Laboratorio DanderSpritz

Scopo

L'obiettivo del laboratorio DanderSpritz è consentire a ricercatori e difensori di allestire rapidamente una versione completamente funzionante di DanderSpritz - Il toolkit di post-sfruttamento del Gruppo Equation e un dominio Windows Server 2008 e un client come target. Il target Windows contiene alcuni strumenti di reverse engineering che ho trovato utili durante l'investigazione di DanderSpritz e delle sue capacità.

Leggi qualcosa sul laboratorio DanderSpritz qui: https://medium.com/@francisck/introducing-danderspritz-lab-461912313d7c

Un sito web che ho creato per documentare le capacità e gli strumenti di DanderSpritz: https://danderspritz.com

NOTA: Questo laboratorio non è stato indurito in alcun modo (è intenzionalmente vulnerabile) e viene eseguito con credenziali vagrant predefinite. Non collegarlo o collegarlo a nessuna rete a cui tieni.

Requisiti

• 20GB+ di spazio libero su disco
• 8GB+ di RAM
• 20GB di utilizzo della larghezza di banda (per scaricare ISO, aggiornamenti, service pack, ecc.)
• Packer v1.2.3 o successivo
• Vagrant v2.1.1 o successivo
• Plugin Vagrant-Reload
• Virtualbox (VMWare Fusion/Workstation in arrivo più tardi)

---

Avvio del laboratorio DanderSpritz

DanderSpritz utilizza Packer, Vagrant e il plug-in Vagrant-reload per installare e configurare il laboratorio da zero. Packer scaricherà le ISO di Windows direttamente da Microsoft e installerà versioni di prova del software per l'uso durante la ricerca.

1. Clona questo repository sulla tua macchina git clone [email protected]:francisck/DanderSpritz_lab.git
2. Assicurati di avere installato il plug-in Vagrant-reload vagrant plugin install vagrant-reload
3. Per scaricare le ISO ed eseguire la creazione delle scatole Vagrant, esegui il comando seguente: packer build danderspritz_lab.json
4. Una volta create le scatole Vagrant, avvia le VM e lascia che continuino con alcune configurazioni aggiuntive: vagrant up

Creare un progetto FuzzBunch

1. Avvia il prompt dei comandi di Windows (cmd) ed esegui quanto segue: D:\ python fb.py
2. Imposta un indirizzo target predefinito a 192.168.40.3
3. Imposta un indirizzo callback predefinito a 192.168.40.4
4. Non utilizzare il reindirizzamento (all'inizio)
5. Lascia la directory dei log predefinita
6. Crea un nuovo progetto (opzione 0)
7. Assegna un nome al tuo nuovo progetto
8. Lascia la directory dei log predefinita

Sfruttare la macchina target

1. Esegui il comando seguente per sfruttare la macchina usando EternalBlue use eternalblue
2. Scegli tutte le opzioni predefinite tranne il meccanismo di distribuzione. Usa "FB" (deploy tradizionale) come meccanismo di distribuzione
3. Una che eternalblue ha successo, configura danderspritz e peddlecheap

Configurare e avviare DanderSpritz

1. Avvia un altro prompt dei comandi di Windows (cmd) ed esegui quanto segue: D:\ python configure_lp
2. Consenti a Java attraverso il firewall
3. Seleziona sfoglia accanto a "Directory dei log" e scegli il nome del progetto FuzzBunch che hai creato
4. Fai clic su "vai"

Preparazione PeddleCheap (configurare l'impianto)

1. Nella console di DanderSpritz, esegui il comando seguente: pc_prep
2. Seleziona il payload standard x64-winnt level 3 sharedlib 5
3. Non selezionare le impostazioni avanzate
4. Scegli di eseguire un callback immediato
5. Usa l'ID PC predefinito (0)
6. Seleziona "Sì" a "Vuoi ascoltare?"
7. Non modificare le porte di ascolto
8. Lascia l'indirizzo "callback" predefinito (127.0.0.1)
9. Non cambiare il nome dell'exe
10. Usa la chiave predefinita (opzione 2)
11. Verifica che la configurazione di PeddleCheap sia valida
12. Non configurare con FC (felonycrowbar)
13. Copia la posizione del binario configurato:

Distribuire l'impianto (peddlecheap) tramite backdoor DoublePulsar:

1. Nella finestra originale di Fuzzbunch digita: use doublepulsar
2. Scegli "sì" quando ti viene chiesto se vuoi essere interrogato per le impostazioni delle variabili
3. Seleziona tutte le impostazioni predefinite delle variabili tranne l'architettura di destinazione (scegli l'opzione 1) 1) x64 x64 64-bits
4. Seleziona la funzione "RunDLL" (opzione 2) 2) RunDLL Use an APC to inject a DLL into a user mode process.
5. Lascia tutte le altre opzioni predefinite e seleziona "Sì" quando ti viene chiesto se vuoi eseguire il plugin
6. Dovresti vedere "Doublepulsar riuscito"

Connettersi all'impianto PeddleCheap con DanderSpritz

1. In DanderSpritz seleziona "PeddleCheap" nella parte superiore dello schermo
2. Seleziona la chiave "default" dal menu a discesa delle chiavi
3. Inserisci l'indirizzo della macchina target (192.168.40.3)
4. Seleziona "Connetti al target"
5. Seleziona il nome del tuo progetto Fuzzbunch
6. Attendi il completamento del Sondaggio DanderSpritz (ci vorrà un bel po') e dovrai rispondere ad alcune domande lungo il percorso
7. Guadagna!

Usalo per il bene, non per il male!

Lo scopo di questo progetto è consentire ai ricercatori di sicurezza di costruire e configurare facilmente un laboratorio DanderSpritz completamente funzionante per il reverse engineering e i test.

• Non eseguire questo contro alcun target al di fuori di questo laboratorio.
• Non utilizzarlo per "impegni red team"
• Contribuisci con le tue ricerche alla comunità
• Contatta me per qualsiasi domanda tu possa avere :)

Utilizzo quotidiano

Una volta eseguito packer una volta, non sarà necessario eseguirlo di nuovo. Le scatole Vagrant saranno disponibili per ricostruire, smantellare, riavviare il laboratorio.

Di seguito sono riportati alcuni comandi utili che potresti utilizzare mentre lavori con il laboratorio:

Utilizzo base di Vagrant

• Avvia tutti gli host del laboratorio DanderSprotz: vagrant up
• Avvia un host specifico: vagrant up <hostname>
• Riavvia un host specifico: vagrant reload <hostname>
• Riavvia un host specifico e ri-esegui il processo di provisioning: vagrant reload <hostname> --provision
• Distrugge un host specifico vagrant destroy <hostname>
• Distrugge l'intero ambiente del laboratorio Danderspritz: vagrant destroy
• Crea uno snapshot di una macchina: vagrant snapshot save <hostname> <snapshot_name>
• Ripristina uno snapshot di una macchina: vagrant snapshot restore <hostname> <snapshot_name>
• Controlla lo stato di ciascun host: vagrant status
• Sospendi l'ambiente del laboratorio: vagrant suspend
• Riprendi l'ambiente del laboratorio: vagrant resume

Riarmare gli host Windows scaduti