⚠️ ملاحظة: لم تعد هذه الأداة قيد الصيانة النشطة.

Firework

Firework هي أداة إثبات مفهوم للتفاعل مع Microsoft Workplaces عن طريق إنشاء ملفات صالحة مطلوبة لعملية التزويد. تقوم الأداة أيضًا بتضمين بعض الكود من Responder للاستفادة من قدرته على التقاط تجزئات NetNTLM من نظام يقوم بتزويد موجز Workplace عبره.

يمكن استخدام هذه الأداة كجزء من اختبار اختراق أو تمرين فريق أحمر لإنشاء حمولة .wcx (وموجز مرتبط) والتي إذا تم النقر عليها يمكن استخدامها من أجل:

• التصيد للحصول على بيانات الاعتماد - سيتم إرسال تجزئات NetNTLM إذا قام المستخدم بإدخال بيانات اعتماده (أو في الإصدارات الأقدم من Windows تلقائيًا).
• إضافة عناصر إلى قائمة ابدأ - بعد الإعداد، تتم إضافة اختصارات إلى قائمة ابدأ والتي تقوم بتشغيل ملفات RDP المقدمة. يمكن استخدام هذه الإدخالات كجزء من حملة هندسة اجتماعية أوسع.
• تنزيل الموارد - يتم تنزيل الموارد مثل ملفات .rdp وملفات الأيقونات وتحديثها بواسطة Windows يوميًا (إذا تم تعطيل مصادقة الموجز أو تم استيفاؤها).

اقرأ مدونة SpiderLabs للحصول على ملخص وتوضيح أكثر تفصيلاً.

التثبيت

• تم اختباره مع Python 2.7.x. (Python3 غير مدعوم حاليًا، على الرغم من إمكانية استخدام فئة Firework الرئيسية في Python 3)

$ pip install -r requirements.txt

• تقدم الأداة المحتوى عبر HTTPS وتتطلب شهادة ومفتاح خاص لاستخدام خادم الويب المدمج مع التقاط NetNTLM. الملفات الافتراضية: cert.crt و key.pem

الاستخدام

.-:::::'::::::::::..  .,::::::.::    .   .:::  ...    :::::::..    :::  .   
;;;'''' ;;;;;;;``;;;; ;;;;''''';;,  ;;  ;;;'.;;;;;;;. ;;;;``;;;;   ;;; .;;,.
[[[,,== [[[ [[[,/[[['  [[cccc  '[[, [[, [[',[[     \[[,[[[,/[[['   [[[[[/'  
`$$$"`` $$$ $$$$$$c    $$""""    Y$c$$$c$P $$$,     $$$$$$$$$c    _$$$$,    
 888    888 888b "88bo,888oo,__   "88"888  "888,_ _,88P888b "88bo,"888"88o, 
 "MM,   MMM MMMM   "W" """"YUMMM   "M "M"    "YMMMMMP" MMMM   "W"  MMM "MMP"


الاستخدام: firework.py [-h] -c COMPANY -u URL -a APP -e EXT -i ICON [-l LISTEN]
                   [-r RDP] [-d DOMAIN] [-n USERNAME] [-p PASSWORDHASH]
                   [-t CERT] [-k KEY]

أداة WCX لمساحات العمل

الوسائط الاختيارية:
  -h, --help            عرض رسالة المساعدة هذه والخروج
  -c COMPANY, --company COMPANY
                        اسم الشركة
  -u URL, --url URL     عنوان URL للموجز
  -a APP, --app APP     اسم التطبيق
  -e EXT, --ext EXT     امتداد التطبيق
  -i ICON, --icon ICON  أيقونة التطبيق
  -l LISTEN, --listen LISTEN
                        منفذ خادم الويب TLS
  -r RDP, --rdp RDP     خادم RDP
  -d DOMAIN, --domain DOMAIN
                        مجال RDP
  -n USERNAME, --username USERNAME
                        اسم مستخدم RDP
  -p PASSWORD, --password PASSWORD
                        كلمة مرور RDP
  -t CERT, --cert CERT  شهادة SSL
  -k KEY, --key KEY     مفتاح SSL

أمثلة

مثال أساسي:

• اسم المؤسسة: EvilCorp
• عنوان URL لملف XML الخاص بالموجز (أو عنوان URL لخادم Firework المدمج): https://example.org/ - هذا هو المكان الذي يقوم منه Windows بتنزيل الموجز.
• اسم التطبيق: Firework
• امتداد الملف: .fwk
• ملف الأيقونة: firework.ico

python ./firework.py -c EvilCorp -u https://example.org/ -a Firework -e .fwk -i ./firework.ico 

سيبدأ خادم الويب المدمج على المنفذ 443 إذا كان cert.crt و key.pem موجودين في الدليل الحالي. سيؤدي هذا إلى فرض تحدي NTLM مع Responder. إذا لم تكن هذه الملفات موجودة، ستقوم الأداة بكتابة جميع الملفات إلى الدليل المحلي للاستضافة الخاصة بك.

إذا كنت ترغب في بدء خادم الويب المدمج على منفذ بديل، استخدم العلم -l كما يلي:

python ./firework.py -c EvilCorp -u https://example.org/ -a Firework -e .fwk -i ./firework.ico -l 8443

يمكنك أيضًا إضافة بعض التخصيصات إلى ملف .rdp الذي يتم تقديمه.

• خادم سطح المكتب البعيد: dc.corp.local
• المجال: corp.local
• اسم المستخدم: admin
• كلمة المرور المشفرة: كلمة مرور مشفرة يتم تضمينها في ملف RDP

ملاحظة: يتم تجاهل كلمات المرور المخزنة في ملفات .rdp على الأرجح في التكوين الافتراضي.

python ./firework.py -c EvilCorp -u https://example.org/ -a Firework -e .fwk -i ./firework.ico -r dc.corp.local -d corp.local -n admin -p <كلمة مرور مشفرة>

الحمولة

بعد تشغيل الأداة، سيتم كتابة ملف 'payload.wcx' في الدليل الحالي. هذا الملف هو الذي يؤدي النقر عليه إلى بدء عملية التزويد.

المؤلفون

• David Middlehurst - تويتر- @dtmsecurity

الترخيص

Firework

تم إنشاؤها بواسطة David Middlehurst حقوق الطبع والنشر (C) 2018 Trustwave Holdings, Inc.

هذا البرنامج هو برنامج مجاني: يمكنك إعادة توزيعه و/أو تعديله بموجب شروط رخصة GNU العامة كما نشرتها مؤسسة البرمجيات الحرة، إما الإصدار 3 من الرخصة، أو (حسب اختيارك) أي إصدار لاحق.

يتم توزيع هذا البرنامج على أمل أن يكون مفيدًا، ولكن دون أي ضمان؛ حتى بدون الضمان الضمني لـ القابلية للتسويق أو الملاءمة لغرض معين. راجع رخصة GNU العامة لمزيد من التفاصيل.

الإقرارات

• Responder بواسطة Laurent Gaffie
• أيقونة Firework