eksperience/knockoutlookأداة بلغة C# لعمليات الفريق الأحمر تستخرج جهات الاتصال وبيانات علبة البريد الوصفية وتبحث في رسائل البريد الإلكتروني عبر كائن COM الخاص بـ Outlook، مع تجاوز مدمج لأمان الوصول البرمجي.
"أفضل شعور هو الفوز بالضربة القاضية." - نونيتو دونير
KnockOutlook هو مشروع بلغة C# يتفاعل مع كائن COM الخاص بـ Outlook لتنفيذ عدد من العمليات المفيدة في مشاركات الفريق الأحمر.
__ __ __ ____ __ __ __
/ //_/____ ____ _____/ /__/ __ \__ __/ /_/ /___ ____ / /__
/ ,< / __ \/ __ \/ ___/ //_/ / / / / / / __/ / __ \/ __ \/ //_/
/ /| |/ / / / /_/ / /__/ ,< / /_/ / /_/ / /_/ / /_/ / /_/ / ,<
/_/ |_/_/ /_/\____/\___/_/\_\\____/\__,_/\__/_/\____/\____/_/\_\
Parameters:
--operation : specify the operation to run
--keyword : specify a keyword for the 'search' operation
--id : specify an EntryID for the 'save' operation
--bypass : bypass the Programmatic Access Security settings (requires admin)
Operations:
check : perform a number of checks to ensure operational security
contacts : extract all contacts of every account
mails : extract mailbox metadata of every account
search : search for the provided keyword in every mailbox
save : save a specified mail by its EntryID
Examples:
KnockOutlook.exe --operation check
KnockOutlook.exe --operation contacts
KnockOutlook.exe --operation mails --bypass
KnockOutlook.exe --operation search --keyword password
KnockOutlook.exe --operation save --id {EntryID} --bypass
التحقق
يقوم بتعداد تفاصيل تثبيت Outlook لبناء مفتاح التسجيل الصحيح واسترداد إعداد أمان الوصول البرمجي.
إذا تم تعيين هذه القيمة إلى Warn when antivirus is inactive or out-of-date فإنه يستعلم WMI عن أي منتجات مضادة للفيروسات مثبتة ويحلل حالتها الحالية.
جهات الاتصال
يقوم بتعداد جهات الاتصال لكل حساب تم تكوينه ويستخرج المعلومات التالية:
الرسائل
يقوم بتعداد رسائل البريد لكل حساب تم تكوينه ويستخرج البيانات الوصفية التالية:
البحث
يبحث داخل صندوق البريد لكل حساب تم تكوينه باستخدام محرك البحث المدمج في Outlook ويعيد EntryID للرسائل التي تحتوي على الكلمة المفتاحية المقدمة في نصها.
الحفظ
يستخدم آلية Save As المدمجة في Outlook لتصدير بريد إلكتروني يُشار إليه بواسطة EntryID الخاص به.
يمكن استخدام المفتاح --bypass بالتزامن مع عمليات contacts و mails و search و save نظرًا لأن العملية الحالية تعمل بمستوى تكامل عالٍ.
سيحاول أخذ لقطة للسياسة الأمنية الحالية لـ Outlook، وتصحيحها بحيث يتم السماح تلقائيًا بمطالبة أمان الوصول البرمجي، ثم إعادتها إلى حالتها الأولية بعد انتهاء العملية.
ستقوم جميع العمليات بإخراج معلومات أساسية على الشاشة.
ستقوم عمليتا contacts و mails بإخراج النتائج بتنسيق JSON إلى ملف مضغوط بـ Gzip.
ستقوم عملية save بتصدير البريد الإلكتروني المطلوب بتنسيق .MSG.
يتم إنشاء جميع أسماء الملفات بشكل عشوائي أثناء وقت التشغيل.
بشكل افتراضي، يتم استخدام مجلد Outlook الآمن المؤقت كوجهة لجميع الملفات المصدرة.