DCOM Exec
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Learn & practice GCP Hacking:
HackTricks Training GCP Red Team Expert (GRTE)
MMC20.Application
Для отримання додаткової інформації про цю техніку перегляньте оригінальний пост з https://enigma0x3.net/2017/01/05/lateral-movement-using-the-mmc20-application-com-object/
Об'єкти Distributed Component Object Model (DCOM) представляють цікаву можливість для мережевих взаємодій з об'єктами. Microsoft надає всебічну документацію як для DCOM, так і для Component Object Model (COM), доступну тут для DCOM та тут для COM. Список DCOM-додатків можна отримати за допомогою команди PowerShell:
Об'єкт COM, MMC Application Class (MMC20.Application), дозволяє сценарне управління операціями MMC snap-in. Зокрема, цей об'єкт містить метод ExecuteShellCommand
під Document.ActiveView
. Більше інформації про цей метод можна знайти тут. Перевірте його роботу:
Ця функція полегшує виконання команд через мережу за допомогою DCOM-додатку. Щоб взаємодіяти з DCOM віддалено як адміністратор, можна використовувати PowerShell наступним чином:
Ця команда підключається до DCOM-додатку та повертає екземпляр COM-об'єкта. Метод ExecuteShellCommand може бути викликаний для виконання процесу на віддаленому хості. Процес включає наступні кроки:
Перевірте методи:
Отримати RCE:
ShellWindows & ShellBrowserWindow
Для отримання додаткової інформації про цю техніку перегляньте оригінальний пост https://enigma0x3.net/2017/01/23/lateral-movement-via-dcom-round-2/
Об'єкт MMC20.Application був виявлений без явних "LaunchPermissions", за замовчуванням надаючи дозволи, які дозволяють доступ адміністраторам. Для отримання додаткових деталей можна дослідити тему тут, і рекомендується використовувати @tiraniddo’s OleView .NET для фільтрації об'єктів без явного дозволу на запуск.
Два конкретні об'єкти, ShellBrowserWindow
і ShellWindows
, були виділені через відсутність явних дозволів на запуск. Відсутність запису LaunchPermission
у реєстрі під HKCR:\AppID\{guid}
означає відсутність явних дозволів.
ShellWindows
Для ShellWindows
, який не має ProgID, методи .NET Type.GetTypeFromCLSID
і Activator.CreateInstance
полегшують створення об'єкта, використовуючи його AppID. Цей процес використовує OleView .NET для отримання CLSID для ShellWindows
. Після створення об'єкта взаємодія можлива через метод WindowsShell.Item
, що призводить до виклику методів, таких як Document.Application.ShellExecute
.
Приклад команд PowerShell був наданий для створення об'єкта та виконання команд віддалено:
Lateral Movement with Excel DCOM Objects
Бічний рух може бути досягнутий шляхом експлуатації DCOM об'єктів Excel. Для детальної інформації рекомендується прочитати обговорення про використання Excel DDE для бічного руху через DCOM на блоці Cybereason.
Проект Empire надає скрипт PowerShell, який демонструє використання Excel для віддаленого виконання коду (RCE) шляхом маніпуляції DCOM об'єктами. Нижче наведені фрагменти зі скрипту, доступного на GitHub репозиторії Empire, що демонструють різні методи зловживання Excel для RCE:
Automation Tools for Lateral Movement
Два інструменти виділені для автоматизації цих технік:
Invoke-DCOM.ps1: Сценар PowerShell, наданий проектом Empire, який спрощує виклик різних методів для виконання коду на віддалених машинах. Цей сценарій доступний в репозиторії Empire на GitHub.
SharpLateral: Інструмент, призначений для віддаленого виконання коду, який можна використовувати з командою:
Automatic Tools
Скрипт Powershell Invoke-DCOM.ps1 дозволяє легко викликати всі коментовані способи виконання коду на інших машинах.
Ви також можете використовувати SharpLateral:
Посилання
Вивчайте та практикуйте AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Вивчайте та практикуйте GCP Hacking:
HackTricks Training GCP Red Team Expert (GRTE)
Last updated