Avvio del laboratorio DanderSpritz

DanderSpritz utilizza Packer, Vagrant e il plug-in Vagrant-reload per installare e configurare il laboratorio da zero. Packer scaricherà le ISO di Windows direttamente da Microsoft e installerà versioni di prova del software per l'uso durante la ricerca.

1. Clona questo repository sulla tua macchina git clone [email protected]:francisck/DanderSpritz_lab.git
2. Assicurati di avere installato il plug-in Vagrant-reload vagrant plugin install vagrant-reload
3. Per scaricare le ISO ed eseguire la creazione delle scatole Vagrant, esegui il comando seguente: packer build danderspritz_lab.json
4. Una volta create le scatole Vagrant, avvia le VM e lascia che continuino con alcune configurazioni aggiuntive: vagrant up

Creare un progetto FuzzBunch

1. Avvia il prompt dei comandi di Windows (cmd) ed esegui quanto segue: D:\ python fb.py
2. Imposta un indirizzo target predefinito a 192.168.40.3
3. Imposta un indirizzo callback predefinito a 192.168.40.4
4. Non utilizzare il reindirizzamento (all'inizio)
5. Lascia la directory dei log predefinita
6. Crea un nuovo progetto (opzione 0)
7. Assegna un nome al tuo nuovo progetto
8. Lascia la directory dei log predefinita

Sfruttare la macchina target

1. Esegui il comando seguente per sfruttare la macchina usando EternalBlue use eternalblue
2. Scegli tutte le opzioni predefinite tranne il meccanismo di distribuzione. Usa "FB" (deploy tradizionale) come meccanismo di distribuzione
3. Una che eternalblue ha successo, configura danderspritz e peddlecheap

Configurare e avviare DanderSpritz

1. Avvia un altro prompt dei comandi di Windows (cmd) ed esegui quanto segue: D:\ python configure_lp
2. Consenti a Java attraverso il firewall
3. Seleziona sfoglia accanto a "Directory dei log" e scegli il nome del progetto FuzzBunch che hai creato
4. Fai clic su "vai"

Preparazione PeddleCheap (configurare l'impianto)

1. Nella console di DanderSpritz, esegui il comando seguente: pc_prep
2. Seleziona il payload standard x64-winnt level 3 sharedlib 5
3. Non selezionare le impostazioni avanzate
4. Scegli di eseguire un callback immediato
5. Usa l'ID PC predefinito (0)
6. Seleziona "Sì" a "Vuoi ascoltare?"
7. Non modificare le porte di ascolto
8. Lascia l'indirizzo "callback" predefinito (127.0.0.1)
9. Non cambiare il nome dell'exe
10. Usa la chiave predefinita (opzione 2)
11. Verifica che la configurazione di PeddleCheap sia valida
12. Non configurare con FC (felonycrowbar)
13. Copia la posizione del binario configurato:

Distribuire l'impianto (peddlecheap) tramite backdoor DoublePulsar:

1. Nella finestra originale di Fuzzbunch digita: use doublepulsar
2. Scegli "sì" quando ti viene chiesto se vuoi essere interrogato per le impostazioni delle variabili
3. Seleziona tutte le impostazioni predefinite delle variabili tranne l'architettura di destinazione (scegli l'opzione 1) 1) x64 x64 64-bits
4. Seleziona la funzione "RunDLL" (opzione 2) 2) RunDLL Use an APC to inject a DLL into a user mode process.
5. Lascia tutte le altre opzioni predefinite e seleziona "Sì" quando ti viene chiesto se vuoi eseguire il plugin
6. Dovresti vedere "Doublepulsar riuscito"

Connettersi all'impianto PeddleCheap con DanderSpritz

1. In DanderSpritz seleziona "PeddleCheap" nella parte superiore dello schermo
2. Seleziona la chiave "default" dal menu a discesa delle chiavi
3. Inserisci l'indirizzo della macchina target (192.168.40.3)
4. Seleziona "Connetti al target"
5. Seleziona il nome del tuo progetto Fuzzbunch
6. Attendi il completamento del Sondaggio DanderSpritz (ci vorrà un bel po') e dovrai rispondere ad alcune domande lungo il percorso
7. Guadagna!

Usalo per il bene, non per il male!

Lo scopo di questo progetto è consentire ai ricercatori di sicurezza di costruire e configurare facilmente un laboratorio DanderSpritz completamente funzionante per il reverse engineering e i test.

• Non eseguire questo contro alcun target al di fuori di questo laboratorio.
• Non utilizzarlo per "impegni red team"
• Contribuisci con le tue ricerche alla comunità
• Contatta me per qualsiasi domanda tu possa avere :)

Utilizzo quotidiano

Una volta eseguito packer una volta, non sarà necessario eseguirlo di nuovo. Le scatole Vagrant saranno disponibili per ricostruire, smantellare, riavviare il laboratorio.

Di seguito sono riportati alcuni comandi utili che potresti utilizzare mentre lavori con il laboratorio:

Utilizzo base di Vagrant

• Avvia tutti gli host del laboratorio DanderSprotz: vagrant up
• Avvia un host specifico: vagrant up <hostname>
• Riavvia un host specifico: vagrant reload <hostname>
• Riavvia un host specifico e ri-esegui il processo di provisioning: vagrant reload <hostname> --provision
• Distrugge un host specifico vagrant destroy <hostname>
• Distrugge l'intero ambiente del laboratorio Danderspritz: vagrant destroy
• Crea uno snapshot di una macchina: vagrant snapshot save <hostname> <snapshot_name>
• Ripristina uno snapshot di una macchina: vagrant snapshot restore <hostname> <snapshot_name>
• Controlla lo stato di ciascun host: vagrant status
• Sospendi l'ambiente del laboratorio: vagrant suspend
• Riprendi l'ambiente del laboratorio: vagrant resume

Riarmare gli host Windows scaduti

Se riscontri un problema in cui la licenza di prova è scaduta, puoi riarmare gli host fino a 3 volte (per 90 giorni di bontà della licenza Windows) eseguendo questo comando su un prompt dei comandi amministrativo

Dovrai riavviare la macchina.

Informazioni sul laboratorio

Diagramma del laboratorio

Informazioni aggiuntive sul laboratorio

• Nome dominio: windomain.local
• Login amministratore (tutte le macchine): vagrant:vagrant
• DC (Controller di dominio): 192.168.40.2/24
• Target: 192.168.40.3/24
• DanderSpritz: 192.168.40.4/24

Host del laboratorio

• DC - Controller di dominio Windows 2008 R2
  • Controller di dominio Windows per Windomain.local
  • Configurazione GPO del server WEF
  • GPO di registrazione PowerShell
  • GPO dei criteri di controllo avanzato di Windows
• Target - Workstation Windows 7
  • Simula la workstation/macchina target
  • Unita al dominio AD Windows Windomain.local
  • Alcuni strumenti di reverse engineering/visibilità preinstallati
  • Chocolatey (con FireEye Flare REPO) disponibile per ulteriori installazioni di strumenti
• DanderSpritz Box - Windows 10
  • DanderSpritz e Fuzzbunch preinstallati

Strumenti installati sul target (Windows 7 SP1)

• Sysmon
• Strumenti Sysinternals (Procmon, TCPview, ecc.)
• API Monitor
• InfoPe
• HxD
• PEView
• Windbg
• WireShark
• Binary Ninja
• HashCalc
• IDA 7 Free
• Ollydbg
• GPO di controllo avanzato
• GPO di registrazione PowerShell
• Eventi di Windows inoltrati al controller di dominio (WEC)

Crediti/Risorse

Una percentuale considerevole di questo codice è stata presa in prestito e adattata dal progetto DetectionLab di Chris Long insieme ai repository Github packer-windows e adfs2 di Stefan Scherer. Un enorme ringraziamento a tutti coloro che hanno contribuito con il loro codice a rendere progetti come questo più facili (o addirittura possibili).

Riconoscimenti

• Presentazione di Detection Lab
• Inoltro eventi Windows per la difesa di rete
• palantir/windows-event-forwarding
• Monitorare ciò che conta — Inoltro eventi Windows per tutti
• Usare l'inoltro eventi Windows per aiutare nel rilevamento delle intrusioni
• La guida alla sopravvivenza dell'inoltro eventi Windows
• SwiftOnSecurity - Sysmon Config