Instructeur: Dans tous
les scénarios et vidéos que
nous avons réalisés jusqu'à présent, nous perdrions notre connexion
à l'ordinateur cible dès que la personne cible redémarrera son
ordinateur car nous utilisions une porte dérobée normale.
Une fois qu'ils ont redémarré
leur ordinateur, notre porte dérobée sera
fermée, le processus
sera terminé et nous perdrons la connexion.
Dans la conférence d'aujourd'hui, nous allons parler de
méthodes qui nous permettront de conserver notre
accès à l'ordinateur cible
afin que nous puissions revenir
à tout moment et reprendre le plein contrôle de cet ordinateur.
Il existe un certain nombre de méthodes pour le faire.
Le premier utilise Veil-Evasion.
Nous pouvons utiliser, au lieu de la porte
dérobée normale, la porte dérobée HTTP que nous avons créée.
Vous pouvez utiliser un service HTTP ou un service TCP.
Je vais vous montrer ici.
Si je me
contente de lancer Veil-Evasion
et de dresser une liste, vous voyez que nous avons, au numéro
sept ici et au numéro
cinq, un service de backdoors.
Vous pouvez utiliser n'importe lequel d'entre eux.
Si j'en utilise cinq, et que nous pouvons
voir l'info, il ne
vous reste plus qu'à configurer votre hôte.
Mettez le lhost puis générez la porte dérobée.
Une fois que vous l'avez généré, vous
pouvez l'utiliser et le combiner avec
d'autres éléments et l'envoyer à la personne cible comme nous
l'avons fait, ou vous pouvez
le télécharger à l'aide de la commande de
téléchargement que nous avons apprise, puis l'exécuter.
Et cela installera la porte dérobée en tant
que service sur l'ordinateur cible.
Ensuite, tout ce que vous avez à faire est
d’utiliser le multi / gestionnaire, et chaque fois
que leur ordinateur cible démarre, il essaie de se reconnecter
car il s’agit d’un shell inversé.
Maintenant, je ne vais pas
expliquer cette méthode car cette méthode est très simple.
Nous avons déjà fait quelque chose de très similaire.
Nous avons créé une porte dérobée à l'aide
de Veil-Evasion et avons téléchargé des éléments sur l'ordinateur cible.
Tout ce que vous avez à faire est
de créer une porte dérobée, de la télécharger, de l'exécuter et vous avez terminé.
En outre, cela ne fonctionne
pas toujours, c'est pourquoi je ne vais pas l'expliquer.
Les portes dérobées normales sont beaucoup plus
fiables, c'est pourquoi j'ai utilisé une porte dérobée normale en la
combinant avec des éléments
et en modifiant son icône, etc.
L'autre méthode consiste
à utiliser un module fourni
avec Meterpreter, appelé Persistence.
Laissez-moi vous montrer comment vous utilisez cela.
Si vous voulez utiliser cela, tout ce que vous avez à faire est
de lancer, et le nom du module est persistence,
nous allons donc le taper.
Ensuite, je vais mettre moins H pour voir le menu d'aide et
me montrer toutes les options que je peux configurer.
Vous pouvez utiliser le A pour démarrer un multi
/ gestionnaire (marmonnements).
Vous n'avez pas vraiment besoin de faire ça.
Vous n'avez pas vraiment besoin de
changer l'emplacement où la porte dérobée sera installée.
L'option moins P spécifiera la charge utile.
Encore une fois, windows / meterpreter / reverse_tcp
est une très bonne
charge utile, vous n’avez donc pas besoin de vous embêter avec cela.
S consiste à le faire commencer à utiliser les privilèges du système.
Comme vous l'avez vu précédemment, nous n'avons pas de privilèges
système, nous avons des privilèges d'utilisateur normaux.
Donc, ce que vous devriez utiliser est moins U.
Ensuite, vous pouvez utiliser le moins i pour configurer la
durée pendant laquelle
la porte dérobée essaiera de se reconnecter.
Il essaiera de se connecter toutes
les 10 ou 20 secondes ou 15
secondes, selon votre choix.
p pour spécifier le
port, et r pour spécifier votre ordinateur, l'adresse IP de votre ordinateur.
Pour exécuter ceci, tout ce que vous avez à
faire est d’exécuter
la persistance, utilisez moins U pour le démarrer avec les privilèges de l’utilisateur.
J'utiliserais l'intervalle, je l'ai probablement mis à 20 secondes.
Il essaiera de me reconnecter toutes les 20 secondes.
Ensuite, j'utilise le moins p, et je mettrai probablement 80 parce que, comme je
l'ai dit, le port 80 ne semble pas suspect.
La personne ciblée
verra que notre connexion tente de sortir au port
80, ce qui est cool, ce n'est pas vraiment suspect.
Ensuite, j'utiliserais moins r pour spécifier mon adresse IP, qui
est 10. 20 14 203.
Très simple.
La persistance est le module que
vous allez utiliser, U pour l’exécuter sous les privilèges
de l’utilisateur,
i, la durée en secondes pour chaque tentative
de connexion, p pour spécifier le port
sur lequel vous allez écouter, et r pour spécifier votre adresse IP.
Maintenant, évidemment, une fois que vous exécutez
ceci, si vous voulez qu'il reçoive une
connexion, vous devez démarrer multi / handler sur
le port 80 ou sur le port sélectionné et l'utiliser
dans la charge utile sélectionnée.
Le problème avec ces méthodes
est qu’elles sont détectables par les programmes antivirus.
Par conséquent, je ne vais pas expliquer (le son est coupé).
Je vais
expliquer que ces deux méthodes ne
sont pas détectables par les antivirus et
qu’elles sont beaucoup plus robustes que
la première méthode utilisant Veil-Evasion.