Posts Persistence For Red Teamers (Part 1)
Post
Cancel

Persistence For Red Teamers (Part 1)

What is Persistence?

خلونا في البداية نتفق ان مترجم قوقل هو الافضل هذه ترجمة معنى الكلمة:

طيب نرجع لموضوعنا بختصار هي عبارة عن طرق نستخدمها عشان نحافظ على وصلونا لجهاز معين وما نضطر نستهدف مستخدم مرة ثانية عشان نوصل لجهازه. الطرق الي رح اذكرها هي طرق انا استخدمتها في اخر كم انقيجمنت.

Windows Accessibility Features

هذه خدمة يقدمها نظام وندوز تساعد ذوي الأحتياجات الخاصة على التعامل مع الجهاز وللأسف نقدر نستغلها لصالحنا.

Sticky Keys

عمركم ضغطتم على ال shift اكثر من مرة وطلعت لكم هذه الرسالة:

أول حاجة تسويها تروح هنا
1
C:\Windows\System32
رح تغير اسم sethc.exe الى اي حاجة ثانية وبعدين انسخ cmd.exe وعدل على الاسم وخليه sethc.exe رح تنتهي بشي قريب من هذا:

غالبا رح تضطر تغير ال Owner الخاص ب sethc.exe وتخليه اليوزر الي انت واصل له

الأن اذا جيت تسجل دخول اضغط ال shift أكثر من مرة ورح تطلع لك cmd.exe

Abusing Windows Narrator

ال Narrator في ال windows يقرأ لك الكلام الي موجود بالصفحة وحدة من الأمور الي نقدر نستغلها هي خاصية ال "Feedback-Hub" أول حاجة تسويها هي تفعيلها من الأعدادات:

في ال Narrator settings عدل على "Provide Narrator feedback" وحط له الأختصار الي يناسبك

شغل Registry Editor وروح على ال key الي تحت وسجل اسم الملف الي حاط عليه بالسهم

Computer\HKEY_CLASSES_ROOT\Local Settings\Software\Microsoft\Windows\CurrentVersion\AppModel\PackageRepository\Extensions\windows.protocol\feedback-hub

بعدين استخدم هذا الاسم وروح على هذه ال entry:

Computer\HKEY_CURRENT_USER\Software\Classes\<file_name>\Application

في ملف ال command رح تلقى ملف اسمه DelegateExecute احذفه

بعدين بنفس المكان عدل على ال Default entry وحط فيها الكوماند الي تحتاجه

سوي Lock للحساب واضغط الأختصار الي سجلناه بالبداية ورح تجي لك request للسيرفر:

أعتقد واضحة كيف تقدرون تستغلوها لمثلاً meterpreter shell

Screensavers

بأختصار اذا ما استخدمت جهازك لمدة معينة رح تضهر لك شاشة سوداء. نقدر نستغلها كالأتي اول شي استخدم هذا الكوماند عشان نعدل على الملف الي رح يشتغل اذا ما تم استخدام الجهاز:

reg add "HKEY_CURRENT_USER\Control Panel\Desktop" /v "SCRNSAVE.EXE" /t REG_SZ /d "cmd.exe" /f

بعدين رح نعدل على كم ثانية اذا المستخدم ما اشتغل على الجهاز عشان يشغل لنا ال cmd.exe

reg add "HKEY_CURRENT_USER\Control Panel\Desktop" /v "ScreenSaveTimeOut" /t REG_SZ /d "15" /f

انتضر شوي ورح تطلع لك ال cmd بنفس الوقت خلي ببالك انه في group policy لل screensavers في ال Active Directory

Demo:

Leave your computer on, while I am already in ;)

.lnk Shortcuts

نقدر نسوي hijack لل Shortcuts وبهذه الطريقة اذا المستخدم شغل firefox رح يشتغل وبنفس الوقت رح يشغل برنامجنا. في ال properties عدل على ال target وحط فيه الكوماند الي تحت وعدل على خيار ال Run وحطه Minimized

powershell.exe -c "invoke-item 'C:\Program Files\Mozilla Firefox\firefox.exe'; invoke-item c:\windows\system32\cmd.exe"

في حال تغيرت ال icon تقدر ترجع تعدلها من ال properties

Demo:

User Login

نقدر نعدل على ال registry ونخلي كل مرة المستخدم يسجل دخول يشتغل برنامجنا. أول شي رح تسويه هو انك تكتب الملف الأتي:

zoldyck.bat:

1
2
3
@ECHO OFF

C:\Windows\System32\calc.exe
أستخدم الكوماند الي تحت عشان تعدل على ال registry:

reg add "HKEY_CURRENT_USER\Environment" /v UserInitMprLogonScript /d "C:\temp\zoldyck.bat" /t REG_SZ /f

Demo:

Powershell Profile

نقدر نستغل ال powershell profiles فيصير كل ما المستخدم شغل powershell يتنفذ برنامجنا
1
2
$ echo "echo z0ldyck > C:\Users\IEUser\Desktop\me.txt" > $PROFILE
$ cat $PROFILE

أول ما المستخدم يشغل powershell رح يتنفذ الأمر

Demo:

See You All In Part 2

This post is licensed under CC BY 4.0 by the author.