SILENTTRINITY - 基于C＃和Python的“Empire”后渗透代理框架

---

title: SILENTTRINITY - 基于C＃和Python的“Empire”后渗透代理框架 date: 2018-12-14 16:44:51 categories:

- Post-Exploitation

---

翻译自：https://www.hackplayers.com/2018/10/silenttrinity-post-explotacion-con-el.html

上周是DerbyCon（DerbyCon是一个位于美国肯塔基州路易斯维尔的计算机安全会议），它为我们带来了许多新东西，为了学到更多我也下了很大功夫。然而，在所有这些信息中，其中有一个演讲特别引起了我的注意：

• IronPython ... OMFG - Marcello Salvati（byt3bl33d3r）

• • https://github.com/byt3bl33d3r/Slides/blob/master/IronPython_OMFG_Derbycon_2018.pptx
  • https://www.youtube.com/watch?v=NaFiAx737qg

IronPython ...... OMFG

1-简介

著名的CrackMapExec项目的作者byt3bl33d3r展示了他的最新作品——SILENTTRINITY，一个基于C＃/ .NET，Python和IronPython的新的后渗透攻击代理框架。

对于那些在HackPlayers中阅读过我之前帖子的人，你会知道这些工具为什么会慢慢转向基于C＃。对于其他人，则需要注意目前有许多针对使用攻击性PowerShell的保护措施，这在一点一点地限制了它的潜力，例如：

• AMSI
• Module Logging
• ScriptBlock Logging
• Transcription Logging
• Constrained Language Mode

当然，有不同的方法来绕过这些防御措施，但是，通过C＃使用.NET避免了所有这些......因此它十分具有吸引力。

事实上，byt3bl33der已经安装了一个高级运行代理，因为它利用了.NET via C＃的所有优点，将其加入到内存中执行，并且具有最纯粹的Empire风格的实用性。

该工具的操作可以在图中可视化（下面是解释主要过程）：

1. 我们在Kali中运行SILENTRINITY服务器并配置一个监听器

2. • 操作与Empire或MSFConsole非常相似。

3. 我们创建了一个目标，为了是获取受害者计算机的会话。

4. • 类似于创建meterpreter .exe以获取会话或使用Empire启动程序获取会话的过程。

5. 一旦执行了stager，它将向我们的服务器请求.zip，并提供必要的资源。

6. • 其中包括IronPython的.dll，它将成为.NET之后的魔力。

7. 产生会话之后将等待Jobs，或者换句话说，等待我们执行post-exploit模块。

8. 当我们执行一个模块（例如，Mimikatz）时，它将通过一个.py文件发送，该文件将在不触及磁盘的情况下执行，并将结果返回给我们的服务器。

2-安装

该工具位于以下库中：

• git clone https://github.com/byt3bl33d3r/SILENTTRINITY

• • apt-get install python3.7
  • apt-get install python3.7-dev
  • python3.7 -m pip install -r requirements.txt

• 要使服务器工作：

• • python3.7 st.py

3-操作流程

正如我之前所说，我们将会遇到类似于Empire或Metasploit的语法。我们要做的第一件事是配置一个监听器：

• 我们输入listeners，它会把我们带到他们的监听器模块
• 通过使用list命令，我们可以看到可用的监听器和当前正在运行的监听器。

• 例如，我们选择一个http监听器 - > use http
• 在选项卡中，我们可以显示选项 - > options
• 我们使用set命令设置相应的值。

• 最后，我们start启动它。

从这一刻起，我们只需要专注于使用我们的stager。

• 按照相同的语法，我们将使用一个类型为msbuild的stager，它将生成一个.xml文件，然后告诉我们要在受害者计算机上使用的命令。

• • msbuild.xml
  • C：\ Windows \ Microsoft.NET \ Framework64 \ v4.0.30319 \ msbuild.exe msbuild.xml

可以理解上面在图像中描述的阶段。

我们生成了一个session！

现在我们只需要发送jobs并享受SILENTTRINITY的魔力。

• 让我们转到modules选项卡，使用list命令，我们可以看到该工具可用的不同模块。

• • Mimikatz，Shell，execute-assembly，safetykatz，msilshellexec，internalmonologue，powershell，msgbox，excelshellinject。
  • 突出显示模块execute-assembly，它允许我们使用C＃编写的工具，例如Ghostpack包中包含的工具或RastaMouse最近的Watson工具。

4-最后的说明

SILENTRINITY具有很大的潜力，我相信它具有一定的标志意义。最后再提及一些本帖的要点：

• 在github项目中，SILENTTRINITY是可以编译.exe和.dll的，我想它们可以实现类似于msbuild的功能，以防它不在系统中。
• 该工具仍处于早期阶段，因此未来将有许多新模块和功能等待我们。
• 在这篇文章中进行的所有测试都是在开启Windows Defender和Windows 10完全更新和激活的情况下完成的。