Kit BOF Adrenaline

Une collection agnostique de fichiers d'objets Beacon (BOFs) pour les opérations d'équipe rouge et de sécurité offensive. Les BOFs sont organisés par phase de chaîne d'attaque et conçus pour être petits, modulaires et adaptés à l'automatisation pour une utilisation dans les workflows de reconnaissance, d'énumération et de post-exploitation.

Table des matières (taxonomie MITRE)

Collecte
Communauté
Accès aux identifiants
Découverte
Exécution

Collection

BOF	Utilisation
ai_surface	Cartographie les outils IA sur les endpoints Windows développeur et met en évidence leurs artefacts de configuration pouvant exposer des définitions de serveur, commandes, arguments et identifiants intégrés.
clipboard_grab	Récupère les données textuelles du presse-papiers Windows à l'aide des API Win32 et retourne le contenu au callback. Crédits du code original : @rvrsh3ll
ide_extension_surface	Énumère les manifests d'extension de VS Code, Cursor, Windsurf, Zed, Insiders, OSS et serveur/remote à partir des racines de profil utilisateur et résume l'identité de l'extension, les événements d'activation et les signaux de capacité.
powershell_history	Collecte les artefacts d'historique PowerShell à partir des emplacements par défaut de PSReadLine et de transcriptions. Utile pour localiser des identifiants ou de l'infrastructure.
window_handles_enum	Énumère les handles de fenêtre sur tous les processus système et utilise un handle de fenêtre légitime pour accéder au presse-papiers.

Community

Credential Access

Discovery

Execution

Connectez-vous avec moi :

AVERTISSEMENT : Les créateurs et contributeurs de ce dépôt déclinent toute responsabilité en cas de perte, dommage ou conséquences résultant de l'utilisation des informations ou du code contenus dans ce dépôt. En utilisant ce dépôt, vous reconnaissez et acceptez l'entière responsabilité de vos actions. Utilisez-le à vos propres risques.

notepad_grab	Extrait et retourne le texte brut directement des fenêtres Notepad ouvertes en lisant la mémoire, permettant aux opérateurs de récupérer des notes non sauvegardées ou en mémoire. Utile pour la collecte de données depuis des endpoints actifs. Source originale : NoteThief
schtask_enum	Énumère les tâches planifiées sur les systèmes Windows via l'interface COM du Planificateur de tâches. Fournit un résumé des tâches incluant leur état, leur planification et leur configuration sans submerger le beacon de données XML. Source originale : TrustedSec CS-Situational-Awareness-BOF
net_use	Ajoute, liste ou supprime les lecteurs mappés via MPR (modernisé pour gérer la mémoire correctement, évitant les plantages). Source originale : TrustedSec CS-Situational-Awareness-BOF
session_view	Énumère les sessions des services Terminal Server Windows, affichant les ID de session, noms d'utilisateur, domaines, états de connexion et LUIDs de session. Source originale : SessionView par lsecqt

certstore_loot	Énumère les magasins de certificats locaux pour trouver des certificats avec des clés privées exportables et vous fournit le chemin pour les exporter.
cloud_metadata_check	Sonde les services de métadonnées cloud locales pour AWS, Azure et GCP depuis le processus en cours, rapportant l'identité du fournisseur, le contexte de l'instance et des extraits d'identifiants limités lorsqu'ils sont joignables.
process_tokens_list	Énumère les jetons accessibles depuis les processus en cours, affichant le contexte utilisateur, le type de jeton (principal/emprunt d'identité) et le niveau d'emprunt. Prend en charge le filtrage optionnel par PID ou nom de processus. SeDebugPrivilege est désactivé par défaut pour l'OPSEC.

amsi_etw_detect	Vérifie la présence d'AMSI et d'ETW dans le processus en cours en détectant les DLL chargées et les exports liés à ETW. Utile pour sélectionner des cibles avec moins d'activité de sécurité lorsqu'il est appliqué largement.
app_count	Compte le nombre d'applications installées via le registre, déduplique et affiche. Appliqué à un grand nombre de beacons, permet de déduire des informations sur un appareil en fonction des différences de nombre d'applications.
applocker_policy	Énumère les configurations de stratégie AppLocker, les collections de règles et les modes d'application en scannant les clés de registre pertinentes.
asr_status	Énumère les règles de réduction de la surface d'attaque (ASR) de Windows Defender depuis les emplacements de registre pour identifier les règles ASR configurées, leur état d'application (Bloquer/Auditer/Avertir/Désactivé) et la source de la stratégie (Intune/MDM vs Stratégie de groupe).
bitlocker_status	Énumère le statut de chiffrement BitLocker, les configurations de stratégie et les emplacements de sauvegarde des clés de récupération en scannant les clés de registre.
mdm_policy_artifacts	Utilise un modèle de notation pour évaluer la posture d'inscription MDM sur les systèmes Windows en évaluant des indicateurs incluant l'état de jonction, les tâches planifiées, la configuration de la stratégie et les artefacts d'inscription.
netjoin_query	Interroge les informations de jonction de domaine Windows et les détails du poste de travail, identifiant si le système est joint à un domaine ou dans un groupe de travail.
power_state	Identifie le facteur de forme de l'hôte comme Portable, Bureau, Tablette, Serveur, Intégré ou Inconnu à l'aide des données de châssis SMBIOS avec une solution de repli basée sur l'état d'alimentation.
proxy_enum	Énumère l'état de configuration du proxy Windows à travers WinINET, WinHTTP, les clés de stratégie, les variables d'environnement, les indicateurs WPAD, les paramètres Chrome et les valeurs `defaultProxy` de .NET.
tray_scout	Signale l'exécutable hôte de la barre des tâches et énumère les info-bulles des icônes de la zone de notification, avec des chemins d'image complets optionnels pour l'hôte et le processus propriétaire de chaque icône.
user_idle	Obtient le temps d'inactivité de l'utilisateur depuis la dernière entrée et l'utilisation des ressources GUI (handles GDI/USER) dans le processus en cours pour des informations temporelles.
wallpaper_enum	Énumère le chemin du fond d'écran actuel pour chaque moniteur connecté en utilisant l'interface COM moderne `IDesktopWallpaper`. Les fonds d'écran centralisés se trouvent parfois sur des partages SMB internes ou des serveurs d'imagerie, révélant des chemins réseau, des relations de confiance de domaine et l'application de stratégies sans toucher au disque ni au réseau.
wef_detect	Détecte la configuration de transfert d'événements Windows (WEF), qui indique une journalisation centralisée. Si trouvé, indique que les événements de sécurité sont transférés vers un serveur central.
window_list	Énumère les titres de toutes les fenêtres visibles sur le bureau de l'utilisateur actuel, incluant éventuellement les ID de processus (PID).
wsc_status	Interroge l'état de santé du Centre de sécurité Windows, incluant l'antivirus, le pare-feu, l'anti-spyware, le service WSC, les mises à jour automatiques, les paramètres Internet et le contrôle de compte d'utilisateur.
win_version	Ce BOF interroge le registre et les API système pour fournir un aperçu concis mais détaillé de l'installation de Windows.

com_probe	Vérifie si un objet COM peut être instancié à partir d'un CLSID donné.
firewall_rule	Ajoute, supprime ou interroge les règles du pare-feu Windows via l'API COM (`INetFwPolicy2`) sans lancer `netsh.exe` ou `cmd.exe`. Utile pour le pivotement dans les réseaux.
port_scan	Scanne un seul hôte IPv4 pour les ports TCP et/ou UDP ouverts via Winsock avec des listes de ports limitées, des délais d'attente configurables et une sortie concise des ports ouverts.
service_control	Gère les services Windows locaux via SCM : interroger (liste limitée ou service unique), créer, démarrer, arrêter, supprimer et configurer les actions en cas d'échec. Des droits élevés sont généralement nécessaires pour les modifications.
wevt_logon_enum	Énumère les événements de connexion (réussis/échoués) récents du journal de sécurité (ID d'événement 4624,4625,4672) via l'API wevtapi et affiche le nom de la station de travail distante/IP ainsi que le nom d'utilisateur cible.

Populaires

Adrenaline