mr-un1k0d3r/redteamscriptsCollection de scripts offensifs pour red team, incluant la terminaison de processus, le contournement de SPF pour le phishing, le bourrage d'identifiants (password spraying) et le déchiffrement de mots de passe ColdFusion.
Dépôt contenant divers scripts Red Team.
Vous effectuez toutes sortes d'activités lors d'un red team et vous avez plusieurs processus en cours d'exécution que vous ne souhaitez pas fermer manuellement. kill.exe est fait pour vous. Copiez-le dans C:\Windows\
et appelez-le simplement avec le nom du processus que vous souhaitez tuer.
>kill mspaint
killing mspaint 16524
killing mspaint 5284
killing mspaint 8568
killing mspaint 32244
killing mspaint 18908
killing mspaint 12600
killing mspaint 37444
killing mspaint 20492
killing mspaint 36092
killing mspaint 3908
killing mspaint 30980
killing mspaint 37252
killing mspaint 27576
Les clients qui utilisent sendgrid pour envoyer des e-mails doivent ajouter 167.89.0.0/17 à leur enregistrement SPF afin de permettre à sendgrid d'envoyer des e-mails en leur nom. Cela introduit une faille de conception qui peut être exploitée pour contourner SPF.
Comment faire :
Pourquoi cela fonctionne-t-il ? Le sous-réseau de sendgrid fait partie du SPF de votre cible, ce qui signifie que sendgrid est considéré comme fiable pour envoyer des e-mails en leur nom. Puisque votre compte utilise les serveurs de sendgrid, vous faites également partie de la liste blanche :)
Cela signifie que d'un point de vue Red Team, vous pouvez envoyer des e-mails à votre cible en prétendant provenir de leur propre domaine de messagerie, ou envoyer des e-mails en leur nom à une autre organisation.
C'est un excellent moyen d'ajouter de la crédibilité à votre campagne de phishing puisque vous pouvez usurper leur domaine.
Il suffit de consulter leur enregistrement DNS TXT et de rechercher le sous-réseau suivant 167.89.0.0/17. S'il est présent, vous êtes prêt.
Usage: sendgrid-spf-bypass.py apikey source destination subject emailfile
python sendgrid-spf-bypass.py apikey [email protected] [email protected] "Legitimate email" my-email.txt
Le paramètre emailfile doit être le chemin vers un fichier texte contenant votre e-mail. Pour l'instant, l'outil ne prend en charge que les messages texte, je l'améliorerai à l'avenir.
Installez les dépendances suivantes
pip install requests_ntlm
pip install requests
$ python password-spray.py
PasswordSpraying v1.0
Usage: %s [user list] [domain] [url] [password]
$ python password-spray.py users.txt RINGZER0 https://lyncweb.ringzer0team.com/abs/ Summer2018
Notez que différents points de terminaison peuvent être utilisés pour valider les identifiants utilisateur. Le sous-domaine pour Lync et OWA sur site peut être différent. Utilisez la fonctionnalité autodiscover pour récupérer la bonne URL pour votre cible :
Il existe plusieurs autres URL qui peuvent être utilisées pour Lync et OWA sur site.
Certaines personnes vivent encore dans le passé. En 2018, on trouve encore ColdFusion MX 6 exposé publiquement. Ce script peut aider quelqu'un à récupérer la version en texte clair du mot de passe qui peut être extrait via la fameuse traversée de chemin qui affectait ColdFusion.
$ java -jar CFMX6Decryptor.jar
ColdFusion MX6 Password decryptor.
Author Mr.Un1k0d3r & Psychan RingZer0 Team 2014
Usage: DecryptCFPassword [uuencoded password]
Mr.Un1k0d3r RingZer0 Team