r00t-3xp10it/redpill역방향 TCP 셸의 사후 탐색 작업을 지원합니다.
redpill 프로젝트는 역방향 TCP 셸이 사후 탐색 작업을 지원하는 것을 목표로 합니다. 종종 레드팀 업무에서
시스템 관리자가 구현한 방어를 우회하기 위해 메타스플로이트가 아닌 역방향 TCP 셸과 같은 비전통적인 방법을
사용하여 대상 시스템에 접근해야 합니다. 첫 번째 단계가 성공적으로 완료된 후, 우리는 또 다른 유형의 문제에 직면합니다:
"대상 시스템에 (셸) 접근 권한이 있는데, 이제 무엇을 할 수 있습니까?"
이 프로젝트는 다양한 사후 침투 작업을 수행하는 여러 PowerShell 스크립트로 구성되어 있으며,
메인 스크립트인 redpill.ps1의 주요 작업은 이 저장소에 포함된 스크립트를 다운로드/설정/실행하는 것입니다.
목표는 역방향 TCP 셸 프롬프트에서 meterpreter와 유사한 경험(meterpreter 유사 옵션)을 제공하는 것입니다.
이 cmdlet은 사후 침투 모듈로 venom v1.0.17.8 구조에 속합니다.
venom amsi 회피 에이전트는 이 CmdLet을 %TMP% 디렉터리에 자동으로 업로드하여
역방향 TCP 셸(셸 프롬프트)에서 쉽게 접근할 수 있도록 합니다.
사용 가능한 모든 매개변수를 나열하려면 PowerShell 프롬프트에서 다음을 실행하세요:
.\redpill.ps1 -Help Parameters
이 cmdlet은 사후 침투 모듈로 venom v1.0.17.8 구조에 속합니다.
venom amsi 회피 에이전트는 이 CmdLet을 %TMP% 디렉터리에 자동으로 업로드하여
역방향 TCP 셸(셸)에서 쉽게 접근할 수 있도록 합니다.
'이 섹션에서는 대상 호스트를 침해하지 않고 이 Cmdlet을 로컬에서 테스트하는 방법을 설명합니다'
1º - GitHub 저장소에서 CmdLet을 '로컬 디스크'에 다운로드
iwr -Uri https://raw.githubusercontent.com/r00t-3xp10it/redpill/main/redpill.ps1 -OutFile redpill.ps1|Unblock-File
2º - PowerShell 실행 정책을 'UnRestricted'로 설정
Set-ExecutionPolicy UnRestricted -Scope CurrentUser
3º - 'redpill.ps1' 저장 디렉터리로 이동
cd C:\Users\pedro\Desktop
4º - CmdLet 도움말 메뉴 접근 {모든 매개변수}
.\redpill.ps1 -Help Parameters
이 cmdlet은 사후 침투 모듈로 venom v1.0.17.8 구조에 속합니다.
venom amsi 회피 에이전트는 이 CmdLet을 %TMP% 디렉터리에 자동으로 업로드하여
역방향 TCP 셸(셸 프롬프트)에서 쉽게 접근할 수 있도록 합니다.
1º - 역방향 TCP 셸 프롬프트에서 실행
[SKYNET] C:\Users\pedro\AppData\Local\Temp> powershell -File redpill.ps1 -Help Parameters
2º - [ -WifiPasswords ] 상세 매개변수 도움말 접근
[SKYNET] C:\Users\pedro\AppData\Local\Temp> powershell -File redpill.ps1 -Help WifiPasswords
3º - [ -WifiPasswords ] [ Dump ] 모듈 실행
[SKYNET] C:\Users\pedro\AppData\Local\Temp> powershell -File redpill.ps1 -WifiPasswords Dump
iwr -Uri https://raw.githubusercontent.com/r00t-3xp10it/redpill/main/redpill.ps1 -OutFile redpill.ps1|Unblock-File
데모 - 이 튜토리얼에서는 sysinfo, GetPasswords, UacMe 모듈을 사용합니다
MouseLogger - psr.exe를 사용하여 '마우스 클릭' 스크린샷 캡처
PhishCreds - 로그인 자격 증명 피싱 또는 사용자 계정 비밀번호 무차별 대입
FileMace - 파일 타임스탬프 변경 {CreationTime, LastAccessTime, LastWriteTime}
CsOnTheFly - URL에서 다운로드, 자동 컴파일 및 CS 스크립트 즉시 실행!
EOP - 권한 상승을 위한 누락된 소프트웨어 패치 찾기
| CmdLet 매개변수 이름 | 매개변수 인수 | 설명 |
|---|
| -SysInfo | Enum | Verbose | 빠른 시스템 정보 또는 상세 열거 |
| -GetConnections | Enum | Verbose | 원격 호스트 활성 TCP 연결 열거 |
| -GetDnsCache | Enum | Clear | 원격 호스트 DNS 캐시 항목 열거\삭제 |
| -GetInstalled | Enum | 원격 호스트에 설치된 애플리케이션 열거 |
| -GetProcess | Enum | Kill | Tokens | 원격 호스트에서 실행 중인 프로세스 열거 또는 종료 |
| -GetTasks | Enum | Create | Delete | 원격 호스트에서 실행 중인 작업 열거\생성\삭제 |
| -GetLogs | Enum | Verbose | Clear | 이벤트 뷰어 로그 열거 또는 모든 이벤트 로그 지우기 |
| -LiveStream | Bind | Reverse | Stop | MJPEG을 사용하여 대상 데스크톱을 스트리밍하는 Nishang 스크립트 |
| -GetBrowsers | Enum | Verbose | Creds | 설치된 브라우저 및 버전 열거 또는 상세 정보 |
| -GetSkype | Contacts|DomainUsers | 페더레이션 Skype 열거 및 공격 |
| -Screenshot | 1 | 데스크톱 스크린샷 1개를 캡처하여 %TMP%에 저장 |
| -Camera | Enum | Snap | 컴퓨터 웹캠 열거 또는 기본 웹캠 스냅샷 캡처 |
| -StartWebServer | Python | Powershell | 웹 서버를 %TMP%에 다운로드하고 실행 |
| -Keylogger | Start | Stop | 원격 호스트 키 입력 녹화 시작 또는 중지 |
| -MouseLogger | Start | 10초 동안 마우스 클릭 스크린샷 캡처 |
| -PhishCreds | Start | Brute | 현재 사용자에게 유효한 자격 증명을 요청하고 캡처 유출 |
| -GetPasswords | Enum | Dump | 다양한 위치(저장소|레지스트리|디스크)의 비밀번호 열거 |
| -PasswordSpray | Spray | Active Directory의 계정에 대한 비밀번호 스프레이 공격! |
| -WifiPasswords | Dump | ZipDump | 사용 가능한 SSID 열거 또는 모든 와이파이 비밀번호 ZipDump |
| -EOP | Enum | Verbose | 권한 상승을 위한 누락된 소프트웨어 패치 찾기 |
| -ADS | Enum | Create | Exec | Clear | $DATA 레코드(ADS)에 스크립트(bat | ps1 | exe) 숨기기 |
| -BruteZip | $Env:TMP\archive.zip | 7z.exe를 사용하여 선택한 Zip 아카이브 무차별 대입 |
| -Upload | script.ps1 | 공격자 apache2 웹 루트에서 script.ps1 업로드 |
| -Persiste | $Env:TMP\Script.ps1 | 모든 시작 시 script.ps1 지속(BeaconHome) |
| -CleanTracks | Clear | Paranoid | 남겨진 디스크 아티팩트 정리(시스템 흔적 정리) |
| -AppLocker | Enum | WhoAmi | TestBat | 약한 권한의 AppLocker 디렉터리 열거 |
| -FileMace | $Env:TMP\test.txt | 파일 Mace 변경(생성 시간, 마지막 액세스 시간, 마지막 쓰기 시간) |
| -MetaData | $Env:TMP\test.exe | 파일/애플리케이션 설명(메타데이터) 표시 |
| -psgetsys | Enum | Auto | Impersonate | 다른 부모 프로세스 아래에서 프로세스 생성! |
| -MsgBox | "Hello World." | 로컬 호스트에 "Hello World." 메시지 상자 생성(wscriptComObject) |
| -SpeakPrank | "Hello World." | 원격 호스트가 사용자 입력 문장을 말하게 함(장난) |
| -NetTrace | Enum | netsh(네이티브)를 사용한 적극적인 열거 |
| -PingSweep | Enum | Verbose | 로컬 LAN의 활성 IP 주소 및 열린 포트 열거 |
| -DnsSpoof | Enum | Redirect | Clear | 도메인 이름을 피싱 IP 주소로 리디렉션 |
| -DisableAV | Query | Start | Stop | Windows Defender 서비스(WinDefend) 비활성화 |
| -HiddenUser | Query | Create | Delete | 숨겨진 사용자 계정 쿼리\생성\삭제 |
| -CsOnTheFly | Compile | Execute | CS 스크립트 다운로드, 컴파일(EXE) 및 실행 |
| -CookieHijack | Dump|History | Edge|Chrome 쿠키 하이재킹 도구 |
| -UacMe | Bypass | Elevate | Clean | DLL 리플렉션을 통한 UAC 우회|EOP! (cmstp.exe) |
| -GetAdmin | check | exec | 세션을 UserLand에서 Administrator로 승격! |
| -NoAmsi | List | TestAll | Bypass | AMS1 우회 테스트 또는 단순히 하나의 우회 실행 |
| -Clipboard | Enum | Capture | Prank | 클립보드 텍스트\파일\이미지\오디오 내용 캡처! |
| -GetCounterMeasures | Enum | verbose | 실행 중인 일반 보안 프로세스\PID 나열! |
| -DumpLsass | lsass| all | lsass/sam/system/security 프로세스\레지스트리 하이브에서 데이터 덤프 |
각 매개변수에 대한 자세한 정보를 표시하려면 다음을 실행하세요:
Syntax : .\redpill.ps1 -Help [ Parameter Name ]
Example: .\redpill.ps1 -Help WifiPasswords
5º - [ -WifiPasswords ] 상세 매개변수 도움말 접근
Syntax : .\redpill.ps1 -Help [ Parameter Name ]
Example: .\redpill.ps1 -Help WifiPasswords
6º - [ -WifiPasswords ] [ Dump ] 모듈 실행
Syntax : .\redpill.ps1 [ Parameter Name ] [ @argument ]
Example: .\redpill.ps1 -WifiPasswords Dump
7º - [ -sysinfo ] [ Enum ] 모듈 실행
Syntax : .\redpill.ps1 [ Parameter Name ] [ @argument ]
Example: .\redpill.ps1 -sysinfo Enum
| hax0r | 기능 | OS 종류 |
|---|
| @youhacker55 | 이 cmdlet 디버깅(베타 버전 테스트)에 대한 모든 도움 | Windows 7 x64bits |
| @0xyg3n | 이 cmdlet 디버깅(베타 버전 테스트)에 대한 모든 도움 | Windows 10 x64bits |
| @Shanty_Damayanti | 이 cmdlet 디버깅(amsi 문자열 감지 우회) | Windows 10 x64bits |
| @miltinhoc | 이 cmdlet 디버깅 및 비디오 튜토리얼 녹화 | Windows 10 x64bits |