Command and Control Options

Resumen del Video sobre las Opciones de Comando y Control en Core Impact

Este video explora las principales opciones de conexión para el tráfico de comando y control utilizando una caja Windows como objetivo, desplegada a través de un servidor web.

Cómo Empezar

1. Acceso al Módulo:
2. Ve a Agents y selecciona 'Serve Agent in Web Server'.
3. Selecciona la plataforma Windows, una arquitectura de 64 bits y el agente local estándar.

Agent Connection

La Agent Connection es el área principal en la que nos centraremos para este ejercicio.

Connect from Target

Para empezar, realizamos una conexión básica desde el objetivo usando TCP. Podemos especificar el puerto o dejar que Core Impact elija un puerto alto. También podemos especificar a qué agente va a conectarse Core Impact, permitiendo desplegar un agente desde un host pero conectarse a un host o agente diferente. Esto es útil si estás usando un jump box externo o si un agente está detrás de una interfaz NAT.

Una vez generado el agente, verás el Serve Agent in Web Server en el log de módulos ejecutados.

Después de un momento, también verás una URL generada en el Module Log. Haz clic en ella y selecciona 'Copy' para añadirla al portapapeles. Ahora puedes moverla convenientemente a una sesión RDP.

Nuestro demostrador utilizó Wireshark para capturar las comunicaciones entre la estación Core Impact y nuestro objetivo. Una vez abierto Internet Explorer, se pegó la URL y se ejecutó el archivo. Una vez completado, deberías ver actividad (paquetes TCP en nuestra captura de pantalla) yendo y viniendo bajo el puerto especificado.

En la consola de Core Impact, deberías ver el agente en el sistema. Haz clic derecho y selecciona 'Get username' para obtener un nombre de usuario. En el log del módulo, encontrarás los nombres de usuario capturados.

HTTP Channel

En este siguiente ejemplo, utilizaremos el método de conexión HTTP Channel y dejaremos que Core Impact elija un puerto. Podemos especificar un referrer y subir un tipo de contenido.

Nuevamente, copia la URL del Module Log, inicia la captura de Wireshark y pega la URL.

Nuevamente, puedes hacer clic derecho en la consola de Core Impact para 'Get Username.' Después de desinstalar y eliminar el agente, puedes ejecutar nuevamente para seleccionar otro método de conexión, HTTPS Channel o DNS Channel.

HTTPS Channel

Selecciona el HTTPS Channel, deja que Core Impact elija un puerto, y genera el agente. Copia la URL generada, inicia la captura de Wireshark y repite el proceso.

DNS Channel

El método de conexión DNS proporciona mucha flexibilidad, especialmente cuando otros métodos están bloqueados. Genera el agente, copia la URL, inicia la captura de Wireshark y ejecuta el archivo en el objetivo.

Transcripción del Video

1. Introducción sobre las opciones de conexión para el tráfico de comando y control en Core Impact.
2. Descripción de cómo los agentes de Core Impact se comunican con la consola de Impact.
3. Configuración del agente y despliegue a través de un servidor web.
4. Exploración de las opciones de conexión principales, incluyendo TCP, HTTP, HTTPS y DNS.
5. Captura de tráfico con Wireshark para observar las comunicaciones de comando y control.
6. Obtención de nombres de usuario desde la consola de Core Impact.
7. Ejemplos detallados de conexión usando los métodos HTTP y DNS.

Este resumen cubre las opciones clave para configurar las conexiones de comando y control en Core Impact, destacando las diversas formas en que los agentes pueden comunicarse de manera efectiva con la consola de Impact.