のようなコマンドが含まれます:
  • mousemove
  • rightclick
  • doubleclick
  • type
  • typefile
  • return/enter
  • invokerun
  • clipboardset
  • clipboardsetfile
  • clipboardget
  • powershell
  • screenshot
• PSCMD チャンネルが確立されている場合にのみ動作するコマンド
  • pscmdchannel - デフォルトからPSCMDチャンネル名を変更します。エージェントスクリプトファイルでチャンネル名を変更した場合に使用します。
  • startpscmd - リモートエージェントを自動的に起動しようとします。これにより、さらにコマンドが使用可能になります。
  • pscmd - PowerShellコマンドを実行します。
  • getfile - リモートファイルをダウンロードします。
  • shell - シェルコマンドを実行します。
  • socksproxy - SOCKS4a/5プロキシを起動します。

すべてのRDP関連と同様に、自動コマンド実行はタイミングの問題で常に機能するとは限りません。そのため、startpscmd を2回使用する必要がある場合や、PSCMD チャンネルを手動で起動する必要がある場合があります。
PSCMD チャンネルが起動すると、クライアントシェルに通知が表示されます。

URL形式

通常通り、スクリプトはターゲット/資格情報をURL形式で受け取ります。以下にいくつかの例を示します。

• rdp+kerberos-password://TEST\Administrator:[email protected]/?dc=10.10.10.2&proxytype=socks5&proxyhost=127.0.0.1&proxyport=1080
  CredSSP（別名HYBRID）認証。Kerberos認証 + パスワードを使用し、socks5 経由で win2016ad.test.corp に接続。ドメインコントローラ（Kerberosサービス）は 10.10.10.2。SOCKSプロキシは 127.0.0.1:1080 にあります。
• rdp+ntlm-password://TEST\Administrator:[email protected]
  CredSSP（別名HYBRID）認証。NTLM認証 + パスワードを使用し、RDPサーバ 10.10.10.103 に接続。
• rdp+ntlm-password://TEST\Administrator:<NThash>@10.10.10.103
  CredSSP（別名HYBRID）認証。Pass-the-Hash（NTLM）認証を使用し、RDPサーバ 10.10.10.103 に接続。

謝辞

• Balazs Bucsay (@xoreipeip) SocksOverRDP。RDPを介した隠蔽通信の基本的なアイデア。