NetworkRecon——網路漏洞滲透測試的一把新式武器

最近研究人員新研究出了一個用來對網路漏洞進行滲透測試的工具——NetworkRecon，NetworkRecon包含有幾乎所有的PowerShell腳本。

在NetworkRecon被研發之前，PowerSploit和PSAttack是最新被開發出來用來兩款包含powershell 腳本的測試工具，而NetworkRecon是專門針對網路漏洞測試的。

什麼是PowerSploit？

PowerSploit是GitHub上面的一個安全項目，上面有很多powershell攻擊腳本，它們主要被用來滲透中的信息偵察、許可權提升、許可權維持。

項目地址：https://github.com/PowerShellMafia/PowerSploit

什麼是PSattack？

PSattack是一個開源的，將滲透測試實踐過程中所有的腳本結合起來形成的框架。更有趣的是使用攻擊類型的PowerShell腳本並不會調用powershell.exe，而是通過.NET框架直接調用PowerShell。另外，所有的模塊都是加密處理的，並且不會寫入到硬碟當中，所以在一定程度上可以做到免殺。

項目地址：https://github.com/jaredhaight/PSAttack/releases

什麼是NetworkRecon？

NetworkRecon是一個開源的PowerShell網路偵察模塊，它將捕獲，分析和識別常用的配置錯誤的協議，以幫助測試者執行Windows客戶端系統可見的漏洞網路協議分析。分析少量網路流量可能導致發現可能的基於網路的攻擊向量，如虛擬路由器冗餘協議（VRRP），動態中繼協議（DTP），鏈路本地組播名稱解析（LL-MNR）和PXE引導攻擊。此外，測試者不必安裝第三方軟體，因為PowerShell包括多個網路分析和網路流量相關功能。它是在PowerShell Empire PowerUp腳本之後建模的，以便輕鬆識別目標協議。

通常，VLAN中繼，網路路由和網路冗餘協議不應該被轉發到Windows客戶端。動態主機配置協議（DHCP）的配置錯誤也提供了攻擊者選項，例如分析引導映像以獲得憑據和其他敏感信息。 NetworkRecon目前可以幫助測試者分析這些網路異常的協議：

1.名稱解析協議（Name Resolution protocols）：諸如NetBIOS名稱服務（NBT-NS），鏈路本地組播名稱解析（LLMNR）和組播DNS（multicast DNS）等協議為攻擊者通過操縱主機名到IP地址關係來執行多個不同的攻擊提供了機會。攻擊者可以向用戶的請求發送惡意響應，或在網路會話中成為中間人（MitM）。

2.路由和冗餘協議（Routing and Redundancy Protocols）：來自諸如熱備份路由協議（HSRP），虛擬路由器冗餘協議（VRRP）和開放最短路徑優先（OSPF）等協議的路由信息可能會使網路暴露於路由操縱攻擊。如果訪問埠上存在路由流量，則攻擊者可以解析該信息，以確定是否使用身份驗證來捕獲憑據，從而允許攻擊者注入惡意路由信息。

3.鏈路層協議（Link-Layer Protocols）：錯誤配置的鏈路層協議，如生成樹協議（STP），思科發現協議（CDP），邏輯鏈路發現協議（LLDP），動態中繼協議（DTP），VLAN中繼協議（VTP））允許攻擊者獲得中間人的位置，設備硬體修訂，設備軟體修改等敏感信息，並允許跳躍攻擊（VLAN hopping）和DoS攻擊。

4.引導協議（Boot Protocols）：配置錯誤的啟動協議，如動態主機配置協議（DHCP），BOOTP可能允許攻擊者下載並檢查引導映像以發現憑據等。

現在，NetworkRecon為測試者提供了的這些攻擊腳本，其中所包含的模塊是Invoke-NeighborCacheAnalysis，Invoke-TraceCollect和Invoke-LiveAnalysis。它們的功能如下：

1.Invoke-NeighborCacheAnalysis：查找系統ARP緩存中存在的潛在易受攻擊的協議的二層組播地址（ Layer 2 multicast addresse）。

2.Invoke-TraceCollect：根據受支持的操作系統功能，以.etl或.cap格式執行時間有限的網路跟蹤，利用Microsoft-Windows-NDIS-PacketCapture提供程序。

3.Invoke-LiveAnalysis：使用原始IP套接字來偵聽和解析潛在的易受攻擊的協議並公開詳細信息。

乙太網幀收集的限制可以防止解析LLDP，CDP，DTP和VTP流量。然而，它們的存在仍然可以通過Invoke-NeighborCacheAnalysis來識別。

如何使用NetworkRecon.ps1？

使用PowerShell腳本很簡單：

> Import-Module .NetworkRecon.ps1

> Invoke-LiveAnalysis

WARNING: Script IS NOT running as administrator.

Analyzer started at 2017-07-16T09:03:36

WARNING: Windows Firewall = Enabled

Listening IP Address = 127.0.0.1

Starting sniffer...

所以你看，腳本需要管理許可權。如果有一個提升的提示，你得到的輸出如下：

powershell -exe bypass

> Import-Module .NetworkRecon.ps1

> Invoke-LiveAnalysis

Script IS running as administrator.

Analyzer started at 2017-07-16T09:13:13

WARNING: Windows Firewall = Enabled

Inserted Inbound Multicast Rule

Listening IP Address = 127.0.0.1

Starting sniffer...

現在就得到Invoke-TraceCollect：

> Import-Module .NetworkRecon.ps1

PS C:UsersmdaniDesktop> Invoke-TraceCollect

[+] Target folder exists, no action required

[+] Starting capture session

[-] Trying PEF trace first...

[!] Unable to create PEF trace...falling back to netsh...

[-] Output will be saved to C:tempcapture_201771691852.etl

Trace configuration:

-------------------------------------------------------------------

Status: Running

Trace File: C:tempcapture_201771691852.etl

Append: Off

Circular: Off

Max Size: 250 MB

Report: Off

[-] Sleeping for 5 minutes while packet capture is running

項目地址：https://bitbucket.org/Super68/networkrecon

點擊展開全文

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！