SharpCollection

بنى ليلية من أدوات C# الهجومية الشائعة، مأخوذة مباشرة من فروعها الرئيسية، ومُبنية ومُصدرة بطريقة CDI باستخدام خطوط أنابيب إصدار Azure DevOps.

هل أداتك المفضلة مفقودة؟ لا تتردد في فتح issue أو إرسال رسالة خاصة لي على X @Flangvik يُرجى ملاحظة أن أداة execute-assembly في Cobalt Strike تقبل فقط الملفات الثنائية المُجمعة بإعداد "Any CPU".

OpSec

هل يجب أن أنشر أيًا من هذه الملفات الثنائية بشكل أعمى أثناء المهام الواقعية؟ كلا وألف لا، اطلع دائمًا على أي شيء تنشره على جهاز عميل أو شبكة. مثال: https://github.com/dnSpyEx/dnSpy نشر أي شيء بشكل أعمى من هذا المستودع يجب أن يقتصر على بيئات المختبر، والأجهزة الافتراضية (VM)، وHackTheBox، ورسم خرائط الاكتشاف، وما إلى ذلك.

Azure DevOps?

كل ليلة في الساعة 03:00 صباحًا، يتحقق خط أنابيب Azure DevOps من وجود commits جديدة في الفرع الرئيسي لجميع المستودعات. سيتم جلب الفروع التي تحتوي على تغييرات تلقائيًا وتجميعها بأهداف إطار عمل ومعماريات مختلفة، قبل دفعها إلى هذا المستودع.

يمكن العثور على خط الأنابيب هنا: https://dev.azure.com/FlangvikDev/SharpRelease

البنى المتاحة

مفتاح الرموز: ✔️ = يُبنى بنشاط | ❌ = لا يُبنى | ⚠️ = خط الأنابيب موجود لكن جميع الخطوات معطلة

الأدوات المميزة بعلامة * لديها ملاحظات خاصة — راجع الحواشي أسفل الجدول.

بعض الأدوات تستهدف إصدارات محددة من إطار العمل: تستهدف Certify وKrbRelay وKrbRelayUp وShadowSpray v4.7.2، بينما يستهدف ADCollector v4.6.1.

الحواشي

1. ADCollector — يستهدف .NET Framework v4.6.1 تحديدًا (مُدرج ضمن عمود NET 4.7)
2. AtYourService, Evasor — لا توجد بنى AnyCPU، فقط منصات x64/x86
3. Certify, KrbRelay, KrbRelayUp, ShadowSpray — تستهدف .NET Framework v4.7.2 تحديدًا
4. CheeseTools — خط الأنابيب موجود لكنه لم يُبنَ بنجاح أبدًا
5. SharpBlock — يبني NET 4.0 وNET 4.5 فقط؛ خطوات NET 4.7 معطلة. لا توجد بنى AnyCPU (x64/x86 فقط)
6. SharpDoor — ينشر ملفات x64 الثنائية فقط (مُجمعة عبر سكربت PowerShell)
7. Scout — تمت إزالة المستودع الأصلي. الملفات الثنائية المضمّنة قديمة ولم تعد قيد الصيانة
8. SharpSystemTriggers — خط الأنابيب متوقف مؤقتًا. الملفات الثنائية الحالية قد تكون قديمة

InveighZero ⚠️ — جميع خطوات البناء في خط الأنابيب معطلة وهو غير فعال. الملفات الثنائية الموجودة في المستودع من بنى سابقة.

المصادر / الاعتمادات

روابط جميع هذه الأدوات المذهلة بالأسفل :)* ADCollector - أداة C# لاستخراج معلومات قيّمة بسرعة من بيئة Active Directory @dev-2null

• ADCSPwn - أداة C# لرفع الصلاحيات في شبكة Active Directory عبر إجبار المصادقة من حسابات الأجهزة وتوجيهها إلى خدمة الشهادات. @bats3c
• ADSearch - أداة C# للمساعدة في الاستعلام عن Active Directory عبر بروتوكول LDAP @tomcarver16 (NET 4.7 فقط)
• ADFSDump - أداة C# لاستخراج كل أنواع البيانات المفيدة من AD FS. @FireEye
• AtYourService - تجميعة C# .NET لاستطلاع الخدمات @mitchmoser
• BadAssMacros - مولّد ماكرو خبيث آلي مبني على C# @Flangvik
• BetterSafetyKatz - نسخة معدّلة من SafetyKatz تجلب أحدث إصدار من Mimikatz ديناميكيًا، وتصحح التواقيع وقت التشغيل وتحمّل Mimikatz في الذاكرة عبر PE. @Flangvik
• Certify - أداة C# لاستكشاف واستغلال الأخطاء في الإعدادات داخل Active Directory Certificate Services (AD CS). @harmj0y @tifkin_
• CheeseTools - أدوات مطوّرة ذاتيًا للحركة الجانبية وتنفيذ الأكواد @klezVirus
• EDD - أداة Enumerate Domain Data مصممة لتكون مشابهة لـ PowerView لكن بنسخة .NET @FortyNorthSecurity
• Evasor - أداة تُستخدم في مرحلة ما بعد الاستغلال لتقييم برامج مكافحة الفيروسات والتهرب منها @CyberArk
• Farmer - جمع تجزئات NetNTLM في نطاق Windows عبر خادم WebDAV محلي @domchell
• ForgeCert - يستخدم شهادة CA مسروقة مع مفتاح خاص لتزوير شهادات لأي مستخدمين. @tifkin_
• GMSAPasswordReader - يقرأ كتلة كلمة المرور من حساب GMSA. @rvazarkar
• DeployPrinterNightmare - أداة C# لتثبيت طابعة شبكة مشتركة عبر استغلال ثغرة PrinterNightmare للسماح لأجهزة الشبكة الأخرى برفع الصلاحيات بسهولة @Flangvik
• Grouper2 - أداة C# للمساعدة في العثور على أخطاء الإعدادات المتعلقة بالأمان في نهج المجموعة Active Directory Group Policy. @mikeloss