Con il CLSID, l'applicazione DCOM ad esso associata può essere attivata. Il CLSID 'Shortcut' viene utilizzato per contare il numero di MemberTypes ad esso associati; questo viene fatto per verificare il numero predefinito di MemberTypes. Questo numero viene utilizzato per verificare i CLSID's che contengono un numero diverso. Lo script fa questo utilizzando il CLSID di 'Shortcut' (HKEY_CLASSES_ROOT\CLSID\{00021401-0000-0000-C000-000000000046}) perché è un CLSID condiviso tra i sistemi operativi Microsoft Windows. I CLSID's con un numero diverso di MemberTypes potrebbero contenere un Method o Property che può essere (ab)usato e verranno aggiunti a un array.

I CLSID's nell'array vengono controllati per stringhe nei MemberTypes che potrebbero indicare un modo per (ab)usarne; questa lista di stringhe si trova nel file VulnerableSubset. Si noti che questa lista non è affatto completa per trovare ogni singola applicazione DCOM vulnerabile, ma essendo una parte dinamica del processo, dovrebbe dare all'utente dello script un modo per cercare stringhe specifiche che potrebbero indicare una funzionalità di un'applicazione DCOM utile per i loro scopi.

I risultati dello script vengono emessi in un report HTML e dovrebbero essere utilizzabili per auditare un sistema come misura preventiva. Per il lato offensivo ho creato un modulo Empire che, al momento della scrittura, è in attesa di approvazione per essere aggiunto al ramo master. Se desideri aggiungerlo tu stesso a Empire, puoi farlo aggiungendo il modulo situato qui.

Per una spiegazione tecnica completa dell'idea, dello script e dei possibili metodi di rilevamento, puoi leggere il documento di ricerca associato.

Prerequisiti

• Per far funzionare questo script, i servizi di Windows Remote Management devono essere consentiti nel Windows Firewall (5985);
• Se il profilo di rete del sistema target è impostato su Public, è necessario eseguire il seguente comando per consentire l'uso dei servizi Windows Remote Management sul sistema target: Enable-PSRemoting -SkipNetworkProfilecheck -Force
• Questo script funziona solo quando si hanno le credenziali di un amministratore locale sul sistema target. Senza queste credenziali non sarà possibile avviare una sessione remota con la macchina target, né attivare applicazioni DCOM.

Esempio di utilizzo

Quando si è in un dominio Microsoft Windows:

Quando non si è in un dominio Microsoft Windows:

Limitazioni

• Attualmente lo script cerca di rilasciare tutte le applicazioni DCOM istanziate/attivate, ma alcune attivazioni avviano nuovi processi (come Internet Explorer); il processo potrebbe essere fermato, ma ciò significherebbe che se un utente sul sistema target sta usando quella particolare applicazione, il processo si fermerà anche per lui.
• Un'altra cosa, che probabilmente è dovuta alle mie scarse capacità di programmazione, è che lo script potrebbe introdurre un carico considerevole sul sistema target se quest'ultimo non ha molte risorse. Siate prudenti quando lo usate in un ambiente di produzione o su server.
• Lo script potrebbe richiedere del tempo per essere eseguito completamente; questo dipende dal numero di applicazioni DCOM e dalla dimensione del file del sottoinsieme vulnerabile.

Ringraziamenti

Questo script è stato ispirato da un workshop sul movimento laterale DCOM tenuto da Eva Tanaskoska; senza questo workshop, l'intera idea di provare a enumerare tutto questo in modo automatizzato non sarebbe mai stata concepita.

Grazie alla ricerca di Matt Nelson (alias @enigma0x3) sono stato in grado di trovare abbastanza informazioni per sviluppare una forma di automazione.

L'articolo di Philip Tsukerman, che riassume la maggior parte delle tecniche DCOM disponibili per il movimento laterale e spiega come funzionano.