SCCMSecrets

SCCMSecrets.py एक SCCM नीतियों के शोषण का उपकरण है। यह NAA क्रेडेंशियल निष्कर्षण से आगे जाता है, और SCCM नीतियों के वितरण के शोषण के लिए एक व्यापक दृष्टिकोण प्रदान करने का लक्ष्य रखता है। इस उपकरण को विभिन्न विशेषाधिकार स्तरों से निष्पादित किया जा सकता है, और यह नीतियों के वितरण से संबंधित संभावित गलत कॉन्फ़िगरेशन को उजागर करने का प्रयास करेगा। उपकरण और इसके उपयोग के बारे में अधिक विवरण संबंधित लेख में उपलब्ध है: https://www.synacktiv.com/publications/sccmsecretspy-exploiting-sccm-policies-distribution-for-credentials-harvesting-initial

दो उप-कमांड उपलब्ध हैं: policies और files।

Policies

यह उप-कमांड सभी गुप्त नीतियों (NAA कॉन्फ़िगरेशन, क्रेडेंशियल युक्त कार्य अनुक्रम, या संग्रह चर सहित) की सामग्री को डंप करने के लिए एक SCCM प्रबंधन बिंदु (Management Point) के साथ इंटरैक्ट करता है। ऐसा करने के लिए, एक स्वीकृत SCCM डिवाइस की आवश्यकता होती है, जिसे तीन तरीकों से प्राप्त किया जा सकता है।

• यदि आप मशीन खाता प्रदान नहीं करते हैं, तो SCCMSecrets एक डिवाइस पंजीकृत करने और स्वचालित डिवाइस अनुमोदन का दुरुपयोग करने का प्रयास करेगा। यह एक (गैर-डिफ़ॉल्ट) SCCM कॉन्फ़िगरेशन है जो अनाम रूप से पंजीकृत नए डिवाइसों को स्वचालित रूप से "Approved" स्थिति प्रदान करता है।
• यदि आप मशीन खाता प्रदान करते हैं, तो SCCMSecrets प्रमाणित पंजीकरण एंडपॉइंट का उपयोग करके एक नया डिवाइस पंजीकृत करेगा। डिफ़ॉल्ट रूप से, SCCM इस एंडपॉइंट के माध्यम से पंजीकृत डिवाइसों को "Approved" स्थिति प्रदान करेगा।
• यदि आप --altauth फ़्लैग प्रदान करते हैं, तो SCCMSecrets एक वैकल्पिक प्रमाणीकरण एंडपॉइंट का शोषण करेगा, जो mTLS आवश्यकताओं को बायपास करने की अनुमति देता है, और बिना क्रेडेंशियल तथा बिना स्वचालित डिवाइस अनुमोदन गलत कॉन्फ़िगरेशन के एक स्वीकृत डिवाइस प्राप्त करता है (अधिक जानकारी यहाँ)। यह केवल तब काम करता है जब MP को HTTPS का उपयोग करने के लिए कॉन्फ़िगर किया गया हो, और SCCM साइट को साइट-व्यापी HTTPS लागू करने के लिए कॉन्फ़िगर किया गया हो (यदि MP HTTPS का उपयोग कर रहा है लेकिन साइट HTTP या HTTPS दोनों की अनुमति देती है, तो डिवाइस स्वचालित रूप से अनुमोदित नहीं होते हैं)।
• आप एक मौजूदा डिवाइस भी प्रदान कर सकते हैं (--use-existing-device)। यह तर्क एक निर्देशिका की अपेक्षा करता है जिसमें guid.txt फ़ाइल (डिवाइस GUID) और key.pem फ़ाइल (डिवाइस की निजी कुंजी) हो। यह पिछले SCCMSecrets निष्पादन द्वारा बनाया गया डिवाइस हो सकता है, या किसी समझौता किए गए वैध SCCM क्लाइंट के अनुरूप हो सकता है।

ध्यान दें कि SCCM नीतियां संग्रह (collections) से जुड़ी होती हैं। एक नया डिवाइस पंजीकृत करने से यह डिवाइस डिफ़ॉल्ट संग्रहों में रखा जाएगा - इस प्रकार, केवल डिफ़ॉल्ट संग्रहों की गुप्त नीतियां ही प्राप्त की जाएंगी। यही कारण है कि --use-existing-device के साथ किसी समझौता किए गए वैध SCCM क्लाइंट का प्रतिरूपण करना दिलचस्प हो सकता है। वास्तव में, यह वैध क्लाइंट अतिरिक्त गुप्त नीतियों से जुड़े कस्टम संग्रहों का हिस्सा हो सकता है।

आउटपुट को loot निर्देशिका की उप-निर्देशिका में रखा जाएगा (प्रारूप: [timestamp]_policies)।