synacktiv/sccmsecretsSCCMSecrets.py يهدف إلى استغلال توزيع سياسات SCCM لجمع بيانات الاعتماد، وتحقيق الوصول الأولي، والحركة الجانبية.
SCCMSecrets.py هي أداة لاستغلال سياسات SCCM. تتجاوز مجرد استخراج بيانات اعتماد NAA، وتهدف إلى تقديم نهج شامل لاستغلال سياسات SCCM. يمكن تشغيل الأداة بمستويات امتياز مختلفة، وستحاول الكشف عن أخطاء التكوين المحتملة المتعلقة بتوزيع السياسات. تتوفر تفاصيل أكثر حول الأداة واستخدامها في المقالة المرتبطة: https://www.synacktiv.com/publications/sccmsecretspy-exploiting-sccm-policies-distribution-for-credentials-harvesting-initial
يتوفر أمران فرعيان: policies و files.
يتفاعل هذا الأمر الفرعي مع نقطة الإدارة (Management Point) الخاصة بـ SCCM من أجل تفريغ محتويات جميع السياسات السرية (بما في ذلك تكوين NAA، وتسلسلات المهام التي تحتوي على بيانات اعتماد، أو متغيرات المجموعات). للقيام بذلك، يلزم وجود جهاز SCCM معتمد، ويمكن الحصول عليه بثلاث طرق.
--altauth، سيستغل SCCMSecrets نقطة مصادقة بديلة، مما يسمح بتجاوز متطلبات mTLS، والحصول على جهاز معتمد بدون بيانات اعتماد وبدون الاعتماد على خطأ تكوين الموافقة التلقائية على الأجهزة (مزيد من المعلومات هنا). يعمل هذا فقط عندما تكون نقطة الإدارة مهيأة لاستخدام HTTPS، وعندما يكون موقع SCCM مهيأً لفرض HTTPS على مستوى الموقع بالكامل (إذا كانت نقطة الإدارة تستخدم HTTPS ولكن الموقع يسمح باستخدام HTTP أو HTTPS، فلن تتم الموافقة على الأجهزة تلقائيًا).--use-existing-device). تتوقع هذه الوسيطة دليلاً يحتوي على ملف guid.txt (معرّف الجهاز GUID) وملف key.pem (المفتاح الخاص للجهاز). يمكن أن يكون هذا جهازًا تم إنشاؤه بواسطة تنفيذ سابق لأداة SCCMSecrets، أو الجهاز المقابل لعميل SCCM شرعي تم اختراقه.لاحظ أن سياسات SCCM مرتبطة بالمجموعات (collections). سيؤدي تسجيل جهاز جديد إلى وضع هذا الجهاز في المجموعات الافتراضية - وبالتالي، سيتم استرداد السياسات السرية من المجموعات الافتراضية فقط. لهذا السبب، قد يكون انتحال شخصية عميل SCCM شرعي تم اختراقه باستخدام --use-existing-device أمرًا مثيرًا للاهتمام. في الواقع، يمكن أن يكون هذا العميل الشرعي جزءًا من مجموعات مخصصة مرتبطة بسياسات سرية إضافية.
سيتم وضع المخرجات في دليل فرعي من دليل loot (بالتنسيق: [timestamp]_policies).
$ python3 SCCMSecrets.py policies -h
Usage: SCCMSecrets.py policies [OPTIONS]
Dump secret policies from an SCCM Management Point
╭─ Options ───────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────╮
│ * --management-point -mp TEXT The client's SCCM management point. Expects either a URL, or a hostname/IP (defaults to HTTP in the latter case) [required] │
│ * --client-name -cn TEXT [Optional] The name of the client that will be created in SCCM - or a random name if using an existing device [required] │
│ --machine-name -u TEXT [Optional] A machine account name. If not provided, SCCMSecrets will try to exploit automatic device approval │
│ --machine-pass -p TEXT [Optional] The password for the machine account │
│ --machine-hash -H TEXT [Optional] The NT hash for the machine account │
│ --registration-sleep -rs INTEGER [Optional] The amount of time, in seconds, that should be waited after registrating a new device. A few minutes is recommended so that the new device can be added to │
│ device collections (3 minutes by default, may need to be increased) │
│ [default: 180] │
│ --use-existing-device -d TEXT [Optional] This option can be used to re-run SCCMSecrets.py using a previously registered device ; or to impersonate a legitimate SCCM client. In both cases, it │
│ expects the path of a folder containing a guid.txt file (the SCCM device GUID) and the key.pem file (the client's private key). Note that a client-name value must also │
│ be provided to SCCMSecrets (but does not have to match the one of the existing device) │
│ --pki-cert -c TEXT [Optional] The path to a valid domain PKI certificate in PEM format. Required when the Management Point enforces HTTPS and thus client certificate authentication │
│ --pki-key -k TEXT [Optional] The path to the private key of the certificate in PEM format │
│ --altauth -a [Optional] Use the MP's alternate authentication endpoint. This endpoint bypasses mutual TLS requirements, and automatically approves devices registered through it. It │
│ only works when the MP uses HTTPS AND HTTPS is enforced site-wide │
│ --verbose -v [Optional] Enable verbose output │
│ --help -h Show this message and exit. │
╰─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────╯