הזרקת סוס טרויני ישירות לזיכרון
עם Powershell - כלי Unicorn
פרקי ההרצאה: הזרקת סוס טרויני ישירות לזיכרון עם Powershell - כלי Unicorn
תמלול ההרצאה: הזרקת סוס טרויני ישירות לזיכרון עם Powershell - כלי Unicorn
הטקסט המלא של הדקות הראשונות בהרצאה «הזרקת סוס טרויני ישירות לזיכרון עם Powershell - כלי Unicorn» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
שלום לכולם בהרצאה הזו אנחנו רוצים להתקין כלי מדהים שנקרא יוניקורן האט קרן שיודע להזריק את השל קוד שלנו את הקוד הזדוני שלנו ישירות לזיכרון בלי קובץ בדיסק בלי שאנטיווירוס יוכל לתפוס אותנו אנחנו נעשה הכל דרך פאוורשל כי פקודות של פאוורשל יכולות להיות מאוד
ארוכות ולמעשה נקודד את כל התוכנה שלנו את כל השל קוד הזדוני בתוך פקודה המטרה היא לא ליצור שום קובץ חדש בדיסק כדי שאנטיווירוס לא יופעל שלא יהיה טריגר שמפעיל אותו וכך אנחנו נתחמק ממנו.
כמובן שזה לא טריק שמאה אחוז עוקף את כל האנטיווירוסים אבל אתם חייבים להכיר את השיטה הזאת של הפעלת קוד זדוני ללא קובץ בדיסק האמת זה כולה קובץ אחד בפייתון שעושה לנו את כל העבודה אנחנו יכולים להפעיל אותו גם בווינדוס וגם בקאלי כי פייתון לא אכפת לו איפה לעבוד.
בואו נתחיל דווקא מקאלי. אנחנו בתוך קאלי נוריד את הקובץ הזה. הנה הוא. כתוב בפייתון 3. בואו נעלה למעלה ונוריד אותו.
יש פה כפתור row לראות אותו בצורה גולמית. הנה הקובץ ואני לוחץ כפתור ימני. סייף פייג' אאז לשמור אותו בשם unicorn.python אני עושה סייף בתיקי הדאונלוד.
ובשולחן העבודה שלי יש לי פה תיקיית Home, בפנים יש Downloads והנה הקובץ. בואו נעשה כפתור ימני Open Terminal Here פותחים טרמינל בתיקיית דאונלודס ואפשר להפעיל את הקובץ שלנו עם פייתון ולהעביר לו פרמטר או ארגומנט מינוס מינוס help ויש לנו כאן דוגמאות איך להשתמש בו עם PowerShell ועם מקרו של אופיס
ודפי html קודם כל מריצים אותו ומעבירים לו איזה פיילואוד להצפין. הוא יודע להשתמש בפיילואודים של מטרפריטר, זאת אומרת הוא יודע לקרוא ל-MSF פנום ולהוציא משם הפיילואוד.
כמובן שה-MSF פנום צריך להיות מותקן, וכשהוא מפעיל את ה-MSF פנום הוא צריך גם להגיד לו מה IP של קאלי, זה יכול להיות IP חיצוני שלי, זה יכול להיות השם החיצוני שלי, שם של מחשב, העיקר שהקורבן ידע להגיע ל-IP הזה ולפורט הזה.
אז למעשה הדבר הזה מפעיל לי MSF ונום, מוציא משם את הפיילורד הזדוני של Metasploit ומקודד את הכל בפקודות של PowerShell. ככה נראית הפקודה הסופית, פייתון, אפשר גם לכתוב פייתון 3, יוניקורן py, איזה של אני רוצה מתוך ה-MSF ונום, מתוך ה-Metasploit framework, מה ה-IP של קאלי שלי
ובאיזה פורט יתחברו אליי. אני עושה Enter והוא מתחיל לעבוד. אנחנו רואים כאן שהוא הצליח ויצר לי קובץ power של attack.txt ו-unicorn rc מה זה unicorn rc זה למעשה המאזין שאני אצור בתוך קאלי כל מה שצריך בשביל לקבל את הקונקשן בואו נראה את הקובץ cut unicorn rc אנחנו רואים פה שזה הפקודות שאנחנו מריצים בתוך המטה ספלויט
דרך אגב אני רואה פה שהוא ביטל טעינה אוטומטית של מודול סטנדרטי של Metasploit. כנראה שהוא רוצה להתחמק מאנטיווירוס בתחנה שמחפשת את המודול הסטנדרטי הזה.
הכוונה פה שאחרי החיבור אנחנו לבד נטעין את המודול של פקודות סטנדרטיות של Metasploit. ככה האנטיווירוס ברגע ההפעלה לא יוכל לעלות עלינו כי הוא הוא יסרוק את הזיכרון האנטיבירוס ולא יראה את המודול הסטנדרטי של Metasploit אז הוא לא יבין שזאת תוכנה זדונית ואחרי שהאנטיבירוס נרגע זה לוקח לו איזה שנייה אחת לסרוק את הזיכרון אנחנו נטעין את הסטנדרט API מודול
ידנית טריק יפה אנחנו רואים פה שיש קובץ אחד עם מאזין שאמור לקבל את החיבור שלא נצטרך להקליד את זה ידנית אנחנו פשוט מפעילים את המטה ספלויט יוניקורן rc והוא מוכן לקבל תקשורת בואו נעשה את זה ניכנס לדאונלודס ונפעיל פה msf console -r unicorn rc שיקח את הפקודות מפה ויהיה מוכן לקבל את החיבור אני קורא לזה ליסנר מאזין הם קוראים לזה הנדלר ואפשר לראות שאין לנו
סשנים כרגע מחוברים אין לנו אף קורבן שמחובר לו את מינוס ג'יי מריץ את הראן כג'וב מאחורי הקלעים וכל מי שיתחבר ייכנס פה לרשימת סשינים פתוחים מאחורי הקלעים שאני אוכל להתחבר אליהם מתי שאני ארצה.
הוא לא תוקע לי את הממשק שאיתו אני כותב פקודות, כל החיבורים מתבצעים כמו ג'וב מאחורי הקלעים. אתם רואים running as background job.
ראן רגיל מקבל את החיבור לממשק שאני עובד עליו. ומה יש לנו בקובץ פאור של הטאק? נעשה קאט על הקובץ הזה. יש לנו פה שני חלקים.
החלק הראשון נועד לעקוף את אמסי, זה למעשה אנטיווירוס שמובנה בפאורשל. אני אדבר על זה בהרצאה הבאה, אסביר לכם לעומק איך זה עובד, אנטי מיילוור סקן אינטרפייס.
כרגע אני לא הולך לעקוף את האנטיווירוס בתוך פאורשל, אני מתעלם מהחלק הזה, אני לוקח את הפקודת פאור של השנייה זה למעשה הפיילואוד שלי הפצצה שלי שאני אמור להפעיל במחשב של הקורבן לאחר שאני פורץ אליו כרגע אני לא מתעסק בכלל בנושא איך אני מגיע לקורבן אם אני שולח לו את זה במייל או פרצתי לאיזושהי