trustedsec/cs-remote-ops-bofأوامر عمليات عن بُعد مُنفَّذة باستخدام Beacon Object Files
يعمل هذا المستودع كإضافة إلى مستودع SA الذي أصدرناه سابقًا. كان موقفنا الأصلي هو أننا لن نُصدر أدواتنا التي تُعدّل أنظمة أخرى، وأننا سنوفر فقط أدوات جمع المعلومات بصيغة جاهزة للاستخدام.
مع مرور الوقت، رأينا العديد من شركات الأمن العامة الأخرى تُصدر أدواتها الهجومية، ونرى الآن أنه من المناسب لنا إصدار جزء من أدواتنا الهجومية.
لا يوجد شيء مميز بشكل خاص في هذا المستودع، إنها عمليات أساسية في Microsoft Windows بصيغة BOF. يمكن استخدام هذه الأوليات لمجموعة واسعة ومتنوعة من العمليات.
قررنا تضمين وحدات BOF الخاصة بالحقن التي نستخدمها عند إجراء اختبارات كشف EDR. يتم توفير وحدات BOF هذه كما هي ولن يتم دعمها (كل ما هو تحت src/Injection و Injection/*)
نرحب باستخدامكم لها، لكن المشكلات المفتوحة المتعلقة بها سيتم إغلاقها دون مراجعة.
| command | notes |
|---|---|
| adcs_request | طلب شهادة تسجيل |
| chromeKey | فك تشفير مفتاح Chrome المُشفَّر بصيغة base64 المقدم |
| enableuser | تمكين وإلغاء قفل حساب المستخدم المحدد |
| lastpass | البحث في ذاكرة chrome و brave عن كلمات مرور وبيانات lastpass |
| office_tokens | جمع رموز Office JWT من أي عملية Office. |
| procdump | إفراغ العملية المحددة إلى ملف الإخراج المحدد |
| ProcessDestroy | إغلاق المقابض (handles) في عملية |
| ProcessListHandles | سرد جميع المقابض المفتوحة في عملية محددة |
| reg_delete | حذف مفتاح تسجيل |
| reg_save | حفظ خلية تسجيل إلى القرص |
| reg_set | تعيين / إنشاء مفتاح تسجيل |
| sc_config | تكوين خدمة موجودة |
| sc_create | إنشاء خدمة جديدة |
| sc_delete | حذف خدمة موجودة |
| sc_description | تعديل وصف خدمة موجودة |
| sc_start | بدء خدمة موجودة |
| sc_stop | إيقاف خدمة موجودة |
| schtaskscreate | إنشاء مهمة مجدولة جديدة (عبر تعريف xml) |
| schtasksdelete | حذف مهمة مجدولة موجودة |
| schtasksstop | إيقاف مهمة مجدولة قيد التشغيل |
| setuserpass | تعيين كلمة مرور مستخدم |
| shspawnas | محاولة خاطئة لحقن شيفرة في عملية تم إنشاؤها حديثًا |
نعم، schtasksrun مفقود، نعم هذا مقصود، لكن إذا قدم شخص طلب سحب (pull) له فسأقبله على هذا الجانب.
هذا المستودع مخصص لأوليات Windows ذات المهمة الواحدة. أي أنه حتى لو تطلب الأمر استدعاءات متعددة، فإن إنشاء مهمة مجدولة يُعد أمرًا مناسبًا.
الأمر الذي يحاول إنشاء برنامج خبيث مسبقًا وتنفيذ حركة آلية باستخدام وحدات BOF في المستودع سيكون رائعًا، لكنه غير مناسب للتقديم إلى هذا المستودع مباشرة.
بعد استلام مساهمتك، ستخضع لمراجعة شيفرة معمقة واختبار.
بعد اكتمال الاختبار، سيكون لدينا صفر أو أكثر من جولات طلبات التغيير بناءً على النتائج حتى لا تبقى أي مشكلات في الشيفرة. عند تلك النقطة سيتم قبولها في المستودع، وسيُضاف اسم مستخدمك على github إلى قائمة الاعتمادات لدينا (إذا كنت تفضل عدم الإضافة أو استخدام اسم مستعار آخر، فقط أخبرني)
