🚩 Patrocinadores

Se você gosta deste projeto, considere patrociná-lo no GitHub! Patrocinadores

EVILRDP - Mais controle sobre RDP

O gêmeo malvado do aardwolfgui usando a biblioteca de cliente RDP aardwolf que lhe dá controle estendido sobre o alvo e capacidades adicionais de script a partir da linha de comando.

Funcionalidades

• Controlar mouse e teclado de forma automatizada a partir da linha de comando
• Controlar a área de transferência de forma automatizada a partir da linha de comando
• Gerar um proxy SOCKS a partir do cliente que canaliza a comunicação de rede para o alvo via RDP
• Executar comandos SHELL e PowerShell arbitrários no alvo sem enviar arquivos
• Fazer upload e download de arquivos para/de o alvo mesmo quando as transferências de arquivos estão desabilitadas no alvo

Scripts

• evilrdp - Cliente RDP GUI + linha de comando

Uso

Após instalar este pacote, um novo executável chamado evilrdp estará disponível.
Ao estabelecer uma conexão bem-sucedida com o alvo, você verá uma GUI como em um cliente RDP normal, e a linha de comando de onde você executou evilrdp se transformará em um shell interativo.
Haverá dois grupos de comandos disponíveis para você, como segue:

• Comandos que podem ser emitidos a qualquer momento. Isso inclui comandos como:
  • mousemove
  • rightclick
  • doubleclick
  • type
  • typefile
  • return/enter
  • invokerun
  • clipboardset
  • clipboardsetfile
  • clipboardget
  • powershell
  • screenshot
• Comandos que funcionam apenas quando o canal PSCMD está estabelecido
  • pscmdchannel - Altera o nome do canal PSCMD do padrão. Use isso quando você alterou o nome do canal no arquivo de script do agente
  • startpscmd - Tenta iniciar automaticamente o agente remoto, o que permite que mais comandos sejam usados
  • pscmd - Executa um comando powershell
  • getfile - Baixa arquivo remoto
  • shell - Executa um comando shell
  • socksproxy - Inicia um proxy SOCKS4a/5

Como acontece com tudo relacionado a RDP, a execução automática de comandos nem sempre funciona, principalmente devido a problemas de temporização, portanto o startpscmd pode precisar ser usado 2 vezes, OU você pode precisar iniciar o canal PSCMD manualmente.
Quando o canal PSCMD inicia, você receberá uma notificação no seu shell cliente.

Formato de URL

Como de costume, os scripts aceitam o alvo/credenciais no formato de URL. Abaixo alguns exemplos

• rdp+kerberos-password://TEST\Administrator:[email protected]/?dc=10.10.10.2&proxytype=socks5&proxyhost=127.0.0.1&proxyport=1080
  CredSSP (também conhecido como HYBRID) autenticação usando Kerberos + senha via socks5 para win2016ad.test.corp, o controlador de domínio (serviço kerberos) está em 10.10.10.2. O proxy socks está em 127.0.0.1:1080
• rdp+ntlm-password://TEST\Administrator:[email protected]
  CredSSP (também conhecido como HYBRID) autenticação usando NTLM + senha conectando ao servidor RDP 10.10.10.103
• rdp+ntlm-password://TEST\Administrator:<NThash>@10.10.10.103
  CredSSP (também conhecido como HYBRID) autenticação usando Pass-the-Hash (NTLM) conectando ao servidor RDP

Agradecimentos

• Balazs Bucsay (@xoreipeip) SocksOverRDP. A ideia base para comunicações encobertas via RDP