eksperience/knockoutlookStrumento C# per operazioni red team che estrae contatti, metadati della casella di posta e cerca email tramite l'oggetto COM di Outlook, con bypass integrato della Programmatic Access Security.
"La sensazione migliore è vincere per KO." - Nonito Donaire
KnockOutlook è un progetto C# che interagisce con l'oggetto COM di Outlook per eseguire una serie di operazioni utili in attività di red team.
__ __ __ ____ __ __ __
/ //_/____ ____ _____/ /__/ __ \__ __/ /_/ /___ ____ / /__
/ ,< / __ \/ __ \/ ___/ //_/ / / / / / / __/ / __ \/ __ \/ //_/
/ /| |/ / / / /_/ / /__/ ,< / /_/ / /_/ / /_/ / /_/ / /_/ / ,<
/_/ |_/_/ /_/\____/\___/_/\_\\____/\__,_/\__/_/\____/\____/_/\_\
Parametri:
--operation : specifica l'operazione da eseguire
--keyword : specifica una parola chiave per l'operazione 'search'
--id : specifica un EntryID per l'operazione 'save'
--bypass : bypassa le impostazioni di sicurezza per l'accesso programmatico (richiede privilegi amministrativi)
Operazioni:
check : esegue una serie di controlli per garantire la sicurezza operativa
contacts : estrae tutti i contatti di ogni account
mails : estrae i metadati della posta di ogni account
search : cerca la parola chiave fornita in ogni mailbox
save : salva una mail specificata tramite il suo EntryID
Esempi:
KnockOutlook.exe --operation check
KnockOutlook.exe --operation contacts
KnockOutlook.exe --operation mails --bypass
KnockOutlook.exe --operation search --keyword password
KnockOutlook.exe --operation save --id {EntryID} --bypass
check
Enumera i dettagli dell'installazione di Outlook per costruire la corretta chiave di registro e recuperare l'impostazione di sicurezza per l'accesso programmatico.
Se questo valore è impostato su "Avvisa quando l'antivirus è inattivo o non aggiornato", interroga WMI per eventuali prodotti antivirus installati e ne analizza lo stato corrente.
contacts
Enumera i contatti di ogni account configurato ed estrae le seguenti informazioni:
mails
Enumera le mail di ogni account configurato ed estrae i seguenti metadati:
search
Cerca all'interno della mailbox di ogni account configurato utilizzando il motore di ricerca integrato di Outlook e restituisce l'EntryID delle mail che contengono la parola chiave fornita nel corpo.
save
Utilizza il meccanismo integrato "Salva con nome" di Outlook per esportare una mail referenziata dal suo EntryID.
L'opzione --bypass può essere utilizzata insieme alle operazioni contacts, mails, search e save, a condizione che il processo corrente sia eseguito con livello di integrità elevato.
Tenta di creare un'istantanea dell'attuale criterio di sicurezza di Outlook, lo modifica in modo che il prompt di sicurezza per l'accesso programmatico venga automaticamente consentito e, infine, lo ripristina allo stato iniziale dopo il completamento dell'operazione.
Tutte le operazioni mostrano a schermo informazioni di base.
Le operazioni contacts e mails restituiscono i risultati in formato JSON all'interno di un file compresso con Gzip.
L'operazione save esporta la mail richiesta in formato .MSG.
Tutti i nomi dei file vengono generati casualmente durante l'esecuzione.
Per impostazione predefinita, la cartella temporanea sicura di Outlook viene utilizzata come destinazione per tutti i file esportati.