XSTARK

Appearance

导航栏

LSTAR ☆ 介绍 ​

一个插件从上线到域控 实现内网漫游

参考大量后渗透插件，重构和丰富了从信息收集到痕迹清除等所有模块的功能

功能特性：

  • 通过配合 CobaltStrike 的 TCP、SMB、Proxy 等内网上线方式，穿透复杂网络环境
  • 针对 RDP 相关、AddUser、LsassDump 等功能提供多种免杀执行方式，应对冷门环境
  • 集成多个使用 WinAPI 或 Assembly 内存加载方式运行的影子用户、隐藏计划任务等免杀功能
  • 每个模块均在运行前添加了绿色分割线，方便定位回显信息，提高协作效率

演示环境 ​

image-20211012101920909

0x01 使用 LSTAR 穿透多级内网 ​

image-20211018160734170

首先 VPS 运行 Stowaway admin 节点

shell
./admin -l 10000

在边界机上使用 LSTAR 上传 agent 到跳板机并运行

image-20211012100813749

此时 VPS 收到新的连接

--reconnect 2 表示 agent 子节点断开后每 2s 会重新连接父节点

image-20211012100925212

进入子节点 192.168.1.2 开启 10000 端口的监听

image-20211012101019321

在不出网的 192.168.1.10 上传 agent 连接到 192.168.1.2:10000

image-20211012102311010

运行 agent

image-20211012102400972

此时 admin 端收到第二个子节点

image-20211012102728984

进入新的节点建立 socks 隧道即可穿透多层内网

use 1
socks 8090 usename password

0x02 使用 LSTAR 绕过 UAC ​

其他权限提升EXP 可参考对应 CVE 编号或补丁编号

image-20211020165726701

无 AV 时 ​

image-20211015092425853

选择 listener 即可上线

image-20211015092525726

image-20211018093723848

存在 AV 时 ​

image-20211015092622474

上传免杀马到目标机器

image-20211015092719338

成功上线

image-20211015092346956

0x03 使用 LSTAR 获取主机凭证 ​

Mimikatz ​

image-20211018160131923

成功读取明文密码

image-20211018160204431

RDP 凭据 ​

image-20211230103624600

前提是保存了这些凭据

image-20211230103732460

LsassDump (WinAPI) ​

上传免杀的 LsassDump 至目标机器，运行后使用 Mimidump 读取

image-20211015093515785

成功远程读取到 hash

image-20211015093424761

SharpLsassDump ​

无文件落地方式获取

image-20211018155816185

成功读取

image-20211018155849758

SharpMimidump ​

输入路径后内存加载远程读取转储的 .dmp 文件

image-20211025154645706

配合上述 LsassDump 方式使用

image-20211025154827899

Safe60p ​

360安全浏览器密码

image-20220115152723922

其他凭证信息 ​

集成了包括 主机密码、浏览器数据及密码、Navicat、TeamViewer、FileZilla、WinSCP、Xmanager系列产品等密码收集

image-20211020164043195

0x04 使用 LSTAR 免杀添加用户 ​

Adduser ​

上传运行即可，使用后请删除 adduser.exe

image-20211020094103581

SharpAddUser ​

Bypass AV 利用 DirectoryService 命名空间将用户添加到管理员与远程桌面组

image-20211028164240791

0x05 使用 LSTAR 进行权限维持 ​

SharpScheduleRunner ​

低权限计划任务 (无需UAC) ​

image-20221121192022735

高权限隐蔽计划任务 (需要SYSTEM) ​

image-20221121191906483

删除高权限隐蔽计划任务 ​

image-20221121193653157

SharpSchTask ​

利用 Windows API，工具化创建隐藏的计划任务，同时绕过安全软件的阻断，达到持久控制。

image-20211025162817712

Steps ​

  1. 选择主机随机进程名作为计划任务程序文件名
  2. 将计划任务程序文件复制到 %AppData%\Microsoft\Windows\Themes\ 中
  3. 创建的计划任务名取同一随机进程名
  4. 计划任务触发器以分钟为单位，无限期持续
  5. 更改 Index、删除 SD 的键值，隐藏计划任务对应的 XML 文件

效果 ​

免杀马路径为： C:\Windows\Temp\cmd.exe 设置一分钟触发一次

image-20211028160745359

上线进程为随机到的进程名

image-20211028161026658

主机删掉原免杀⻢并重启后依旧可以正常上线，且不会重复上线

SharpShadowUser ​

  • 查询RDP状态与端口，关闭状态可开启
  • 注册表导入用户，net user无法删除，需要删除注册表相关键值
  • Windows 的登录界面不显示该用户信息

image-20211019203045596

输入克隆用户名称和要克隆的用户即可：

image-20211020092110851

开启 RDP 端口，并输出 RDP 端口号和 Shadow$ 账号信息

image-20211028171312338

Windows 登录界面无法看到

image-20211019202424986

正常登录服务器

image-20211019202823312

0x06 使用 LSTAR 进行 RDP 相关操作 ​

image-20211020094621417

查询 RDP 状态 ​

image-20211015150247382

开启 RDP 服务 ​

image-20211015150320880

开启 RDP 服务（WinAPI） ​

image-20210905215709267

获取 RDP 端口 ​

image-20211015150713858

查看 RDP 历史登录凭据 ​

image-20211015150429336

获取 RDP 历史登录凭据 ​

需要从 mstsc.exe 的保存凭证处获取

image-20211015150502487

0x07 使用 LSTAR 进行信息收集 ​

SharpGetinfo ​

单机信息一键收集，包括基础信息、网络信息、RDP 信息、是否在域内、以及定位域控、域内 OU等信息

image-20211020171749802

工作组常用命令 ​

image-20211020171357793

域环境常用命令 ​

image-20211020171524496

AvSearch（杀软信息） ​

image-20211020172025105

CheckVM（虚拟机检测） ​

image-20211020172101318

SharpCheckInfo（获取多项主机信息） ​

以查看目标机器 .NET 版本为例

image-20211020172248351

0x08 使用 LSTAR 进行内网扫描 ​

所有扫描动作均可通过删除功能终止

image-20211020100002441

Fscan（内网大保健） ​

image-20211020095442600

Cube（模块化探测） ​

新增 Cube 来代替旧版本的爆破，同时支持内网信息收集和 MSSQL 命令执行，详细用法参考运行说明

image-20211020095839637

Allin（辅助灵活扫描） ​

新增 Allin 来辅助灵活扫描，以远程获取网卡 IP 为例：

image-20211020095900466

SharpHostInfo ​

内网主机信息探测 支持NetBIOS、SMB和WMI服务

image-20221121151021402

SharpOXID-Find (OXID 探测) ​

或者不想落地 EXE 时，可以使用 Assembly 方式进行 OXID 的快速探测

image-20211020095738461

0x09 使用 LSTAR 进行横向移动 ​

SharpEternalblue ​

MS17-010 内存加载方式利用

所有网络流量在内网发送，无需从服务器经过Session路由转发到内网，成功率更高。

image-20211116202354912

SharpLocate ​

提取 DC 日志，快速获取域用户对应IP地址，支持 1-365 天的过滤并对结果去重

image-20211028173705064

IPC 连接 ​

image-20211020170837225

票据传递 ​

image-20211020171145922

ZeroLogon ​

ZeroLogon 漏洞探测以及 BOF 利用

image-20211020170553073

成功置空域控制器机器账号：

image-20211020170732547

0x10 实验功能 ​

定时截图 ​

image-20220115163554777

image-20220115163608154

Todo ​

  • 持续集成免杀、实用的组件和功能
  • Beacon 上线自动化信息收集 +权限维持 + 构建隧道

欢迎反馈 BUG 和提出意见与建议

Released under the MIT License.

Copyright © 2023 XstarSec