🚩 후원자

이 프로젝트가 마음에 드신다면 GitHub에서 후원을 고려해 주세요! Sponsors

EVILRDP - RDP에 대한 더 많은 제어

aardwolfgui의 사악한 쌍둥이로, aardwolf RDP 클라이언트 라이브러리를 사용하여 대상에 대한 확장된 제어와 명령줄에서 추가 스크립팅 기능을 제공합니다.

기능

• 명령줄에서 마우스와 키보드를 자동으로 제어
• 명령줄에서 클립보드를 자동으로 제어
• 클라이언트에서 SOCKS 프록시를 생성하여 RDP를 통해 대상으로 네트워크 통신을 전달
• 파일을 업로드하지 않고 대상에서 임의의 SHELL 및 PowerShell 명령 실행
• 대상에서 파일 전송이 비활성화된 경우에도 대상으로/로부터 파일 업로드 및 다운로드

스크립트

• evilrdp - GUI + 명령줄 RDP 클라이언트

사용법

이 패키지를 설치하면 evilrdp라는 새로운 실행 파일이 제공됩니다.
대상에 성공적으로 연결하면 일반 RDP 클라이언트와 같은 GUI가 나타나며, evilrdp를 실행한 명령줄은 대화형 셸로 전환됩니다.
다음과 같이 두 가지 명령 그룹을 사용할 수 있습니다.

• 언제든지 실행할 수 있는 명령. 여기에는 다음과 같은 명령이 포함됩니다.
  • mousemove
  • rightclick
  • doubleclick
  • type
  • typefile
  • return/enter
  • invokerun
  • clipboardset
  • clipboardsetfile
  • clipboardget
  • powershell
  • screenshot
• PSCMD 채널이 설정된 경우에만 작동하는 명령
  • pscmdchannel - 기본값에서 PSCMD 채널 이름을 변경합니다. 에이전트 스크립트 파일에서 채널 이름을 변경한 경우 사용합니다.
  • startpscmd - 추가 명령을 사용할 수 있도록 원격 에이전트를 자동으로 시작하려고 시도합니다
  • pscmd - PowerShell 명령을 실행합니다.
  • getfile - 원격 파일을 다운로드합니다.
  • shell - 셸 명령을 실행합니다.
  • socksproxy - SOCKS4a/5 프록시를 시작합니다.

모든 RDP 관련 작업에서 그렇듯이 자동 명령 실행은 주로 타이밍 문제로 인해 항상 작동하지 않으므로 startpscmd를 두 번 사용해야 할 수도 있고, 수동으로 PSCMD 채널을 시작해야 할 수도 있습니다.
PSCMD 채널이 시작되면 클라이언트 셸에 알림이 표시됩니다.

URL 형식

평소처럼 스크립트는 대상/자격 증명을 URL 형식으로 사용합니다. 몇 가지 예는 다음과 같습니다.

• rdp+kerberos-password://TEST\Administrator:[email protected]/?dc=10.10.10.2&proxytype=socks5&proxyhost=127.0.0.1&proxyport=1080
  CredSSP (일명 HYBRID) 인증, Kerberos 인증 + 비밀번호 사용, socks5를 통해 win2016ad.test.corp에 연결, 도메인 컨트롤러(Kerberos 서비스)는 10.10.10.2에 있습니다. SOCKS 프록시는 127.0.0.1:1080에 있습니다.
• rdp+ntlm-password://TEST\Administrator:[email protected]
  CredSSP (일명 HYBRID) 인증, NTLM 인증 + 비밀번호 사용, RDP 서버 10.10.10.103에 연결
• rdp+ntlm-password://TEST\Administrator:<NThash>@10.10.10.103
  CredSSP (일명 HYBRID) 인증, Pass-the-Hash(NTLM) 인증 사용, RDP 서버 10.10.10.103에 연결

감사의 말

• Balazs Bucsay (@xoreipeip) SocksOverRDP. RDP를 통한 은밀한 통신의 기본 아이디어.