Az - State Configuration RCE
リモートサーバー（C2）インフラの準備と手順の概要
概要
このプロセスは、Windows Defenderをバイパスするために設計されたNishangのInvoke-PowerShellTcp.ps1ペイロードをホストするリモートサーバーインフラを設定することを含みます。このペイロードは、Kali Linuxマシン（IP 40.84.7.74）からシンプルなPython HTTPサーバーを使用して提供されます。操作は以下の手順で実行されます：
ステップ1 — ファイルの作成
必要なファイル: 2つのPowerShellスクリプトが必要です：
reverse_shell_config.ps1: ペイロードを取得して実行する望ましい状態構成（DSC）ファイル。GitHubから入手できます。push_reverse_shell_config.ps1: 構成をVMに公開するスクリプト。GitHubで入手できます。
カスタマイズ: これらのファイル内の変数とパラメータは、リソース名、ファイルパス、サーバー/ペイロード識別子など、ユーザー固有の環境に合わせて調整する必要があります。
ステップ2 — 構成ファイルの圧縮
reverse_shell_config.ps1を.zipファイルに圧縮し、Azure Storage Accountに転送する準備が整います。
ステップ3 — ストレージコンテキストの設定とアップロード
圧縮された構成ファイルは、AzureのSet-AzStorageBlobContentコマンドレットを使用して、事前定義されたAzure Storageコンテナであるazure-pentestにアップロードされます。
ステップ 4 — Kaliボックスの準備
Kaliサーバーは、GitHubリポジトリからRevPS.ps1ペイロードをダウンロードします。
スクリプトは、リバースシェルのためのターゲットWindows VMとポートを指定するように編集されます。
ステップ5 — 設定ファイルの公開
設定ファイルが実行され、リバースシェルスクリプトが指定された場所に展開されます。
ステップ6 — ペイロードのホストとリスナーのセットアップ
Python SimpleHTTPServerが開始され、ペイロードをホストし、着信接続をキャプチャするためのNetcatリスナーも設定されます。
予定されたタスクはペイロードを実行し、SYSTEMレベルの特権を獲得します。
結論
このプロセスの成功した実行は、資格情報のダンプや攻撃を複数のVMに拡大するなど、さまざまな行動の可能性を開きます。このガイドは、Azure Automation DSCの領域での継続的な学習と創造性を奨励しています。
Last updated
