Người hướng dẫn: Trong
tất cả các tình huống và video mà chúng tôi
đã thực hiện cho đến nay, chúng tôi sẽ mất kết nối với máy tính
mục tiêu ngay sau khi đối tượng mục tiêu khởi động lại máy tính của
họ vì chúng tôi sử dụng một cửa hậu thông thường.
Sau khi họ khởi động lại máy tính
của mình, cửa hậu của chúng tôi sẽ
bị chấm dứt, quá trình sẽ bị
chấm dứt và chúng tôi sẽ mất kết nối.
Trong bài giảng hôm nay, chúng ta sẽ nói về các
phương pháp cho phép chúng ta duy trì quyền
truy cập vào máy tính mục tiêu
để chúng ta có thể quay lại bất kỳ lúc
nào và lấy lại toàn quyền kiểm soát máy tính đó.
Có một số phương pháp để làm điều đó.
Cách đầu tiên là sử dụng Veil-Evasion.
Chúng tôi có thể sử dụng, thay vì backdoor thông
thường, backdoor HTTP mà chúng tôi đã tạo.
Bạn có thể sử dụng dịch vụ HTTP hoặc dịch vụ TCP.
Tôi thực sự sẽ chỉ cho bạn ở đây.
Nếu tôi chỉ chạy Veil-Evasion
và lập danh sách, bạn sẽ
thấy rằng chúng tôi có, ở vị trí thứ bảy ngay tại đây và ở vị trí thứ
năm, chúng tôi có các cửa
hậu dịch vụ.
Bạn có thể sử dụng bất kỳ cái nào trong số chúng.
Nếu tôi sử dụng năm và chúng tôi có thể xem thông
tin, tất cả những gì bạn phải
làm là thiết lập máy chủ lưu trữ của mình.
Đặt lhost và sau đó tạo backdoor.
Khi bạn tạo nó, bạn có thể sử dụng
nó và kết hợp nó với những thứ
khác và gửi nó đến người đích như chúng tôi
đã làm, hoặc bạn có thể tải
nó lên bằng lệnh upload mà chúng ta
đã học, rồi thực thi nó.
Và điều đó sẽ cài đặt backdoor như một dịch
vụ trên máy tính mục tiêu.
Sau đó, tất cả những gì bạn cần làm là sử dụng multi
/ handler và bất cứ khi nào máy tính mục tiêu
của họ khởi động, nó sẽ cố gắng kết nối lại với bạn vì
đây là một trình bao ngược.
Bây giờ, tôi sẽ không giải thích
phương pháp này vì phương pháp này rất đơn giản.
Chúng tôi đã làm một cái gì đó rất giống với nó trước đây.
Chúng tôi đã tạo một cửa sau bằng Veil-Evasion
và chúng tôi đã tải nội dung lên máy tính mục tiêu.
Tất cả những gì bạn phải làm là tạo
một backdoor, tải nó lên, thực thi nó và bạn đã hoàn tất.
Ngoài ra, nó không phải lúc nào cũng hoạt
động, vì vậy đó là lý do tại sao tôi sẽ không giải thích nó.
Các cửa sau bình thường đáng tin cậy hơn nhiều,
đó là lý do tại sao tôi sử dụng một cửa sau bình thường khi kết hợp nó với
nhiều thứ và thay đổi biểu tượng
của nó và tất cả những thứ đó.
Phương pháp khác là sử dụng
một mô-đun đi kèm với Meterpreter,
được gọi là Persistence.
Hãy để tôi chỉ cho bạn cách bạn sử dụng nó.
Nếu bạn muốn sử dụng nó, tất cả những gì bạn cần làm là chạy
và tên của mô-đun là sự bền bỉ, vì vậy chúng
tôi sẽ gõ nó xuống.
Sau đó, tôi sẽ đặt dấu trừ H để xem menu trợ giúp để hiển thị cho tôi
tất cả các tùy chọn mà tôi có thể thiết lập.
Bạn có thể sử dụng chữ A để bắt đầu một trình
xử lý đa / (lầm bầm).
Bạn không thực sự cần phải làm điều đó.
Bạn không thực sự cần phải thay đổi
vị trí mà cửa hậu sẽ được cài đặt.
Tùy chọn P trừ đi sẽ chỉ định trọng tải.
Một lần nữa, windows / meterpreter / reverse_tcp
là một tải trọng thực sự
tốt, vì vậy bạn không thực sự cần phải làm điều đó.
S là làm cho nó bắt đầu sử dụng các đặc quyền của hệ thống.
Bây giờ, như bạn đã thấy trước đây, chúng tôi không có đặc quyền hệ
thống, chúng tôi có đặc quyền người dùng bình thường.
Vì vậy, những gì bạn nên sử dụng là trừ U.
Sau đó, bạn có thể sử dụng dấu trừ i để thiết lập khoảng
thời gian mà cửa sau
sẽ cố gắng kết nối lại với bạn.
Nó sẽ cố gắng kết nối sau mỗi 10
giây, 20 giây hoặc 15 giây, bất cứ
điều gì bạn chỉ định.
p để chỉ định cổng và r để
chỉ định máy tính của bạn, IP của máy tính của bạn.
Để chạy điều này, tất cả những gì bạn phải làm
là chạy kiên trì, sử
dụng dấu trừ U để khởi động nó theo đặc quyền của người dùng.
Tôi sẽ sử dụng khoảng thời gian, tôi có thể đặt nó thành 20 giây.
Nó sẽ cố gắng kết nối lại với tôi sau mỗi 20 giây.
Sau đó, tôi sử dụng p trừ đi, và có lẽ tôi sẽ đặt 80 vì, như tôi
đã nói, cổng 80 trông không đáng ngờ.
Đối tượng mục tiêu sẽ thấy
rằng kết nối của chúng tôi đang cố gắng xuất hiện ở cổng
80, điều này thật tuyệt, nó không thực sự đáng ngờ.
Sau đó, tôi sẽ sử dụng dấu trừ r để chỉ định IP của mình,
là 10. 20. 14. 203.
Rất đơn giản.
Persistence là mô-đun mà
bạn sẽ sử dụng, U để chạy nó theo đặc quyền
của người dùng,
i, số giây cho mỗi lần nó cố gắng kết
nối với bạn, p để chỉ định cổng mà
bạn sẽ nghe và r để chỉ định IP của bạn.
Bây giờ, rõ ràng, khi bạn chạy điều
này, nếu bạn muốn nó nhận được kết
nối, bạn phải khởi động multi / handler
trên cổng 80 hoặc trên cổng đã chọn và sử dụng trong
tải trọng đã chọn.
Vấn đề với các phương pháp này là nó có
thể bị phát hiện bởi các chương trình chống vi-rút.
Do đó, tôi sẽ không giải thích (cắt âm thanh).
Tôi sẽ giải thích là
sự kết hợp của cả hai phương pháp này
sẽ không bị vi-rút phát hiện và nó mạnh
hơn nhiều so với phương pháp đầu tiên
sử dụng Veil-Evasion.