ผู้สอน: ในทุกสถานการณ์และวิดีโอที่เราทำจนถึงตอนนี้
เราจะสูญเสียการเชื่อมต่อกับคอมพิวเตอร์เป้าหมายทันทีที่บุคคลเป้าหมายรีสตาร์ทคอมพิวเตอร์เพราะเราใช้แบ็คดอร์ปกติ
เมื่อพวกเขารีสตาร์ทคอมพิวเตอร์
แบ็คดอร์ของเราจะถูกยกเลิก กระบวนการจะถูกยกเลิก และเราจะสูญเสียการเชื่อมต่อ
ในการบรรยายวันนี้ เราจะพูดถึงวิธีการต่างๆ
ที่จะช่วยให้เราคงการเข้าถึงคอมพิวเตอร์เป้าหมายของเราไว้
เพื่อที่เราจะได้กลับมาเมื่อไรก็ได้และกลับมาควบคุมคอมพิวเตอร์เครื่องนั้นได้อย่างเต็มที่
มีหลายวิธีในการทำเช่นนั้น
อันแรกใช้ Veil-Evasion
เราสามารถใช้แบ็คดอร์ HTTP ที่เราสร้างขึ้นแทนแบ็คดอร์ปกติได้
คุณสามารถใช้บริการ HTTP หรือบริการ TCP
ฉันจะแสดงให้คุณเห็นที่นี่จริงๆ
ถ้าฉันเรียกใช้
Veil-Evasion และทำรายการ
คุณจะเห็นว่าเรามีบริการแบ็คดอร์ที่หมายเลขเจ็ดที่นี่และอันดับห้า
คุณสามารถใช้อะไรก็ได้
ถ้าฉันใช้ห้าและเราเห็นข้อมูล
สิ่งที่คุณต้องทำก็แค่ตั้งค่า
lhost ของคุณ
ใส่ lhost แล้วสร้างแบ็คดอร์
เมื่อคุณสร้างมันขึ้นมา คุณสามารถใช้มันและรวมมันกับสิ่งอื่น
ๆ และส่งไปยังบุคคลเป้าหมายเหมือนที่เราทำ
หรือคุณสามารถอัปโหลดโดยใช้คำสั่งอัพโหลดที่เราเรียนรู้แล้วดำเนินการ
และจะติดตั้งแบ็คดอร์เป็นบริการบนคอมพิวเตอร์เป้าหมาย
สิ่งที่คุณต้องทำคือใช้มัลติ/ตัวจัดการ และทุกครั้งที่คอมพิวเตอร์เป้าหมายเริ่มทำงาน
จะพยายามเชื่อมต่อกลับมาหาคุณเพราะนี่คือเชลล์แบบย้อนกลับ
ฉันจะไม่อธิบายวิธีนี้เพราะวิธีนี้ง่ายมาก
เราเคยทำอะไรที่คล้ายคลึงกันมาก่อน
เราสร้างแบ็คดอร์โดยใช้ Veil-Evasion และเราอัปโหลดเนื้อหาไปยังคอมพิวเตอร์เป้าหมาย
สิ่งที่คุณต้องทำคือสร้างแบ็คดอร์
อัปโหลด ดำเนินการ และทำเสร็จแล้ว
นอกจากนี้ มันไม่ได้ผลเสมอไป
นั่นเป็นเหตุผลที่ฉันจะไม่อธิบายมัน
แบ็คดอร์ปกติมีความน่าเชื่อถือมากกว่ามาก
นั่นคือเหตุผลที่ฉันใช้แบ็คดอร์ปกติเมื่อรวมกับสิ่งของต่างๆ และเปลี่ยนไอคอนและอื่นๆ
อีกวิธีหนึ่งคือการใช้โมดูลที่มาพร้อมกับ
Meterpreter ซึ่งเรียกว่า Persistence
ให้ฉันแสดงให้คุณเห็นว่าคุณใช้มันอย่างไร
หากคุณต้องการใช้สิ่งนั้น สิ่งที่คุณต้องทำคือเรียกใช้
และชื่อของโมดูลคือความคงอยู่ ดังนั้นเราจะพิมพ์ลงไป
จากนั้นฉันจะใส่เครื่องหมายลบ H เพื่อดูเมนูช่วยเหลือเพื่อแสดงตัวเลือกทั้งหมดที่ฉันสามารถตั้งค่าได้
คุณสามารถใช้ A เพื่อเริ่มตัวจัดการหลายตัว/ตัวจัดการ
(พึมพำ)
คุณไม่จำเป็นต้องทำอย่างนั้นจริงๆ
คุณไม่จำเป็นต้องเปลี่ยนตำแหน่งที่จะติดตั้งแบ็คดอร์
ตัวเลือกลบ P จะระบุเพย์โหลด
อีกครั้ง windows/meterpreter/reverse_tcp
เป็นเพย์โหลดที่ดีจริงๆ
ดังนั้นคุณไม่จำเป็นต้องยุ่งกับมันจริงๆ
S คือการเริ่มต้นใช้สิทธิ์ของระบบ
อย่างที่คุณเคยเห็นมาก่อนหน้านี้ เราไม่มีสิทธิ์ของระบบ
เรามีสิทธิ์ของผู้ใช้ตามปกติ
ดังนั้นสิ่งที่คุณควรใช้คือลบ U
จากนั้นคุณสามารถใช้เครื่องหมายลบ i เพื่อกำหนดระยะเวลาที่แบ็คดอร์จะพยายามเชื่อมต่อกลับมาหาคุณ
จะพยายามเชื่อมต่อทุกๆ 10 วินาที
หรือ 20 วินาที หรือ 15 วินาที ไม่ว่าคุณจะระบุอะไร
p เพื่อระบุพอร์ต และ r เพื่อระบุคอมพิวเตอร์ของคุณ
IP ของคอมพิวเตอร์ของคุณ
ในการเรียกใช้สิ่งนี้ สิ่งที่คุณต้องทำคือเรียกใช้การคงอยู่ ใช้ลบ
U เพื่อเริ่มต้นภายใต้สิทธิ์ของผู้ใช้
ฉันจะใช้ช่วงเวลา ฉันน่าจะใส่ไว้ 20 วินาที
มันจะพยายามเชื่อมต่อกลับมาหาฉันทุกๆ 20 วินาที
จากนั้นฉันก็ใช้เครื่องหมายลบ p และฉันอาจจะใส่ 80 เพราะอย่างที่ฉันบอกไปว่าพอร์ต
80 ดูไม่น่าสงสัย
บุคคลเป้าหมายจะเห็นว่าการเชื่อมต่อของเราพยายามจะออกมาที่พอร์ต
80 ซึ่งเจ๋งจริง ๆ ไม่น่าสงสัยเลย
จากนั้นฉันจะใช้ลบ r เพื่อระบุ IP ของฉันซึ่งก็คือ
10 20. 14. 203.
ง่ายมาก.
ความคงอยู่เป็นโมดูลที่คุณจะใช้
U เพื่อเรียกใช้ภายใต้สิทธิ์ของผู้ใช้
i จำนวนวินาทีในแต่ละครั้งที่พยายามเชื่อมต่อกับคุณ
p เพื่อระบุพอร์ตที่คุณจะฟัง และ
r เพื่อระบุ IP ของคุณ
แน่นอนว่า เมื่อคุณเรียกใช้สิ่งนี้
ถ้าคุณต้องการให้มันได้รับการเชื่อมต่อ
คุณต้องเริ่ม multi/handler บนพอร์ต
80 หรือบนพอร์ตที่เลือก และใช้ในเพย์โหลดที่เลือก
ปัญหาของวิธีนี้คือสามารถตรวจพบได้โดยโปรแกรมป้องกันไวรัส
ดังนั้นฉันจะไม่อธิบาย (เสียงถูกตัด)
ฉันจะอธิบายว่าเป็นการรวมกันของทั้งสองวิธีนี้ซึ่งจะไม่สามารถตรวจพบโดยโปรแกรมป้องกันไวรัส
และมีประสิทธิภาพมากกว่าวิธีแรกที่ใช้
Veil-Evasion มาก