Az - State Configuration RCE
リモートサーバー（C2）インフラストラクチャの準備と手順の要約
概要
このプロセスは、Windows Defender をバイパスするために設計された RevPS.ps1 という名前の変更された Nishang Invoke-PowerShellTcp.ps1 ペイロードをホストするリモートサーバーインフラストラクチャを設定することを含みます。このペイロードは、IPが 40.84.7.74 のKali Linuxマシンから単純なPython HTTPサーバーを使用して提供されます。この操作は、次の手順を通じて実行されます:
ステップ1 — ファイルの作成
必要なファイル: 2つのPowerShellスクリプトが必要です:
reverse_shell_config.ps1: ペイロードを取得して実行する望ましい状態構成（DSC）ファイル。GitHubから入手できます。push_reverse_shell_config.ps1: 構成をVMに公開するスクリプト。GitHubで入手できます。
カスタマイズ: これらのファイル内の変数とパラメータは、リソース名、ファイルパス、サーバー/ペイロード識別子など、ユーザー固有の環境に合わせて調整する必要があります。
ステップ2 — 構成ファイルの圧縮
reverse_shell_config.ps1を.zipファイルに圧縮して、Azure Storage Account に転送する準備を整えます。
ステップ3 — ストレージコンテキストの設定とアップロード
圧縮された構成ファイルは、AzureのSet-AzStorageBlobContentコマンドレットを使用して、事前定義されたAzure Storageコンテナであるazure-pentestにアップロードされます。
ステップ 4 — Kaliボックスの準備
Kaliサーバーは、GitHubリポジトリからRevPS.ps1ペイロードをダウンロードします。
ステップ5 — 設定ファイルの公開
設定ファイルが実行され、逆シェルスクリプトが指定された場所に展開されます。
ステップ6 — ペイロードのホスティングとリスナーの設定
Python SimpleHTTPServerを起動してペイロードをホストし、Netcatリスナーを設定して着信接続をキャプチャします。
予定されたタスクはペイロードを実行し、SYSTEMレベルの特権を獲得します。
結論
このプロセスの成功した実行は、資格情報のダンプや複数のVMへの攻撃の拡大など、さまざまな行動の可能性を開きます。このガイドは、Azure Automation DSCの領域での継続的な学習と創造性を奨励しています。
最終更新