Remote Operations BOF

Dieses Repo dient als Ergänzung zu unserem zuvor veröffentlichten SA Repo. Unsere ursprüngliche Haltung war, dass wir unsere Tooling, das andere Systeme modifiziert, nicht veröffentlichen würden, und wir nur Informationssammel-Tooling in einsatzbereitem Format bereitstellen würden.

Im Laufe der Zeit haben wir gesehen, wie viele andere öffentliche Sicherheitsunternehmen ihr offensives Tooling veröffentlicht haben, und wir halten es nun für angemessen, einen Teil unseres offensiven Toolings zu veröffentlichen.

Nichts in diesem Repo ist besonders speziell, es sind grundlegende Microsoft Windows-Operationen in BOF-Form. Diese Primitive können für eine große Vielfalt von Operationen verwendet werden.

Injection BOF

Wir haben uns entschieden, die Injection-BOFs aufzunehmen, die wir beim EDR-Erkennungstest verwenden. Diese BOFs werden wie besehen bereitgestellt und werden nicht unterstützt (alles unter src/Injection und Injection/*)

Sie können diese gerne verwenden, aber Issues, die im Zusammenhang mit diesen geöffnet werden, werden ohne Prüfung geschlossen.

Verfügbare Remote Operations-Befehle

command	notes
adcs_request	Fordert ein Enrollment-Zertifikat an
chromeKey	Entschlüsselt den bereitgestellten base64-kodierten Chrome-Schlüssel
enableuser	Aktiviert und entsperrt das angegebene Benutzerkonto
lastpass	Durchsucht chrome, brave Speicher nach lastpass-Passwörtern und -Daten
office_tokens	Sammelt Office JWT-Tokens aus jedem Office-Prozess.
procdump	Dumpt den angegebenen Prozess in die angegebene Ausgabedatei
ProcessDestroy	Schließt Handle(s) in einem Prozess
ProcessListHandles	Listet alle offenen Handles in einem angegebenen Prozess auf
reg_delete	löscht einen Registrierungsschlüssel
reg_save	Speichert eine Registrierungs-Hive auf der Festplatte
reg_set	setzt / erstellt einen Registrierungsschlüssel
sc_config	konfiguriert einen vorhandenen Dienst
sc_create	erstellt einen neuen Dienst
sc_delete	löscht einen vorhandenen Dienst
sc_description	Ändert die Beschreibung eines vorhandenen Dienstes
sc_start	startet einen vorhandenen Dienst
sc_stop	stoppt einen vorhandenen Dienst
schtaskscreate	Erstellt eine neue geplante Aufgabe (über XML-Definition)
schtasksdelete	Löscht eine vorhandene geplante Aufgabe
schtasksstop	stoppt eine laufende geplante Aufgabe
setuserpass	Setzt ein Benutzerpasswort
shspawnas	Ein fehlgeleiteter Versuch, Code in einen neu gestarteten Prozess zu injizieren

Ja, schtasksrun fehlt, ja, das ist beabsichtigt, aber wenn jemand einen Pull dafür einreicht, werde ich ihn auf dieser Seite akzeptieren.

Mitwirken

Dieses Repo ist für Single-Task-Windows-Primitive gedacht. Das heißt, auch wenn mehrere Aufrufe erforderlich sind, ist das Erstellen einer geplanten Aufgabe angemessen.

Ein Befehl, der versuchen würde, ein Implantat vorab zu generieren und automatisierte Bewegung unter Verwendung der BOFs im Repo durchzuführen, wäre großartig, ist aber nicht für die direkte Einreichung in dieses Repo geeignet.

Code-Erwartungen

• Ihr Code sollte ohne Fehler kompilieren, wenn das Standard-Makefile verwendet wird
• alle neuen BOF-Defines zum Auflösen von Funktionen werden in src/common/bofdefs.h platziert
• Code wird zusammen mit dem Standard-Makefile kompiliert (einzelne entry.c-Datei)
• Code wird ebenfalls mit der vorhandenen Toolchain (mingw) kompatibel sein
• Code wird in C geschrieben. Dies dient der Standardisierung und meinem persönlichen Vertrauen in die Validierung des Codes.

Was Sie als Mitwirkender erwarten können

Nachdem Ihr Beitrag eingegangen ist, wird er einer eingehenden Code-Überprüfung und Tests unterzogen.
Nach Abschluss der Tests werden wir null oder mehr Runden von Änderungsanfragen basierend auf den Feststellungen haben, bis keine Probleme im Code mehr vorhanden sind. Zu diesem Zeitpunkt wird er in das Repository aufgenommen, und Ihr GitHub-Benutzername wird unserer Credit-Liste hinzugefügt (falls Sie es vorziehen, nicht hinzugefügt zu werden oder ein anderer Handle verwendet werden soll, lassen Sie es mich einfach wissen)