Instructeur: In alle scenario's
en video's die we tot nu toe hebben gedaan,
zouden we onze verbinding met de doelcomputer verliezen zodra
de doelpersoon zijn computer opnieuw opstart, omdat we een normale
achterdeur gebruikten.
Zodra ze hun computer herstarten,
zal onze achterdeur worden beëindigd,
het proces worden beëindigd
en we verliezen de verbinding.
In de lezing van vandaag gaan we het hebben over
methoden waarmee we onze toegang tot de doelcomputer
kunnen behouden, zodat we op elk
moment terug kunnen komen en weer volledige
controle over die computer krijgen.
Er zijn een aantal methoden om dat te doen.
De eerste gebruikt Veil-Evasion.
We kunnen, in plaats van de normale backdoor, de
HTTP-backdoor gebruiken die we hebben gemaakt.
U kunt een HTTP-dienst of een TCP-dienst gebruiken.
Ik zal het je hier laten zien.
Als ik Veil-Evasion
uitvoer en een lijst
maak, zie je dat we op nummer zeven hier en op nummer
vijf backdoors hebben.
Je kunt ze allemaal gebruiken.
Als ik vijf gebruik, en we kunnen de
info zien, hoef je alleen
maar je lhost in te stellen.
Zet de lhost en genereer dan de achterdeur.
Zodra je het hebt gegenereerd, kun je
het gebruiken en combineren met
andere dingen en het naar de doelpersoon sturen,
zoals wij deden, of je kunt het
uploaden met het uploadcommando dat we leerden,
en het dan uitvoeren.
En dat zal de achterdeur installeren als
een service op de doelcomputer.
Dan hoeft u alleen maar de multi/handler te gebruiken,
en telkens als hun doelcomputer opstart, zal
hij proberen weer verbinding met u te maken, omdat
dit een reverse shell is.
Nu ga ik deze methode niet uitleggen,
want deze methode is heel eenvoudig.
We hebben zoiets al eerder gedaan.
We hebben een achterdeur gemaakt met Veil-Evasion
en dingen geupload naar de doelcomputer.
Alles wat je moet doen is een achterdeur
maken, uploaden, uitvoeren, en je bent klaar.
Het werkt ook niet altijd,
dus daarom ga ik het niet uitleggen.
De normale backdoors zijn veel betrouwbaarder,
daarom gebruikte ik een normale backdoor toen ik hem combineerde
met dingen en zijn pictogram
veranderde en zo.
De andere methode is om een
module te gebruiken die bij Meterpreter
zit, die Persistence heet.
Ik zal je laten zien hoe je dat gebruikt.
Als je dat wilt gebruiken, hoef je alleen maar run te doen, en
de naam van de module is persistentie, dus
dat gaan we intypen.
Dan zet ik min H om het helpmenu te zien met alle
opties die ik kan instellen.
Je kunt de A gebruiken om een multi/handler te
starten (mompelt).
Dat hoef je niet echt te doen.
U hoeft de locatie waar de achterdeur wordt
geïnstalleerd niet echt te veranderen.
De min P-optie geeft de payload aan.
Nogmaals, windows/meterpreter/reverse_tcp
is een echt goede payload,
dus daar hoef je niet echt mee te knoeien.
S is om hem systeemrechten te laten gebruiken.
Zoals je eerder hebt gezien, hebben we geen systeemrechten,
maar normale gebruikersrechten.
Dus, wat je zou moeten gebruiken is min U.
Dan kun je met de min i instellen hoe lang de backdoor
zal proberen weer
verbinding met je te maken.
Hij zal elke 10 seconden, of 20 seconden,
of 15 seconden proberen te verbinden,
wat u ook opgeeft.
p om de poort te specificeren,
en r om het IP van uw computer te specificeren.
Om dit uit te voeren hoef je alleen maar run persistence
te doen, gebruik min
U om het te starten onder gebruikersrechten.
Ik zou het interval gebruiken, ik zet het waarschijnlijk op 20 seconden.
Hij probeert elke 20 seconden een verbinding met me te maken.
Dan gebruik ik de min p, en ik zal waarschijnlijk 80 zetten omdat, zoals
ik al zei, de poort 80 er niet verdacht uitziet.
Het doelwit zal zien
dat onze verbinding probeert uit te komen op poort
80, wat cool is, het is niet echt verdacht.
Dan gebruik ik min r om mijn IP te specificeren,
dat is 10. 20. 14. 203.
Heel eenvoudig.
Persistence is de module die je gaat gebruiken,
U om het onder gebruikersrechten te laten draaien,
i, het aantal seconden
voor elke keer dat het probeert verbinding met
je te maken, p om de poort te specificeren waarop
je gaat luisteren, en r om je IP te specificeren.
Nu, als je dit draait, moet je natuurlijk,
als je wilt dat het een verbinding ontvangt,
multi/handler starten op poort 80 of op
de geselecteerde poort en gebruiken in de geselecteerde
payload.
Het probleem met deze methode is dat
het detecteerbaar is door antivirus programma's.
Daarom ga ik het niet uitleggen.
Wat ik ga uitleggen
is een combinatie van beide methoden die
niet door antivirussen kan worden opgespoord
en veel robuuster is dan de eerste methode
met Veil-Evasion.