ghostpack/seatbeltSeatbelt ist ein C#-Projekt, das eine Reihe von sicherheitsorientierten Host-Umfrage-„Sicherheitschecks“ durchführt, die sowohl aus offensiver als auch defensiver Sicherheitsperspektive relevant sind.
Seatbelt ist ein C#-Projekt, das eine Reihe von sicherheitsorientierten Host-Umfragen ("safety checks") durchführt, die sowohl aus offensiver als auch defensiver Sicherheitsperspektive relevant sind.
Das Skript HostEnum.ps1 von @andrewchiles und Get-HostProfile.ps1 von @tifkin_ dienten als Inspiration für viele der zu sammelnden Artefakte.
@harmj0y und @tifkin_ sind die Hauptautoren dieser Implementierung.
Seatbelt ist unter der BSD-3-Klausel-Lizenz lizenziert.
%&&@@@&&
&&&&&&&%%%, #&&@@@@@@%%%%%%###############%
&%& %&%% &////(((&%%%%%#%################//((((###%%%%%%%%%%%%%%%
%%%%%%%%%%%######%%%#%%####% &%%**# @////(((&%%%%%%######################(((((((((((((((((((
#%#%%%%%%%#######%#%%####### %&%,,,,,,,,,,,,,,,, @////(((&%%%%%#%#####################(((((((((((((((((((
#%#%%%%%%#####%%#%#%%####### %%%,,,,,, ,,. ,, @////(((&%%%%%%%######################(#(((#(#((((((((((
#####%%%#################### &%%...... ... .. @////(((&%%%%%%%###############%######((#(#(####((((((((
#######%##########%######### %%%...... ... .. @////(((&%%%%%#########################(#(#######((#####
###%##%%#################### &%%............... @////(((&%%%%%%%%##############%#######(#########((#####
#####%###################### %%%.. @////(((&%%%%%%%################
&%& %%%%% Seatbelt %////(((&%%%%%%%%#############*
&%%&&&%%%%% v1.2.1 ,(((&%%%%%%%%%%%%%%%%%,
#%%%%##,
Available commands (+ means remote usage is supported):
+ AMSIProviders - Providers registered for AMSI
+ AntiVirus - Registered antivirus (via WMI)
+ AppLocker - AppLocker settings, if installed
ARPTable - Lists the current ARP table and adapter information (equivalent to arp -a)
AuditPolicies - Enumerates classic and advanced audit policy settings
+ AuditPolicyRegistry - Audit settings via the registry
+ AutoRuns - Auto run executables/scripts/programs
azuread - Return AzureAD info
Certificates - Finds user and machine personal certificate files
CertificateThumbprints - Finds thumbprints for all certificate store certs on the system
+ ChromiumBookmarks - Parses any found Chrome/Edge/Brave/Opera bookmark files
+ ChromiumHistory - Parses any found Chrome/Edge/Brave/Opera history files
+ ChromiumPresence - Checks if interesting Chrome/Edge/Brave/Opera files exist
+ CloudCredentials - AWS/Google/Azure/Bluemix cloud credential files
+ CloudSyncProviders - All configured Office 365 endpoints (tenants and teamsites) which are synchronised by OneDrive.
CredEnum - Enumerates the current user's saved credentials using CredEnumerate()
+ CredGuard - CredentialGuard configuration
dir - Lists files/folders. By default, lists users' downloads, documents, and desktop folders (arguments == [directory] [maxDepth] [regex] [boolIgnoreErrors]
+ DNSCache - DNS cache entries (via WMI)
+ DotNet - DotNet versions
+ DpapiMasterKeys - List DPAPI master keys
EnvironmentPath - Current environment %PATH$ folders and SDDL information
+ EnvironmentVariables - Current environment variables
+ ExplicitLogonEvents - Explicit Logon events (Event ID 4648) from the security event log. Default of 7 days, argument == last X days.
ExplorerMRUs - Explorer most recently used files (last 7 days, argument == last X days)
+ ExplorerRunCommands - Recent Explorer "run" commands
FileInfo - Information about a file (version information, timestamps, basic PE info, etc. argument(s) == file path(s)
+ FileZilla - FileZilla configuration files
+ FirefoxHistory - Parses any found FireFox history files
+ FirefoxPresence - Checks if interesting Firefox files exist
+ Hotfixes - Installed hotfixes (via WMI)
IdleTime - Returns the number of seconds since the current user's last input.
+ IEFavorites - Internet Explorer favorites
IETabs - Open Internet Explorer tabs
+ IEUrls - Internet Explorer typed URLs (last 7 days, argument == last X days)
+ InstalledProducts - Installed products via the registry
InterestingFiles - "Interesting" files matching various patterns in the user's folder. Note: takes non-trivial time.
+ InterestingProcesses - "Interesting" processes - defensive products and admin tools
InternetSettings - Internet settings including proxy configs and zones configuration
+ KeePass - Finds KeePass configuration files
+ LAPS - LAPS settings, if installed
+ LastShutdown - Returns the DateTime of the last system shutdown (via the registry).
LocalGPOs - Local Group Policy settings applied to the machine/local users
+ LocalGroups - Non-empty local groups, "-full" displays all groups (argument == computername to enumerate)
+ LocalUsers - Local users, whether they're active/disabled, and pwd last set (argument == computername to enumerate)
+ LogonEvents - Logon events (Event ID 4624) from the security event log. Default of 10 days, argument == last X days.
+ LogonSessions - Windows logon sessions
LOLBAS - Locates Living Off The Land Binaries and Scripts (LOLBAS) on the system. Note: takes non-trivial time.
+ LSASettings - LSA settings (including auth packages)
+ MappedDrives - Users' mapped drives (via WMI)
McAfeeConfigs - Finds McAfee configuration files
McAfeeSiteList - Decrypt any found McAfee SiteList.xml configuration files.
MicrosoftUpdates - All Microsoft updates (via COM)
MTPuTTY - MTPuTTY configuration files
NamedPipes - Named pipe names, any readable ACL information and associated process information.
+ NetworkProfiles - Windows network profiles
+ NetworkShares - Network shares exposed by the machine (via WMI)
+ NTLMSettings - NTLM authentication settings
OfficeMRUs - Office most recently used file list (last 7 days)
OneNote - List OneNote backup files
+ OptionalFeatures - List Optional Features/Roles (via WMI)
OracleSQLDeveloper - Finds Oracle SQLDeveloper connections.xml files
+ OSInfo - Basic OS info (i.e. architecture, OS version, etc.)
+ OutlookDownloads - List files downloaded by Outlook
+ PoweredOnEvents - Reboot and sleep schedule based on the System event log EIDs 1, 12, 13, 42, and 6008. Default of 7 days, argument == last X days.
+ PowerShell - PowerShell versions and security settings
+ PowerShellEvents - PowerShell script block logs (4104) with sensitive data.
+ PowerShellHistory - Searches PowerShell console history files for sensitive regex matches.
Printers - Installed Printers (via WMI)
+ ProcessCreationEvents - Process creation logs (4688) with sensitive data.
Processes - Running processes with file info company names that don't contain 'Microsoft', "-full" enumerates all processes
+ ProcessOwners - Running non-session 0 process list with owners. For remote use.
+ PSSessionSettings - Enumerates PS Session Settings from the registry
+ PuttyHostKeys - Saved Putty SSH host keys
+ PuttySessions - Saved Putty configuration (interesting fields) and SSH host keys
RDCManFiles - Windows Remote Desktop Connection Manager settings files
+ RDPSavedConnections - Saved RDP connections stored in the registry
+ RDPSessions - Current incoming RDP sessions (argument == computername to enumerate)
+ RDPsettings - Remote Desktop Server/Client Settings
RecycleBin - Items in the Recycle Bin deleted in the last 30 days - only works from a user context!
reg - Registry key values (HKLM\Software by default) argument == [Path] [intDepth] [Regex] [boolIgnoreErrors]
RPCMappedEndpoints - Current RPC endpoints mapped
+ SCCM - System Center Configuration Manager (SCCM) settings, if applicable
+ ScheduledTasks - Scheduled tasks (via WMI) that aren't authored by 'Microsoft', "-full" dumps all Scheduled tasks
SearchIndex - Query results from the Windows Search Index, default term of 'passsword'. (argument(s) == <search path> <pattern1,pattern2,...>
SecPackageCreds - Obtains credentials from security packages
+ SecureBoot - Secure Boot configuration
SecurityPackages - Enumerates the security packages currently available using EnumerateSecurityPackagesA()
Services - Services with file info company names that don't contain 'Microsoft', "-full" dumps all processes
+ SlackDownloads - Parses any found 'slack-downloads' files
+ SlackPresence - Checks if interesting Slack files exist
+ SlackWorkspaces - Parses any found 'slack-workspaces' files
+ SuperPutty - SuperPutty configuration files
+ Sysmon - Sysmon configuration from the registry
+ SysmonEvents - Sysmon process creation logs (1) with sensitive data.
TcpConnections - Current TCP connections and their associated processes and services
TokenGroups - The current token's local and domain groups
TokenPrivileges - Currently enabled token privileges (e.g. SeDebugPrivilege/etc.)
+ UAC - UAC system policies via the registry
UdpConnections - Current UDP connections and associated processes and services
UserRightAssignments - Configured User Right Assignments (e.g. SeDenyNetworkLogonRight, SeShutdownPrivilege, etc.) argument == computername to enumerate
WifiProfile - Enumerates the saved Wifi profiles and extract the ssid, authentication type, cleartext key/passphrase (when possible)
+ WindowsAutoLogon - Registry autologon information
WindowsCredentialFiles - Windows credential DPAPI blobs
+ WindowsDefender - Windows Defender settings (including exclusion locations)
+ WindowsEventForwarding - Windows Event Forwarding (WEF) settings via the registry
+ WindowsFirewall - Non-standard firewall rules, "-full" dumps all (arguments == allow/deny/tcp/udp/in/out/domain/private/public)
WindowsVault - Credentials saved in the Windows Vault (i.e. logins from Internet Explorer and Edge).
+ WMI - Runs a specified WMI query
WMIEventConsumer - Lists WMI Event Consumers
WMIEventFilter - Lists WMI Event Filters
WMIFilterBinding - Lists WMI Filter to Consumer Bindings
+ WSUS - Windows Server Update Services (WSUS) settings, if applicable
Seatbelt has the following command groups: All, User, System, Slack, Chromium, Remote, Misc
You can invoke command groups with "Seatbelt.exe <group>"
Or command groups except specific commands "Seatbelt.exe <group> -Command"
"Seatbelt.exe -group=all" runs all commands
"Seatbelt.exe -group=user" runs the following commands:
azuread, Certificates, CertificateThumbprints, ChromiumPresence, CloudCredentials,
CloudSyncProviders, CredEnum, dir, DpapiMasterKeys,
ExplorerMRUs, ExplorerRunCommands, FileZilla, FirefoxPresence,
IdleTime, IEFavorites, IETabs, IEUrls,
KeePass, MappedDrives, MTPuTTY, OfficeMRUs,
OneNote, OracleSQLDeveloper, PowerShellHistory, PuttyHostKeys,
PuttySessions, RDCManFiles, RDPSavedConnections, SecPackageCreds,
SlackDownloads, SlackPresence, SlackWorkspaces, SuperPutty,
TokenGroups, WindowsCredentialFiles, WindowsVault
"Seatbelt.exe -group=system" runs the following commands:
AMSIProviders, AntiVirus, AppLocker, ARPTable, AuditPolicies,
AuditPolicyRegistry, AutoRuns, Certificates, CertificateThumbprints,
CredGuard, DNSCache, DotNet, EnvironmentPath,
EnvironmentVariables, Hotfixes, InterestingProcesses, InternetSettings,
LAPS, LastShutdown, LocalGPOs, LocalGroups,
LocalUsers, LogonSessions, LSASettings, McAfeeConfigs,
NamedPipes, NetworkProfiles, NetworkShares, NTLMSettings,
OptionalFeatures, OSInfo, PoweredOnEvents, PowerShell,
Processes, PSSessionSettings, RDPSessions, RDPsettings,
SCCM, SecureBoot, Services, Sysmon,
TcpConnections, TokenPrivileges, UAC, UdpConnections,
UserRightAssignments, WifiProfile, WindowsAutoLogon, WindowsDefender,
WindowsEventForwarding, WindowsFirewall, WMI, WMIEventConsumer,
WMIEventFilter, WMIFilterBinding, WSUS
"Seatbelt.exe -group=slack" runs the following commands:
SlackDownloads, SlackPresence, SlackWorkspaces
"Seatbelt.exe -group=chromium" runs the following commands:
ChromiumBookmarks, ChromiumHistory, ChromiumPresence
"Seatbelt.exe -group=remote" runs the following commands:
AMSIProviders, AntiVirus, AuditPolicyRegistry, ChromiumPresence, CloudCredentials,
DNSCache, DotNet, DpapiMasterKeys, EnvironmentVariables,
ExplicitLogonEvents, ExplorerRunCommands, FileZilla, Hotfixes,
InterestingProcesses, KeePass, LastShutdown, LocalGroups,
LocalUsers, LogonEvents, LogonSessions, LSASettings,
MappedDrives, NetworkProfiles, NetworkShares, NTLMSettings,
OptionalFeatures, OSInfo, PoweredOnEvents, PowerShell,
ProcessOwners, PSSessionSettings, PuttyHostKeys, PuttySessions,
RDPSavedConnections, RDPSessions, RDPsettings, SecureBoot,
Sysmon, WindowsDefender, WindowsEventForwarding, WindowsFirewall
"Seatbelt.exe -group=misc" runs the following commands:
ChromiumBookmarks, ChromiumHistory, ExplicitLogonEvents, FileInfo, FirefoxHistory,
InstalledProducts, InterestingFiles, LogonEvents, LOLBAS,
McAfeeSiteList, MicrosoftUpdates, OutlookDownloads, PowerShellEvents,
Printers, ProcessCreationEvents, ProcessOwners, RecycleBin,
reg, RPCMappedEndpoints, ScheduledTasks, SearchIndex,
SecurityPackages, SysmonEvents
Examples: 'Seatbelt.exe [Command2] ...' will run one or more specified checks only 'Seatbelt.exe -full' will return complete results for a command without any filtering. 'Seatbelt.exe " [argument]"' will pass an argument to a command that supports it (note the quotes). 'Seatbelt.exe -group=all' will run ALL enumeration checks, can be combined with "-full". 'Seatbelt.exe -group=all -AuditPolicies' will run all enumeration checks EXCEPT AuditPolicies, can be combined with "-full". 'Seatbelt.exe -computername=COMPUTER.DOMAIN.COM [-username=DOMAIN\USER -password=PASSWORD]' will run an applicable check remotely 'Seatbelt.exe -group=remote -computername=COMPUTER.DOMAIN.COM [-username=DOMAIN\USER -password=PASSWORD]' will run remote specific checks 'Seatbelt.exe -group=system -outputfile="C:\Temp\out.txt"' will run system checks and output to a .txt file. 'Seatbelt.exe -group=user -q -outputfile="C:\Temp\out.json"' will run in quiet mode with user checks and output to a .json file.
**Hinweis:** Suchen, die auf Benutzer abzielen, werden für den aktuellen Benutzer ausgeführt, wenn nicht erhöht, und für ALLE Benutzer, wenn erhöht.
## Befehlskategorien
**Hinweis:** Viele Befehle führen standardmäßig eine Filterung durch. Die Angabe des Arguments `-full` verhindert die Filterung der Ausgabe. Außerdem führt die Befehlskategorie `all` alle aktuellen Prüfungen aus.
Zum Beispiel führt der folgende Befehl ALLE Prüfungen durch und gibt ALLE Ausgaben zurück:
`Seatbelt.exe -group=all -full`
### system
Führt Prüfungen durch, die interessante Daten über das System sammeln.
Ausgeführt mit: `Seatbelt.exe -group=system`
| Befehl | Beschreibung |
| ----------- | ----------- |
| AMSIProviders | Für AMSI registrierte Anbieter |
| AntiVirus | Registrierte Antivirensoftware (über WMI) |
| AppLocker | AppLocker-Einstellungen, falls installiert |
| ARPTable | Listet die aktuelle ARP-Tabelle und Adapterinformationen auf (entspricht arp -a) |
| AuditPolicies | Listet klassische und erweiterte Audit-Richtlinieneinstellungen auf |
| AuditPolicyRegistry | Audit-Einstellungen über die Registrierung |
| AutoRuns | Automatisch startende ausführbare Dateien/Skripte/Programme |
| Certificates | Persönliche Zertifikatsdateien von Benutzer und Computer |
| CertificateThumbprints | Fingerabdrücke für alle Zertifikatsspeicher-Zertifikate auf dem System |
| CredGuard | CredentialGuard-Konfiguration |
| DNSCache | DNS-Cache-Einträge (über WMI) |
| DotNet | DotNet-Versionen |
| EnvironmentPath | Aktuelle %PATH$-Ordner und SDDL-Informationen der Umgebung |
| EnvironmentVariables | Aktuelle Benutzer-Umgebungsvariablen |
| Hotfixes | Installierte Hotfixes (über WMI) |
| InterestingProcesses | „Interessante“ Prozesse – Sicherheitsprodukte und Administrator-Tools |
| InternetSettings | Internet-Einstellungen einschließlich Proxy-Konfigurationen |
| LAPS | LAPS-Einstellungen, falls installiert |
| LastShutdown | Gibt das Datum/Uhrzeit des letzten Systemherunterfahrens zurück (über die Registrierung) |
| LocalGPOs | Lokale Gruppenrichtlinieneinstellungen, die auf den Computer/lokale Benutzer angewendet werden |
| LocalGroups | Nicht-leere lokale Gruppen, „full“ zeigt alle Gruppen an (Argument == Computername für die Auflistung) |
| LocalUsers | Lokale Benutzer, ob aktiv/deaktiviert und letztes Passwort-Set (Argument == Computername für die Auflistung) |
| LogonSessions | Anmeldeereignisse (Ereignis-ID 4624) aus dem Sicherheitsereignisprotokoll. Standardmäßig 10 Tage, Argument == letzte X Tage. |
| LSASettings | LSA-Einstellungen (einschließlich Authentifizierungspakete) |
| McAfeeConfigs | Sucht nach McAfee-Konfigurationsdateien |
| NamedPipes | Namen von Named Pipes und lesbare ACL-Informationen |
| NetworkProfiles | Windows-Netzwerkprofile |
| NetworkShares | Vom Computer freigegebene Netzwerkfreigaben (über WMI) |
| NTLMSettings | NTLM-Authentifizierungseinstellungen |
| OptionalFeatures | TODO |
| OSInfo | Grundlegende OS-Informationen (z. B. Architektur, OS-Version usw.) |
| PoweredOnEvents | Neustart- und Schlafplan basierend auf den Systemereignisprotokoll-EIDs 1, 12, 13, 42 und 6008. Standardmäßig 7 Tage, Argument == letzte X Tage. |
| PowerShell | PowerShell-Versionen und Sicherheitseinstellungen |
| Processes | Laufende Prozesse mit Dateiinfo-Firmennamen, die nicht 'Microsoft' enthalten, „full“ zählt alle Prozesse auf |
| PSSessionSettings | Listet PS-Sitzungseinstellungen aus der Registrierung |
| RDPSessions | Aktuelle eingehende RDP-Sitzungen (Argument == Computername für die Auflistung) |
| RDPsettings | Remotedesktop-Server/Client-Einstellungen |
| SCCM | System Center Configuration Manager (SCCM)-Einstellungen, falls zutreffend |
| Services | Dienste mit Dateiinfo-Firmennamen, die nicht 'Microsoft' enthalten, „full“ gibt alle Prozesse aus |
| Sysmon | Sysmon-Konfiguration aus der Registrierung |
| TcpConnections | Aktuelle TCP-Verbindungen und ihre zugehörigen Prozesse und Dienste |
| TokenPrivileges | Aktuell aktivierte Token-Berechtigungen (z. B. SeDebugPrivilege usw.) |
| UAC | UAC-Systemrichtlinien über die Registrierung |
| UdpConnections | Aktuelle UDP-Verbindungen und zugehörige Prozesse und Dienste |
| UserRightAssignments | Konfigurierte Benutzerrechtezuweisungen (z. B. SeDenyNetworkLogonRight, SeShutdownPrivilege usw.) Argument == Computername für die Auflistung |
| WifiProfile | TODO |
| WindowsAutoLogon | Registrierungs-Autologon-Informationen |
| WindowsDefender | Windows Defender-Einstellungen (einschließlich Ausschlusspfade) |
| WindowsEventForwarding | Windows Event Forwarding (WEF)-Einstellungen über die Registrierung |
| WindowsFirewall | Nicht standardmäßige Firewall-Regeln, „full“ gibt alle aus (Argumente == allow/deny/tcp/udp/in/out/domain/private/public) |
| WMIEventConsumer | Listet WMI-Ereignisconsumer auf |
| WMIEventFilter | Listet WMI-Ereignisfilter auf |
| WMIFilterBinding | Listet WMI-Filter-zu-Consumer-Bindungen auf |
| WSUS | Windows Server Update Services (WSUS)-Einstellungen, falls zutreffend |
### user
Führt Prüfungen durch, die interessante Daten über den aktuell angemeldeten Benutzer (wenn nicht erhöht) oder ALLE Benutzer (wenn erhöht) sammeln.
Ausgeführt mit: `Seatbelt.exe -group=user`
| Befehl | Beschreibung |
| ----------- | ----------- |
| Certificates | Persönliche Zertifikatsdateien von Benutzer und Computer |
| CertificateThumbprints | Fingerabdrücke für alle Zertifikatsspeicher-Zertifikate auf dem System |
| ChromiumPresence | Überprüft, ob interessante Chrome/Edge/Brave/Opera-Dateien existieren |
| CloudCredentials | AWS/Google/Azure-Cloud-Anmeldedatendateien |
| CloudSyncProviders | TODO |
| CredEnum | Listet die gespeicherten Anmeldedaten des aktuellen Benutzers mit CredEnumerate() auf |
| dir | Listet Dateien/Ordner auf. Standardmäßig werden die Ordner Downloads, Dokumente und Desktop der Benutzer aufgelistet (Argumente == \<Verzeichnis\> \<Tiefe\> \<Regex\>) |
| DpapiMasterKeys | Listet DPAPI-Masterschlüssel auf |
| Dsregcmd | TODO |
| ExplorerMRUs | Zuletzt verwendete Explorer-Dateien (letzte 7 Tage, Argument == letzte X Tage) |
| ExplorerRunCommands | Letzte Explorer „Ausführen“-Befehle |
| FileZilla | FileZilla-Konfigurationsdateien |
| FirefoxPresence | Überprüft, ob interessante Firefox-Dateien existieren |
| IdleTime | Gibt die Anzahl der Sekunden seit der letzten Eingabe des aktuellen Benutzers zurück. |
| IEFavorites | Internet Explorer-Favoriten |
| IETabs | Offene Internet Explorer-Tabs |
| IEUrls| Vom Internet Explorer eingegebene URLs (letzte 7 Tage, Argument == letzte X Tage) |
| KeePass | TODO |
| MappedDrives | Laufwerkszuordnungen der Benutzer (über WMI) |
| OfficeMRUs | Zuletzt verwendete Office-Dateien (letzte 7 Tage) |
| OneNote | TODO |
| OracleSQLDeveloper | TODO |
| PowerShellHistory | Durchläuft alle lokalen Benutzer und versucht, deren PowerShell-Konsolenverlauf zu lesen; bei Erfolg wird er ausgegeben |
| PuttyHostKeys | Gespeicherte Putty-SSH-Hostschlüssel |
| PuttySessions | Gespeicherte Putty-Konfiguration (interessante Felder) und SSH-Hostschlüssel |
| RDCManFiles | Windows Remote Desktop Connection Manager-Einstellungsdateien |
| RDPSavedConnections | Gespeicherte RDP-Verbindungen in der Registrierung |
| SecPackageCreds | Ruft Anmeldedaten von Sicherheitspaketen ab |
| SlackDownloads | Analysiert alle gefundenen 'slack-downloads'-Dateien |
| SlackPresence | Überprüft, ob interessante Slack-Dateien existieren |
| SlackWorkspaces | Analysiert alle gefundenen 'slack-workspaces'-Dateien |
| SuperPutty | SuperPutty-Konfigurationsdateien |
| TokenGroups | Die lokalen und Domänengruppen des aktuellen Tokens |
| WindowsCredentialFiles | Windows-Anmeldedaten-DPAPI-Blobs |
| WindowsVault | Im Windows Vault gespeicherte Anmeldedaten (z. B. Anmeldungen von Internet Explorer und Edge). |
### misc
Führt alle sonstigen Prüfungen durch.
Ausgeführt mit: `Seatbelt.exe -group=misc`
| Befehl | Beschreibung |
| ----------- | ----------- |
| ChromiumBookmarks | Analysiert alle gefundenen Chrome/Edge/Brave/Opera-Lesezeichendateien |
| ChromiumHistory | Analysiert alle gefundenen Chrome/Edge/Brave/Opera-Verlaufsdateien |
| ExplicitLogonEvents | Explizite Anmeldeereignisse (Ereignis-ID 4648) aus dem Sicherheitsereignisprotokoll. Standardmäßig 7 Tage, Argument == letzte X Tage. |
| FileInfo | Informationen über eine Datei (Versionsinformationen, Zeitstempel, grundlegende PE-Info usw. Argument(e) == Dateipfad(e) |
| FirefoxHistory | Analysiert alle gefundenen Firefox-Verlaufsdateien |
| InstalledProducts | Installierte Produkte über die Registrierung |
| InterestingFiles | „Interessante“ Dateien, die verschiedenen Mustern im Benutzerordner entsprechen. Hinweis: Benötigt erhebliche Zeit. |
| LogonEvents | Anmeldeereignisse (Ereignis-ID 4624) aus dem Sicherheitsereignisprotokoll. Standardmäßig 10 Tage, Argument == letzte X Tage. |
| LOLBAS | Lokalisiert „Living Off The Land Binaries and Scripts“ (LOLBAS) auf dem System. Hinweis: Benötigt erhebliche Zeit. |
| McAfeeSiteList | Entschlüsselt alle gefundenen McAfee SiteList.xml-Konfigurationsdateien. |
| MicrosoftUpdates | Alle Microsoft-Updates (über COM) |
| OutlookDownloads | Listet von Outlook heruntergeladene Dateien auf |
| PowerShellEvents | PowerShell-Skriptblockprotokolle (4104) mit sensiblen Daten. |
| Printers | Installierte Drucker (über WMI) |
| ProcessCreationEvents | Prozesserstellungsprotokolle (4688) mit sensiblen Daten. |
| ProcessOwners | Laufende Prozessliste außerhalb von Sitzung 0 mit Besitzern. Für Fernverwendung. |
| RecycleBin | Elemente im Papierkorb, die in den letzten 30 Tagen gelöscht wurden – funktioniert nur im Benutzerkontext! |
| reg | Registrierungsschlüsselwerte (HKLM\Software standardmäßig) Argument == [Pfad] [intTiefe] [Regex] [boolIgnoreErrors] |
| RPCMappedEndpoints | Aktuelle RPC-Endpunkte zugeordnet |
| ScheduledTasks | Geplante Aufgaben (über WMI), die nicht von 'Microsoft' stammen, „full“ gibt alle geplanten Aufgaben aus |
| SearchIndex | Abfrageergebnisse aus dem Windows-Suchindex, Standardbegriff 'Passwort'. (Argument(e) == \<Suchpfad\> \<Muster1,Muster2,...\> |
| SecurityPackages | Listet die derzeit verfügbaren Sicherheitspakete mit EnumerateSecurityPackagesA() auf |
| SysmonEvents | Sysmon-Prozesserstellungsprotokolle (1) mit sensiblen Daten. |
### Zusätzliche Befehlskategorien
Ausgeführt mit: `Seatbelt.exe -group=KATEGORIENAME`
| Alias | Beschreibung |
| ----------- | ----------- |
| Slack | Führt Module aus, die mit "Slack*" beginnen |
| Chromium | Führt Module aus, die mit "Chromium*" beginnen |
| Remote | Führt die folgenden Module aus (zur Verwendung gegen ein entferntes System): AMSIProviders, AntiVirus, AuditPolicyRegistry, ChromiumPresence, CloudCredentials, DNSCache, DotNet, DpapiMasterKeys, EnvironmentVariables, ExplicitLogonEvents, ExplorerRunCommands, FileZilla, Hotfixes, InterestingProcesses, KeePass, LastShutdown, LocalGroups, LocalUsers, LogonEvents, LogonSessions, LSASettings, MappedDrives, NetworkProfiles, NetworkShares, NTLMSettings, OptionalFeatures, OSInfo, PoweredOnEvents, PowerShell, ProcessOwners, PSSessionSettings, PuttyHostKeys, PuttySessions, RDPSavedConnections, RDPSessions, RDPsettings, Sysmon, WindowsDefender, WindowsEventForwarding, WindowsFirewall |
## Befehlsargumente
Befehle, die Argumente akzeptieren, sind in ihrer Beschreibung vermerkt. Um ein Argument an einen Befehl zu übergeben, setzen Sie den Befehl und die Argumente in doppelte Anführungszeichen.
Zum Beispiel gibt der folgende Befehl 4624-Anmeldeereignisse der letzten 30 Tage zurück:
`Seatbelt.exe "LogonEvents 30"`
Der folgende Befehl fragt eine Registrierung drei Ebenen tief ab, gibt nur Schlüssel/Wertnamen/Werte zurück, die mit dem Regex `.*defini.*` übereinstimmen, und ignoriert alle auftretenden Fehler.
`Seatbelt.exe "reg \"HKLM\SOFTWARE\Microsoft\Windows Defender\" 3 .*defini.* true"`
## Ausgabe
Seatbelt kann seine Ausgabe mit dem Argument `-outputfile="C:\Pfad\datei.txt"` in eine Datei umleiten. Wenn der Dateipfad auf .json endet, ist die Ausgabe strukturiertes JSON.
Zum Beispiel sendet der folgende Befehl die Ergebnisse der Systemprüfungen in eine txt-Datei:
`Seatbelt.exe -group=system -outputfile="C:\Temp\system.txt"`
## Remote-Aufzählung
Befehle, die im Hilfemenü mit einem + gekennzeichnet sind, können remote gegen ein anderes System ausgeführt werden. Dies erfolgt über WMI mittels Abfragen von WMI-Klassen und der WMI-StdRegProv für die Registrierungsaufzählung.
Um ein entferntes System aufzulisten, geben Sie `-computername=COMPUTER.DOMAIN.COM` an – ein alternativer Benutzername und ein Kennwort können mit `-username=DOMAIN\USER -password=PASSWORT` angegeben werden.
Zum Beispiel führt der folgende Befehl remote-fokussierte Prüfungen gegen ein entferntes System durch:
`Seatbelt.exe -group=remote -computername=192.168.230.209 -username=THESHIRE\sam -password="yum \"po-ta-toes\""`
## Erstellen eigener Module
Die Struktur von Seatbelt ist vollständig modular, sodass zusätzliche Befehlsmodule in die Dateistruktur eingefügt und dynamisch geladen werden können.
Eine kommentierte Befehlsmodulvorlage finden Sie unter `.\Seatbelt\Commands\Template.cs` als Referenz. Nach dem Erstellen legen Sie das Modul am logischen Dateiort ab, binden es im Projektmappen-Explorer von Visual Studio in das Projekt ein und kompilieren es.
## Kompilieranweisungen
Wir planen nicht, Binärdateien für Seatbelt zu veröffentlichen, daher müssen Sie selbst kompilieren.
Seatbelt wurde gegen .NET 3.5 und 4.0 mit C# 8.0-Features erstellt und ist mit [Visual Studio Community Edition](https://visualstudio.microsoft.com/downloads/) kompatibel. Öffnen Sie einfach die Projekt-.sln, wählen Sie „Release“ und erstellen Sie sie. Um die Ziel-.NET-Framework-Version zu ändern, [ändern Sie die Projekteinstellungen](https://github.com/GhostPack/Seatbelt/issues/27) und erstellen Sie das Projekt neu.
## Danksagungen
Seatbelt integriert verschiedene Sammlungselemente, C#-Codeausschnitte und Teile von PoCs, die während der Forschung zu seinen Fähigkeiten gefunden wurden. Diese Ideen, Ausschnitte und Autoren sind an den entsprechenden Stellen im Quellcode hervorgehoben und umfassen:* [@andrewchiles](https://twitter.com/andrewchiles)' [HostEnum.ps1](https://github.com/threatexpress/red-team-scripts/blob/master/HostEnum.ps1)-Skript und [@tifkin\_](https://twitter.com/tifkin_)'s [Get-HostProfile.ps1](https://github.com/leechristensen/Random/blob/master/PowerShellScripts/Get-HostProfile.ps1) dienten als Inspiration für viele der zu sammelnden Artefakte.
* Boboes' Code zu [NetLocalGroupGetMembers](https://stackoverflow.com/questions/33935825/pinvoke-netlocalgroupgetmembers-runs-into-fatalexecutionengineerror/33939889#33939889)
* [ambytes Code zum Konvertieren eines zugeordneten Laufwerksbuchstabens in einen Netzwerkpfad](https://gist.github.com/ambyte/01664dc7ee576f69042c)
* [Igor Korkhovs Code zum Abrufen aktueller Token-Gruppeninformationen](https://stackoverflow.com/questions/2146153/how-to-get-the-logon-sid-in-c-sharp/2146418#2146418)
* [RobSiklos' Snippet zur Bestimmung, ob ein Host eine virtuelle Maschine ist](https://stackoverflow.com/questions/498371/how-to-detect-if-my-application-is-running-in-a-virtual-machine/11145280#11145280)
* [JGUs Snippet zum Vergleich von Datei-/Ordner-ACL-Berechtigungen](https://stackoverflow.com/questions/1410127/c-sharp-test-if-user-has-write-access-to-a-folder/21996345#21996345)
* [Rod Stephens' Muster für rekursive Dateiaufzählung](http://csharphelper.com/blog/2015/06/find-files-that-match-multiple-patterns-in-c/)
* [SwDevMan81's Snippet zum Aufzählen aktueller Token-Berechtigungen](https://stackoverflow.com/questions/4349743/setting-size-of-token-privileges-luid-and-attributes-array-returned-by-gettokeni)
* [Jared Atkinsons PowerShell-Arbeit zu Kerberos-Ticket-Caches](https://github.com/Invoke-IR/ACE/blob/master/ACE-Management/PS-ACE/Scripts/ACE_Get-KerberosTicketCache.ps1)
* [darkmatter08s Kerberos-C#-Snippet](https://www.dreamincode.net/forums/topic/135033-increment-memory-pointer-issue/)
* Zahlreiche [PInvoke.net](https://www.pinvoke.net/)-Beispiele <3
* [Jared Hills großartiges CodeProject zur Verwendung der Local Security Authority zum Aufzählen von Benutzersitzungen](https://www.codeproject.com/Articles/18179/Using-the-Local-Security-Authority-to-Enumerate-Us)
* [Freds Code zum Abfragen des ARP-Cache](https://social.technet.microsoft.com/Forums/lync/en-US/e949b8d6-17ad-4afc-88cd-0019a3ac9df9/powershell-alternative-to-arp-a?forum=ITCG)
* [ShuggyCoUk's Snippet zum Abfragen der TCP-Verbindungstabelle](https://stackoverflow.com/questions/577433/which-pid-listens-on-a-given-port-in-c-sharp/577660#577660)
* [yizhang82s Beispiel zur Verwendung von Reflection zur Interaktion mit COM-Objekten über C#](https://gist.github.com/yizhang82/a1268d3ea7295a8a1496e01d60ada816)
* [@djhohnstein](https://twitter.com/djhohnstein)'s [SharpWeb-Projekt](https://github.com/djhohnstein/SharpWeb/blob/master/Edge/SharpEdge.cs)
* [@djhohnstein](https://twitter.com/djhohnstein)'s [EventLogParser-Projekt](https://github.com/djhohnstein/EventLogParser)
* [@cmaddalena](https://twitter.com/cmaddalena)'s [SharpCloud-Projekt](https://github.com/chrismaddalena/SharpCloud), BSD 3-Clause
* [@_RastaMouse](https://twitter.com/_RastaMouse)'s [Watson-Projekt](https://github.com/rasta-mouse/Watson/), GPL-Lizenz
* [@_RastaMouse](https://twitter.com/_RastaMouse)'s [Arbeit zur AppLocker-Aufzählung](https://rastamouse.me/2018/09/enumerating-applocker-config/)
* [@peewpw](https://twitter.com/peewpw)'s [Invoke-WCMDump-Projekt](https://github.com/peewpw/Invoke-WCMDump/blob/master/Invoke-WCMDump.ps1), GPL-Lizenz
* TrustedSecs [HoneyBadger-Projekt](https://github.com/trustedsec/HoneyBadger/tree/master/modules/post/windows/gather), BSD 3-Clause
* CENTRAL Solutions' [Audit User Rights Assignment Project](https://www.centrel-solutions.com/support/tools.aspx?feature=auditrights), Keine Lizenz
* Sammlungsideen inspiriert von [@ukstufus](https://twitter.com/ukstufus)' [Reconerator](https://github.com/stufus/reconerator)
* Office MRU-Speicherorte und Zeitstempel-Parsing-Informationen aus Dustin Hurlbuts Paper [Microsoft Office 2007, 2010 - Registry Artifacts](https://ad-pdf.s3.amazonaws.com/Microsoft_Office_2007-2010_Registry_ArtifactsFINAL.pdf)
* Die [Windows-Befehlsliste](https://docs.microsoft.com/en-us/windows-server/administration/windows-commands/windows-commands), verwendet für den Bau sensitiver Regex
* [Ryan Ries' Code zur Aufzählung gemappter RPC-Endpunkte](https://stackoverflow.com/questions/21805038/how-do-i-pinvoke-rpcmgmtepeltinqnext)
* [Chris Haas' Beitrag zu EnumerateSecurityPackages()](https://stackoverflow.com/a/5941873)
* [darkoperator](https://github.com/ghostpack/seatbelt/blob/HEAD/carlos_perez)' Arbeit [am HoneyBadger-Projekt](https://github.com/trustedsec/HoneyBadger)
* [@airzero24](https://twitter.com/airzero24)' Arbeit zur [WMI-Registry-Aufzählung](https://github.com/airzero24/WMIReg)
* Alexandrus Antwort zu [RegistryKey.OpenBaseKey-Alternativen](https://stackoverflow.com/questions/26217199/what-are-some-alternatives-to-registrykey-openbasekey-in-net-3-5)
* Tomas Veras [Beitrag über JavaScriptSerializer](http://www.tomasvera.com/programming/using-javascriptserializer-to-parse-json-objects/)
* Marc Gravels [Hinweis zum rekursiven Auflisten von Dateien/Ordnern](https://stackoverflow.com/a/929418)
* [@mattifestation](https://twitter.com/mattifestation)' [Sysmon-Regelparser](https://github.com/mattifestation/PSSysmonTools/blob/master/PSSysmonTools/Code/SysmonRuleParser.ps1#L589-L595)
* Inspiration von spolniks [Simple.CredentialsManager-Projekt](https://github.com/spolnik/Simple.CredentialsManager), Apache 2-Lizenz
* [Dieser Beitrag zu Credential Guard-Einstellungen](https://www.tenforums.com/tutorials/68926-verify-if-device-guard-enabled-disabled-windows-10-a.html)
* [Dieser Thread](https://social.technet.microsoft.com/Forums/windows/en-US/b0e13a16-51a6-4aca-8d44-c85e097f882b/nametype-in-nla-information-for-a-network-profile) über Netzwerkprofil-Informationen
* Mark McKinnons Beitrag zum [Dekodieren der DateCreated- und DateLastConnected-SSID-Werte](http://cfed-ttf.blogspot.com/2009/08/decoding-datecreated-and.html)
* Dieser Specops-[Beitrag über Gruppenrichtlinien-Caching](https://specopssoft.com/blog/things-work-group-policy-caching/)
* sa_ddam213s StackOverflow-Beitrag zum [Auflisten von Elementen im Papierkorb](https://stackoverflow.com/questions/18071412/list-filenames-in-the-recyclebin-with-c-sharp-without-using-any-external-files)
* Kirill Osenkovs [Code zur Erkennung verwalteter Assemblys](https://stackoverflow.com/a/15608028)
* Das [Mono-Projekt](https://github.com/mono/linux-packaging-mono/blob/d356d2b7db91d62b80a61eeb6fbc70a402ac3cac/external/corefx/LICENSE.TXT) für die SecBuffer/SecBufferDesc-Klassen
* [Elad Shamir](https://twitter.com/elad_shamir) und sein [Internal-Monologue](https://github.com/eladshamir/Internal-Monologue/)-Projekt, [Vincent Le Toux](https://twitter.com/mysmartlogon) für sein [DetectPasswordViaNTLMInFlow](https://github.com/vletoux/DetectPasswordViaNTLMInFlow/)-Projekt und Lee Christensen für dieses [GetNTLMChallenge](https://github.com/leechristensen/GetNTLMChallenge/)-Projekt. Alle dienten als Inspiration für den SecPackageCreds-Befehl.
* @leftp und @eksperiences [Gopher-Projekt](https://github.com/EncodeGroup/Gopher) als Inspiration für die FileZilla- und SuperPutty-Befehle
* @funoverip für den ursprünglichen McAfee SiteList.xml-Entschlüsselungscode
Wir haben versucht, umfassende Quellenangaben zu machen, aber falls wir jemanden/etwas vergessen haben, bitte teilen Sie es uns mit!