Aperçu

Il s'agit d'un assembly .NET personnalisé qui effectue un certain nombre d'activités de reconnaissance situationnelle. Plusieurs ensembles de fonctionnalités sont disponibles :

• BASE – Obtient des informations depuis le disque et le registre.
• LDAP – Permet d'effectuer des requêtes LDAP personnalisées dans l'Active Directory.
• RESOLVEHOST – Effectue des requêtes de résolution DNS.
• INDEXSEARCH – Interroge le service d'indexation Windows pour rechercher des fichiers et e-mails locaux (nom et contenu).
• PROXYCHECK – Affiche le serveur proxy qui sera utilisé pour accéder à une URL fournie.

Je n'avais aucune idée que GhostPack était en développement lorsque j'ai écrit cet outil ; nous avons fini par publier nos outils à peu près au même moment. En réalité, GhostPack est aujourd'hui bien plus riche en fonctionnalités. Je supprime la fonction PrivescCheck car SharpUp couvre toutes ses fonctionnalités et bien plus encore.

Le point essentiel est que tout est implémenté en .NET pur – donc pas de PowerShell.

Il est configuré et contrôlé par des paramètres de ligne de commande, ce qui le rend adapté à l'utilisation avec la directive execute-assembly de Beacon.

BASE

Aperçu

Cette section récupère un certain nombre d'informations sur la machine hôte. Attention, la sortie peut être TRÈS volumineuse. Elle affichera :

• Toutes les variables d'environnement (API)
• Le nom d'hôte, le groupe de travail et le numéro de version Windows de l'hôte (API)
• Les documents les plus récents de Word, Access, Excel, Publisher et PowerPoint pour toutes les versions installées (Registre)
• Les emplacements approuvés de Word, Access, Excel, Publisher et PowerPoint pour toutes les versions installées (Registre)
• Les favoris (signets) et extrait l'URL du signet. Cela peut être intéressant pour trouver facilement des sites SharePoint, Confluence, Wiki, portail RH, etc. (Disque)
• Les lecteurs mappés, y compris la lettre de lecteur, la description et l'emplacement distant (WMI)
• Les applications installées, pour tous les utilisateurs et pour l'utilisateur spécifique uniquement (Registre)
• Les sites/tenants Teams que OneDrive est configuré pour synchroniser pour tous les utilisateurs (Registre)

Paramètres

Le verbe 'base' doit être passé en ligne de commande, suivi de la vérification spécifique souhaitée. Si le mot 'all' est passé comme deuxième paramètre, toutes les vérifications seront effectuées.

Notez que si 'all' est utilisé, un 'proxycheck http://www.google.com' est automatiquement inclus. Voir la section proxycheck pour les détails.

Exemples

Effectuer toutes les vérifications de base : beacon> execute-assembly /tmp/Reconerator.exe ou beacon> execute-assembly /tmp/Reconerator.exe basic all

Effectuer uniquement l'énumération MRU : beacon> execute-assembly /tmp/Reconerator.exe basic mru

Lister uniquement les lecteurs mappés : beacon> execute-assembly /tmp/Reconerator.exe basic mappeddrives

OpSec

Relativement sûr. Il interroge le registre système ; il est peu probable que cela soit surveillé.

Limitations (et travaux futurs)

• On ne peut pas choisir ce que l'on veut – c'est tout ou rien.
• Les favoris ne parcourent pas les sous-répertoires.
• Il manque un tas de choses.

LDAP

Cette fonction permet d'effectuer une requête LDAP. La manière la plus simple de la présenter est par l'exemple.

Exemples

Ceci affichera tous les utilisateurs du domaine 'dc=stufus,dc=lan' avec W2K8DC comme contrôleur de domaine :

beacon> execute-assembly /tmp/Reconerator.exe ldap "LDAP://W2K8DC/dc=stufus,dc=lan" "objectClass=user" 0

Ceci affichera un maximum de 5 utilisateurs sur le domaine 'dc=stufus,dc=lan' avec W2K8DC comme contrôleur de domaine :

beacon> execute-assembly /tmp/Reconerator.exe ldap "LDAP://W2K8DC/dc=stufus,dc=lan" "objectClass=user" 5

Ceci affichera tous les membres du groupe des administrateurs du domaine sur le domaine 'dc=stufus,dc=lan' avec W2K8DC comme contrôleur de domaine :

beacon> execute-assembly /tmp/Reconerator.exe ldap "LDAP://W2K8DC/dc=stufus,dc=lan" "(&(objectClass=group)(cn=Domain Admins))" 0

Ceci affichera tous les membres des groupes Administrateurs du domaine ou Administrateurs d'entreprise sur le domaine 'dc=stufus,dc=lan' avec W2012DC comme contrôleur de domaine :

beacon> execute-assembly /tmp/Reconerator.exe ldap "LDAP://W2012DC/dc=stufus,dc=lan" "(&(objectClass=group)(|(cn=Enterprise Admins)(cn=Domain Admins)))" 0

OpSec

Cela générera du trafic réseau vers le contrôleur de domaine que vous spécifiez. Pour éviter tout doute, il utilise LDAP (par opposition à RPC ou similaire).

Limitations (et travaux futurs)

• C'est un peu désordonné.
• N'affiche rien qui ne soit une chaîne .NET (nécessite plus d'analyse).
• Impossible de spécifier des champs/attributs particuliers à afficher.
• Vous devez trouver vous-même le contrôleur de domaine (vous pouvez l'obtenir à partir de la variable d'environnement LOGONSERVER) et déterminer le DN vous-même. Je finirai par récupérer cela automatiquement un jour.

RESOLVEHOST

Aperçu

Cette fonction effectue une requête DNS en utilisant le serveur DNS de l'hôte.

Exemple

Résoudre www.google.com :

beacon> execute-assembly /tmp/Reconerator.exe resolvehost www.google.com

OpSec

Cela générera une requête DNS vers le contrôleur de domaine, mais il est peu probable que cela soit considéré comme une alerte en raison du volume important de requêtes DNS légitimes.

INDEXSEARCH

Aperçu

Cette fonction permet d'interagir avec Windows Search (anciennement le service d'indexation Windows), ce qui permet de rechercher rapidement des fichiers et dossiers intéressants (ainsi que leur contenu). Les e-mails sont généralement indexés, mais les dossiers réseau ne le sont pas, donc ce n'est peut-être pas parfait pour rechercher les répertoires personnels des utilisateurs s'ils sont stockés à distance. Cependant, c'est très rapide.

L'interface de Windows Search est de type SQL ; cette implémentation vous permet, en pratique, de spécifier le contenu de la clause 'WHERE'. Il est plus facile d'expliquer par l'exemple, mais vous devrez consulter MSDN pour connaître tous les critères possibles.

Exemples

Trouver tout ce qui a été indexé et qui contient le mot 'password' quelque part (c'est-à-dire recherche dans le contenu des fichiers et e-mails) :

beacon> execute-assembly /tmp/Reconerator.exe indexsearch "CONTAINS('password')"

Trouver tout ce qui a été indexé et dont le chemin ou le nom de fichier contient le mot 'stufus' :

beacon> execute-assembly /tmp/Reconerator.exe indexsearch "System.ItemPathDisplay LIKE '%stufus%'"

Trouver tout ce qui a été indexé et dont le nom de fichier contient 'stufus' OU qui contient le mot 'secret' :

beacon> execute-assembly /tmp/Reconerator.exe indexsearch "System.ItemName LIKE '%stufus%' OR CONTAINS('secret')"

OpSec

Je n'ai pas connaissance de quoi que ce soit qui considérerait cela comme suspect.

PROXYCHECK

Aperçu

Cette fonction retourne le serveur proxy qui serait utilisé pour visiter une URL donnée. Cela permet de gérer les situations où différents proxys peuvent être utilisés pour différentes URL, ou des exclusions complexes. L'URL d'intérêt est passée en paramètre.

Notez que si 'basic all' est spécifié (voir ci-dessus), il inclut automatiquement un proxycheck vers http://www.google.com, en supposant que la plupart des organisations ont un proxy sortant unique pour tout accès internet non interne.

Exemples

Afficher le serveur proxy qui sera utilisé pour visiter www.google.com :

beacon> execute-assembly /tmp/Reconerator.exe proxycheck www.google.com

Afficher le serveur proxy qui sera utilisé pour visiter https://www.mwrinfosecurity.com :

beacon> execute-assembly /tmp/Reconerator.exe proxycheck https://www.mwrinfosecurity.com

OpSec

C'est une activité locale et légitime ; je n'ai pas connaissance de quoi que ce soit qui la considérerait comme suspecte.

PRIVESCCHECK

Aperçu

Cette fonction explore un certain nombre de vecteurs d'élévation de privilèges et signale s'ils sont possibles ou non. Actuellement, ce nombre est de 1.

Comme pour le module BASE ci-dessus, privesccheck all peut être spécifié en ligne de commande pour tenter toutes les vérifications, ou une vérification spécifique peut être spécifiée si nécessaire.

Paramètres

Le verbe 'base' doit être passé en ligne de commande, suivi de la vérification spécifique souhaitée. Si le mot 'all' est passé comme deuxième paramètre, toutes les vérifications seront effectuées.

OpSec

Exemples

Essayer toutes les vérifications d'élévation de privilèges :

beacon> execute-assembly /tmp/Reconerator.exe privesccheck all

Vérifier uniquement si la clé de registre AlwaysInstallElevated est définie :

beacon> execute-assembly /tmp/Reconerator.exe privesccheck alwaysinstallelevated

Compilation

Compilez ceci dans Visual Studio 2019. Il cible actuellement .NET v4. Vous pouvez modifier cela dans les préférences de compilation si vous le souhaitez.