DCOM Exec
Aprenda e pratique Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE)
Aprenda e pratique Hacking GCP:
HackTricks Training GCP Red Team Expert (GRTE)
MMC20.Application
Para mais informações sobre esta técnica, confira o post original em https://enigma0x3.net/2017/01/05/lateral-movement-using-the-mmc20-application-com-object/
Objetos do Modelo de Objeto Componente Distribuído (DCOM) apresentam uma capacidade interessante para interações baseadas em rede com objetos. A Microsoft fornece documentação abrangente tanto para DCOM quanto para Modelo de Objeto Componente (COM), acessível aqui para DCOM e aqui para COM. Uma lista de aplicações DCOM pode ser recuperada usando o comando PowerShell:
O objeto COM, Classe de Aplicação MMC (MMC20.Application), permite a automação das operações de snap-in do MMC. Notavelmente, este objeto contém um método ExecuteShellCommand
sob Document.ActiveView
. Mais informações sobre este método podem ser encontradas aqui. Verifique sua execução:
Esse recurso facilita a execução de comandos através de uma rede por meio de uma aplicação DCOM. Para interagir com DCOM remotamente como um administrador, o PowerShell pode ser utilizado da seguinte forma:
Este comando conecta-se ao aplicativo DCOM e retorna uma instância do objeto COM. O método ExecuteShellCommand pode então ser invocado para executar um processo no host remoto. O processo envolve os seguintes passos:
Check methods:
Obter RCE:
ShellWindows & ShellBrowserWindow
Para mais informações sobre esta técnica, consulte o post original https://enigma0x3.net/2017/01/23/lateral-movement-via-dcom-round-2/
O objeto MMC20.Application foi identificado como faltando "LaunchPermissions" explícitos, padrão para permissões que permitem acesso a Administradores. Para mais detalhes, um tópico pode ser explorado aqui, e o uso do OleView .NET de @tiraniddo para filtrar objetos sem Permissão de Lançamento explícita é recomendado.
Dois objetos específicos, ShellBrowserWindow
e ShellWindows
, foram destacados devido à falta de Permissões de Lançamento explícitas. A ausência de uma entrada de registro LaunchPermission
sob HKCR:\AppID\{guid}
significa que não há permissões explícitas.
ShellWindows
Para ShellWindows
, que não possui um ProgID, os métodos .NET Type.GetTypeFromCLSID
e Activator.CreateInstance
facilitam a instanciação do objeto usando seu AppID. Este processo utiliza OleView .NET para recuperar o CLSID para ShellWindows
. Uma vez instanciado, a interação é possível através do método WindowsShell.Item
, levando à invocação de métodos como Document.Application.ShellExecute
.
Exemplos de comandos PowerShell foram fornecidos para instanciar o objeto e executar comandos remotamente:
Movimento Lateral com Objetos DCOM do Excel
O movimento lateral pode ser alcançado explorando objetos DCOM do Excel. Para informações detalhadas, é aconselhável ler a discussão sobre como aproveitar o DDE do Excel para movimento lateral via DCOM no blog da Cybereason.
O projeto Empire fornece um script PowerShell, que demonstra a utilização do Excel para execução remota de código (RCE) manipulando objetos DCOM. Abaixo estão trechos do script disponível no repositório do GitHub do Empire, mostrando diferentes métodos para abusar do Excel para RCE:
Ferramentas de Automação para Movimento Lateral
Duas ferramentas são destacadas para automatizar essas técnicas:
Invoke-DCOM.ps1: Um script PowerShell fornecido pelo projeto Empire que simplifica a invocação de diferentes métodos para executar código em máquinas remotas. Este script está acessível no repositório do Empire no GitHub.
SharpLateral: Uma ferramenta projetada para executar código remotamente, que pode ser usada com o comando:
Ferramentas Automáticas
O script Powershell Invoke-DCOM.ps1 permite invocar facilmente todas as maneiras comentadas de executar código em outras máquinas.
Você também pode usar SharpLateral:
Referências
Aprenda e pratique Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE)
Aprenda e pratique Hacking GCP:
HackTricks Training GCP Red Team Expert (GRTE)
Last updated