Remote Operations BOF

Este repositorio sirve como una adición a nuestro repositorio SA publicado anteriormente. Nuestra postura original era que no publicaríamos nuestras herramientas que modificaran otros sistemas, y solo proporcionaríamos herramientas de recopilación de información en un formato listo para usar.

Con el tiempo hemos visto a muchas otras empresas de seguridad públicas publicar sus herramientas ofensivas, y ahora consideramos apropiado publicar una parte de nuestras herramientas ofensivas.

Nada en este repositorio es particularmente especial, son operaciones básicas de Microsoft Windows en forma de BOF. Estas primitivas pueden usarse para una gran variedad de operaciones.

Injection BOF

Hemos decidido incluir los BOF de inyección que usamos al realizar pruebas de detección de EDR. Estos BOF se proporcionan tal cual y no tendrán soporte (todo lo que está bajo src/Injection e Injection/*)

Eres libre de usarlos, pero los issues abiertos relacionados con estos se cerrarán sin revisión.

Comandos de Remote Operations disponibles

command	notes
adcs_request	Solicitar un certificado de inscripción
chromeKey	Descifra la clave de Chrome proporcionada codificada en base64
enableuser	Habilita y desbloquea la cuenta de usuario especificada
lastpass	Busca en la memoria de chrome, brave contraseñas y datos de lastpass
office_tokens	Recopila tokens JWT de Office de cualquier proceso de office.
procdump	Volca el proceso especificado al archivo de salida especificado
ProcessDestroy	Cierra handle(s) en un proceso
ProcessListHandles	Lista todos los handles abiertos en un proceso especificado
reg_delete	elimina una clave de registro
reg_save	Guarda un hive de registro en disco
reg_set	establece / crea una clave de registro
sc_config	configura un servicio existente
sc_create	crea un nuevo servicio
sc_delete	elimina un servicio existente
sc_description	Modifica la descripción de un servicio existente
sc_start	inicia un servicio existente
sc_stop	detiene un servicio existente
schtaskscreate	Crea una nueva tarea programada (mediante definición xml)
schtasksdelete	Elimina una tarea programada existente
schtasksstop	detiene una tarea programada en ejecución
setuserpass	Establece la contraseña de un usuario
shspawnas	Un intento equivocado de inyectar código en un proceso recién generado

Sí, falta schtasksrun, sí, eso es intencional, pero si alguien envía un pull para ello lo aceptaré por este lado.

Contribuir

Este repositorio está destinado a primitivas de Windows de una sola tarea. Es decir, incluso si requiere múltiples llamadas, crear una tarea programada es apropiado.

Un comando que intentara pregenerar un implante y realizar movimiento automatizado usando los BOF del repositorio sería genial, pero no es apropiado para enviarlo directamente a este repositorio.

Expectativas de código

• Tu código debe compilar sin errores al usar el makefile predeterminado
• cualquier nuevo define de BOF para resolver funciones se colocará en src/common/bofdefs.h
• El código compilará en conjunto usando el Makefile predeterminado (único archivo entry.c)
• El código será igualmente compatible con la cadena de herramientas existente (mingw)
• El código se escribirá en C. Esto es para estandarizar y por mi confianza personal al validar el código.

Qué esperar como colaborador

Después de recibir tu contribución, recibirá una revisión de código exhaustiva y pruebas.
Una vez completadas las pruebas, tendremos cero o más rondas de solicitudes de cambios basadas en los hallazgos hasta que no haya problemas en el código. En ese momento se aceptará en el repositorio, y tu nombre de usuario de github se añadirá a nuestra lista de créditos (si prefieres no ser añadido o que se use otro handle, solo avísame)