Введение
Добрый день, ранее мы уже рассказывали что такое Aggressor
-скрипты, также про их самостоятельное написание.
В этой статье хотим показать пример репозитория содержащий большое количество Aggressor
-скриптов для Cobalt Strike
, чтобы вы не тратили время на написание данного функционала.
Репозиторий со скриптами вы можете скачать по следующей ссылке https://github.com/shorefall/LSTAR-EN.
Данная статья представлена исключительно в образовательных целях. Red Team сообщество "GISCYBERTEAM" не несёт ответственности за любые последствия ее использования третьими лицами.
Установка
Скрипты можно скачать с GitHub:
git clone https://github.com/shorefall/LSTAR-EN
Далее заходим в наш клиент Cobalt Strike
и открываем Менеджер скриптов (Script Manager)
.
![](https://habrastorage.org/getpro/habr/upload_files/bc1/ea7/de8/bc1ea7de80c035bc6ebe1483fbea6a55.png)
Импортируем файл LSTAR.cna
.
![](https://habrastorage.org/getpro/habr/upload_files/c36/8bf/b4f/c368bfb4f1ff3bbc667775c8b2859739.png)
Теперь в контекстном меню нашего бикона
мы можем использовать данный скрипт.
![](https://habrastorage.org/getpro/habr/upload_files/217/4ba/900/2174ba900d8f8ee74a08a1b0eb0175cc.png)
Обзор возможностей
Перечислим основные модули, входящие в набор скриптов:
Information Gathering.
Intranet Scan.
Intranet penetration.
Privilege Escalation.
Credential acquisition.
RDP Related.
Lateral movement.
Trace removal.
Cloning_adding Users.
Misc Desktop Control.
Рассмотрим на примерах некоторые из них:
Название используемого антивирусного решения скомпромитированном хосте.
![](https://habrastorage.org/getpro/habr/upload_files/4e9/452/c3d/4e9452c3dd8bd0840f7bc7ae56bd15b2.png)
![](https://habrastorage.org/getpro/habr/upload_files/443/e4b/b15/443e4bb15ae229d839dcdb4fbfd3b276.png)
Отключение и включение
RDP
-сервиса.
![](https://habrastorage.org/getpro/habr/upload_files/f0e/8d7/2ee/f0e8d72ee310d6558ead5209da5265d1.png)
Проверяем порт и видим, что он закрыт:
![](https://habrastorage.org/getpro/habr/upload_files/a5b/96d/0bd/a5b96d0bd9d3c05ade4a9d10edbf47b5.png)
Теперь пробуем включить службу RDP
через RDP Related
→ Turn on RDP service
и проверяем с помощью nmap
:
![](https://habrastorage.org/getpro/habr/upload_files/be8/f94/b50/be8f94b501a75b4644145f601f043a0a.png)
Создание локального пользователя (с целью одного из вариантов закрепления на скомпрометированном хосте).
Нажимаем Persistence
→ SharpShadowUser
![](https://habrastorage.org/getpro/habr/upload_files/e82/8bb/4e8/e828bb4e8595b09bafb0e7aeb01771e1.png)
Как видим, у нас создаелся пользователь.
![](https://habrastorage.org/getpro/habr/upload_files/793/cc6/b8d/793cc6b8dd7053244a27f9212b2bf45e.png)
Пробуем подключиться учетными данными, которые выдал бикон
Cobalt Strike
:
![](https://habrastorage.org/getpro/habr/upload_files/306/0ba/fec/3060bafec53f63a12a1aee5d7cc2969a.png)
Повышение привилегий через
BadPotato
.
![](https://habrastorage.org/getpro/habr/upload_files/5c2/ff0/882/5c2ff0882a0ebc2195be4f1a87a0e3b1.png)
Вводим команду, которую необходимо выполнить:
![](https://habrastorage.org/getpro/habr/upload_files/529/daf/08f/529daf08fe6f2e7d30bab037e3f6d4a0.png)
Ниже представлен результат выполнения нашей команды через BadPotato
:
![](https://habrastorage.org/getpro/habr/upload_files/b9a/61d/455/b9a61d455783bc71a229a71f66a20adc.png)
Также можно запускать не только команды из cистемного инструментария, но и процессы, которые будут выполняться в контексте учетной записи nt authority\system
.
Сканирование портов.
Для сканирования портов используется утилита fsan
. fscan
- это комплексный инструмент сканирования в сети, удобный для автоматического и всенаправленного сканирования пропущенных объектов. Он поддерживает сканирование портов, сканирование общих служб, ms17-010
, пакетную запись открытого ключа Redis
, оболочку восстановления запланированной задачи, чтение информации о сетевой карте Win
, идентификацию веб-отпечатков пальцев, сканирование веб-уязвимостей, обнаружение netbios
, идентификацию управления доменом и т.д.
![](https://habrastorage.org/getpro/habr/upload_files/5b1/723/978/5b1723978b4abfc7d9dde682dde39f0d.png)
Перед использованием необходимо сначала загрузить fscan
на хост через Upload Fscan
и запустить следующим образом:
![](https://habrastorage.org/getpro/habr/upload_files/2e9/9d1/045/2e99d10456a9083c580713991a879995.png)
Получение учетных данных из
GPP
(Настройки групповой политики).
GPP
— это инструмент, который предоставляет администраторам некоторые расширенные возможности по настройке и управлению политикой учетных записей в сети домена Windows
.
![](https://habrastorage.org/getpro/habr/upload_files/52e/264/40a/52e26440aa9fcdba1390f666c9a362b8.png)
![](https://habrastorage.org/getpro/habr/upload_files/9b8/602/69f/9b860269f06d108876812a2396fc93b6.png)
В данном примере нету пароля в групповых политиках. Также вы можете почитать о расшифровке пароля, если он есть, в этой статье: https://infosecwriteups.com/attacking-gpp-group-policy-preferences-credentials-active-directory-pentesting-16d9a65fa01a.
Получение пароля в открытом виде с помощью https://github.com/bitsadmin/fakelogonscreen
FakeLogonScreen
— это утилита для имитации экрана входа в Windows
с целью получения пароля пользователя. Введенный пароль проверяется в Active Directory
или на локальном компьютере, чтобы убедиться в его правильности, а затем отображается на консоли или сохраняется на диске.
Полезность этой утилитой высока так как ее используют многие Red Team
команд.
![](https://habrastorage.org/getpro/habr/upload_files/c02/2d2/b50/c022d2b50308b0f7c0e4b8022d77508d.png)
![](https://habrastorage.org/getpro/habr/upload_files/d1a/813/a63/d1a813a63b193d9baefbab901eb57796.gif)
Использование
PowerView
.
Powerview
- это PowerShell
-скрипт, необходимый для сбора информации в домене Active Directory
.
Перед его использованием в рамках скрипта LSTAR
сначала необходимо загрузить его на хост, а потом импортировать:
![](https://habrastorage.org/getpro/habr/upload_files/468/059/563/468059563cb7da9154fa1699aac2cc20.png)
Теперь мы можем, к примеру, запросить пользователей в домене:
![](https://habrastorage.org/getpro/habr/upload_files/743/7b4/245/7437b4245389c8e4ca635d7253bda25d.png)
В результате Cobalt Strike
нам выдаст список следующих пользователей:
![](https://habrastorage.org/getpro/habr/upload_files/c8f/657/393/c8f657393abb91457ea9c9325a48a39b.png)
Заключение
В данной статье мы с Вами рассмотрели использование набора Agressor
-скриптов LSTAR
, которые облегчат Вам сбор информации и компрометацию активов при выполнении проектов по тестированию на проникновение.
Подписывайтесь на наш Telegram-канал https://t.me/giscyberteam