redsiege/egress-assessHerramienta de prueba de exfiltración de datos multiprotocolo que simula escenarios de salida reales sobre FTP, HTTP, HTTPS, DNS, ICMP, SMB, SMTP y SFTP para validar las capacidades de detección.
Egress-Assess es una herramienta utilizada para probar las capacidades de detección de datos de salida (egress).
Para configurarlo, ejecute el script de configuración incluido, o realice lo siguiente:
openssl req -new -x509 -keyout server.pem -out server.pem -days 365 -nodes
Las publicaciones del blog están disponibles aquí:
El caso de uso típico de Egress-Assess es copiar esta herramienta en dos ubicaciones. Una ubicación actuará como servidor, la otra como cliente. Egress-Assess puede enviar datos a través de FTP, HTTP y HTTPS.
Para extraer datos a través de FTP, primero iniciaría el servidor FTP de Egress-Assess seleccionando "--server ftp" y proporcionando un nombre de usuario y contraseña a utilizar:
./Egress-Assess.py --server ftp --username testuser --password pass123
Ahora, para que el cliente se conecte y envíe datos al servidor FTP, podría ejecutar...
./Egress-Assess.py --client ftp --username testuser --password pass123 --ip 192.168.63.149 --datatype ssn
Además, puede configurar Egress-Assess para que actúe como un servidor web ejecutando....
./Egress-Assess.py --server https
Luego, para enviar datos al servidor FTP, y específicamente enviar 15 megas de datos de tarjetas de crédito, ejecute el siguiente comando...
./Egress-Assess.py --client https --data-size 15 --ip 192.168.63.149 --datatype cc
Otros puntos a tener en cuenta:
SMTP - El cliente crea un mensaje de correo colocando los datos en el cuerpo del mensaje o, si es un archivo, como un adjunto. Luego, el cliente intenta realizar una conexión SMTP al servidor EgressAssess a través del puerto 25 (o un puerto alternativo proporcionado). El servidor SMTP no requiere autenticación y acepta la conexión entrante y procesa el correo electrónico. El procesamiento del mensaje de correo toma los datos del cuerpo del correo electrónico o del archivo adjunto en el mensaje de correo. Esta prueba no intenta enviar el correo electrónico a través del servidor de correo de la organización.
SMTP_Outlook – (Este módulo solo está disponible en el cliente PowerShell). Si un cliente de Outlook ha sido configurado previamente, el cliente PowerShell crea un objeto COM para Outlook (esto puede requerir que un usuario proporcione autenticación dependiendo de la configuración). Luego, el cliente PowerShell creará un mensaje de correo con los datos en el cuerpo del correo electrónico o, si es un archivo, como un adjunto. Los correos se envían desde Outlook como el usuario previamente configurado. (Algunas configuraciones de seguridad pueden notificar al usuario que un programa está intentando enviar correos en segundo plano y necesita seleccionar permitir). Para que este módulo funcione, se debe crear un registro MX para el servidor EgressAssess. El servidor SMTP de EgressAssess acepta todos los mensajes de correo enviados al dominio del registro MX y recibe el correo electrónico con los archivos adjuntos o los datos como texto en el cuerpo del correo electrónico.
Invoke-EssessAgress -Client SMTPOutlook -IP <domain of SMTP Sever> -NoPing -DataType "ssn"
ICMP - Los datos se dividen en bytes y se codifican en base64 y se envían por el cable en una solicitud ECHO de tipo 8 de ICMP. Los datos se colocan dentro del campo de datos del paquete. Las solicitudes ECHO se realizan continuamente al servidor EgressAssess, que recibe la solicitud ICMP, recopila los datos y los decodifica.
FTP - Los datos y archivos se suben al servidor FTP de EgressAssess siguiendo el uso típico del protocolo. Se utilizan un nombre de usuario y una contraseña para acceder al servidor. Vea los ejemplos anteriores.
SFTP - Los datos y archivos se suben siguiendo el protocolo SFTP. Se utilizan un nombre de usuario y una contraseña para acceder al servidor.
HTTP(S) - Los datos y archivos se envían a través de una solicitud web POST al servidor web de EgressAssess. Para el cliente Python, los datos se publican en http(s):///post_data.php y para el cliente PowerShell, los datos se publican en http(s):///posh_file.php.
SMB - El servidor EgressAssess (usando SimpleSMBserver de Impacket) crea un recurso compartido SMB /TRANSFER. El sistema cliente se conecta al recurso compartido sin autenticación y transfiere el archivo. Es como conectarse a un recurso compartido de red y copiar un archivo. Existe la opción de agregar un nombre de usuario y contraseña para autenticación si se desea. Como se indicó anteriormente, determine desde qué sistema está realizando la salida y sus políticas de seguridad para ver si puede usar el antiguo SMBv1 vulnerable o necesita habilitar SMBv2.
DNS_TXT - Los datos y archivos se dividen en bytes y luego se convierten a base64 y se fragmentan en consultas DNS TXT separadas que se realizan a una dirección IP o nombre de dominio. El cliente intenta conectarse directamente al servidor EgressAssess y realiza la consulta DNS TXT. El servidor luego filtra los datos de los paquetes y los decodifica. En el cliente PowerShell hay una opción para consultas apiladas (Stacked). Esto hará hasta 7 consultas TXT en cada solicitud DNS en el servidor, lo que aumenta la velocidad a la que se exfiltran los datos.
DNS_Resolved - Los datos y archivos se dividen en bytes y luego se convierten a base64. Luego, los datos se fragmentan y se utilizan como parte de una solicitud DNS para resolver un subdominio. <encoded_data>.domain.com. Para que esto funcione, se debe configurar un registro NS para el dominio del servidor EgressAssess. Todas las solicitudes DNS se realizan al servidor de nombres configurado del sistema y finalmente llegan al servidor EgressAssess que se configuró previamente. El servidor EgressAssess toma la sección de datos de cada solicitud y vuelve a ensamblar el archivo.
