Архив метки: PowerShell

Доставка Payload в ярлыке (LNK файл)

В данной статье рассказывается о доставке полезной нагрузки (или загрузчика полезной нагрузки) в Windows-системы в файле ярлыка (LNK файл). Этот способ доставки полезной нагрузки работает во всех системах Windows (XP, Vista, 7, 10, 2008, 2008 r2, 2012, 2012 r2, 2016).
Плюсы данного метода:

  • многие спам-сканнеры пропускают LNK файлы;
  • многие антивирусы не проверяют LNK файлы;
  • относительно высокое доверие пользователей;
  • не требует дополнительных действий пользователя после запуска.

На примере рассматривается доставка powershell загрузчика, рассмотренного в статье Доставка Payload с помощью Powershell. Так же, с помощью данного метода можно доставить любую другую полезную нагрузку, но с условием, что она записана одной строкой (не используются символы перевода строки: CR и LF).
Для PowerShell скрипта, на основе которого создан пример требуется все команды вытянуть в одну строку и разделить символом ; (точка с запятой).

В итоге мы получим скрипт:

Для продолжения чтения этой статьи требуется подписка. Войти или Оформить подписку.

Доставка Payload с помощью Powershell

При проведении внешнего тестирования на проникновение часто требуется использовать социальную инженерию для преодоления внешнего сетевого периметра компании. Например запуск на рабочей станции какого-либо Payload с функцией обратного подключения и создания туннелей. Чаще всего подобные тесты проходят с помощью доставки пользователям различных видов Remote Administration Tool (RAT) и прочело специализированного ПО, но многие почтовые сервера не пропускают исполняемые файлы, да и многие пользователи боятся открывать неизвестные исполняемые файлы. Поэтому приходится использовать различные скрипты для доставки полезной нагрузки. Например JScript и VBScript (Примеры данных скриптов описаны в статье: JScript и VBScript для доставки Payload). Но так же можно использовать и PowerShell скрипты.
Как написать такой скрипт, описывается в данной статье.

Для начала создадим файл downloader.ps1 и поместим в него следующий код:

Для продолжения чтения этой статьи требуется подписка. Войти или Оформить подписку.