Instructor: En todos
los escenarios y videos que
hemos hecho hasta ahora, perderíamos nuestra conexión con la
computadora objetivo tan pronto como la persona objetivo reinicie su
computadora porque usamos una puerta trasera normal.
Una vez que reinicien
su computadora, nuestra puerta
trasera finalizará, el
proceso finalizará y perderemos la conexión.
En la conferencia de hoy, vamos a hablar
sobre métodos que nos permitirán mantener nuestro
acceso a la computadora
de destino para que podamos regresar
en cualquier momento y recuperar nuestro control total sobre esa computadora.
Hay varios métodos para hacer eso.
El primero está usando Veil-Evasion.
Podemos usar, en lugar de la puerta
trasera normal, la puerta trasera HTTP que creamos.
Puede usar un servicio HTTP o un servicio TCP.
De hecho, te mostraré aquí.
Si solo
ejecuto Veil-Evasion, y hago
una lista, verá que tenemos, en el número siete aquí y
en el número cinco,
tenemos puertas traseras de servicio.
Puedes usar cualquiera de ellos.
Si uso cinco, y podemos ver la información,
todo lo que
tiene que hacer es configurar su lhost.
Pon el lhost y luego genera la puerta trasera.
Una vez que lo genera, puede
usarlo y combinarlo con otras
cosas y enviarlo a la persona objetivo como
lo hicimos nosotros,
o puede cargarlo usando el comando de
carga que aprendimos y luego ejecutarlo.
Y eso instalará la puerta trasera como un
servicio en la computadora de destino.
Entonces, todo lo que necesita hacer es usar el controlador
múltiple, y cada vez que se inicie su
computadora de destino, intentará conectarse de nuevo a usted porque
se trata de un shell inverso.
Ahora, no voy a
explicar este método porque este método es muy simple.
Hemos hecho algo muy similar antes.
Creamos una puerta trasera usando Veil-Evasion
y subimos cosas a la computadora de destino.
Todo lo que tienes que
hacer es crear una puerta trasera, subirla, ejecutarla y listo.
Además, no siempre funciona,
por eso no voy a explicarlo.
Las puertas traseras normales son mucho más
confiables, por eso usé una puerta trasera normal cuando la combinaba
con cosas y cambiaba
su ícono y todo eso.
El otro método es
usar un módulo que viene con
Meterpreter, que se llama Persistencia.
Déjame mostrarte cómo usas eso.
Si desea usar eso, todo lo que necesita hacer es ejecutar, y
el nombre del módulo es persistencia, por lo
que vamos a escribir eso.
Luego pondré menos H para ver el menú de ayuda y
mostrarme todas las opciones que puedo configurar.
Puede usar la A para iniciar un
controlador múltiple (murmullos).
Realmente no necesitas hacer eso.
Realmente no necesita cambiar la
ubicación donde se instalará la puerta trasera.
La opción menos P especificará la carga útil.
Nuevamente, windows / meterpreter / reverse_tcp es una
carga útil realmente
buena, por lo que realmente no necesita meterse con eso.
S es conseguir que comience a usar los privilegios del sistema.
Ahora, como has visto antes, no tenemos privilegios de
sistema, tenemos privilegios de usuario normales.
Entonces, lo que deberías usar es menos U.
Luego puede usar el signo menos i para configurar la cantidad
de tiempo que
la puerta trasera intentará conectarse de nuevo con usted.
Intentará conectarse cada 10 segundos,
o 20 segundos, o 15 segundos,
lo que especifique.
p para especificar el
puerto, yr para especificar su computadora, la IP de su computadora.
Para ejecutar esto, todo lo que tiene que
hacer es
ejecutar persistencia, usar menos U para iniciarlo con privilegios de usuario.
Usaría el intervalo, probablemente lo puse en 20 segundos.
Intentará conectarse conmigo cada 20 segundos.
Luego uso el menos p, y probablemente pondré 80 porque, como
dije, el puerto 80 no parece sospechoso.
La persona objetivo
verá que nuestra conexión está tratando de salir en el
puerto 80, lo cual es genial, no es realmente sospechoso.
Luego usaría menos r para especificar mi IP, que es
10. 20) 14) 203.
Muy simple.
La persistencia es el módulo que
usará, U para ejecutarlo bajo los privilegios del usuario,
i, la
cantidad de segundos por cada vez que intenta
conectarse con usted, p para especificar el
puerto en el que escuchará, y r para especificar su IP.
Ahora, obviamente, una vez que ejecute
esto, si desea que reciba una conexión,
debe iniciar el controlador múltiple en el
puerto 80 o en el puerto seleccionado y usarlo
en la carga útil seleccionada.
El problema con estos métodos
es que es detectable por los programas antivirus.
Por lo tanto, no voy a explicar (el audio se corta).
Voy a
explicar que es una combinación de ambos
métodos que no serán detectables por los antivirus
y es mucho más robusta que
el primer método que usa Veil-Evasion.