永続性生存性評価

このプロジェクトは、Duquスタイルの永続性をTTPとして使用しており、Bsides Augusta – RATで発表されました。このプロジェクトはPowerShellベースであり、資格情報ありとなしの両方で使用できます。詳細については、.ps1ファイルをお読みください。

基本的な使用方法：

Invoke-FindPersitence 
Invoke-FindPersitence -MaxHosts 100 -Top 5
Invoke-FindPersitence -Domain tester.org -OperatingSystem *7*
Invoke-FindPersitence -Domain tester.org -OperatingSystem *2008* -Top 3 -Jit 2 -Delay 5 -ADSPath "LDAP://OU=iis=servers=,DC=testlab,DC=Local" -Threads 10

デモ / スライド：

動作の仕組み：

alt tag alt tag alt tag

構築パス

現在の値ベースのサポートされているリモートクエリ：

現在のブール値ベースのサポートされているリモートクエリ：

クエリ	影響	実装済み
WmiPortableOS	インプラントの場所	はい
WmiVMChecks	データの真実性	はい
WmiLogging	ログへのアラート

サンプル出力：


PS C:\Users\Administrator\Desktop>  Invoke-FindPersitence 
[*] Top Server locations based on Persistence Survivability rating: 
[*] Top Desktop locations based on Persistence Survivability rating: 
[*] Top VM locations based on Persistence Survivability rating: 


NetBIOSName              : ALEX32-PC.tester.org
IpAddress                : 172.16.168.136
LastBoot                 : 20160509061014.500000-420
InstallDate              : 20150707115729.000000-420
OSArch                   : 64-bit
ServerType               : 1
SystemEnclosure          : 1
RamSize                  : 2
DiskSize                 : 38.6479606628418
ProcessorSpeed           : 2999
ProcessorLogicalCores    : 1
ProcessorCores           : 1
ProcessCount             : 38
PortableOS               : 
VMware                   : True
LastBootV                : 0.3
InstallDateV             : 0.4
OSArchV                  : 0.3
ServerTypeV              : 0.33
SystemEnclosureV         : 0.1
DiskSizeV                : 0.3
RamSizeV                 : 0.5
ProcessorSpeedV          : 1
ProcessorLogicalCoreV    : 0.3
ProcessCountV            : 1
LastBootWV               : 0.12
InstallDateWV            : 0.02
OSArchWV                 : 0.015
ServerTypeWV             : 0.033
SystemEnclosureWV        : 0.01
DiskSizeWV               : 0.015
RamSizeWV                : 0.1
ProcessorSpeedWV         : 0.05
ProcessorLogicalCoreWV   : 0.015
ProcessCountWV           : 0.05
PersistenceSurvivability : 0.378

NetBIOSName              : ALEX2-PC.tester.org
IpAddress                : 172.16.168.160
LastBoot                 : 20160508162848.500000-420
InstallDate              : 20150707115729.000000-420
OSArch                   : 64-bit
ServerType               : 1
SystemEnclosure          : 1
RamSize                  : 2
DiskSize                 : 48.5253257751465
ProcessorSpeed           : 2999
ProcessorLogicalCores    : 1
ProcessorCores           : 1
ProcessCount             : 32
PortableOS               : 
VMware                   : True
LastBootV                : 0.3
InstallDateV             : 0.4
OSArchV                  : 0.3
ServerTypeV              : 0.33
SystemEnclosureV         : 0.1
DiskSizeV                : 0.3
RamSizeV                 : 0.5
ProcessorSpeedV          : 1
ProcessorLogicalCoreV    : 0.3
ProcessCountV            : 1
LastBootWV               : 0.12
InstallDateWV            : 0.02
OSArchWV                 : 0.015
ServerTypeWV             : 0.033
SystemEnclosureWV        : 0.01
DiskSizeWV               : 0.015
RamSizeWV                : 0.1
ProcessorSpeedWV         : 0.05
ProcessorLogicalCoreWV   : 0.015
ProcessCountWV           : 0.05
PersistenceSurvivability : 0.378

NetBIOSName              : WIN-2PNK85BO0TD.tester.org
IpAddress                : {fe80::9a7:551a:2614:ae6c%12, 172.16.168.223}
LastBoot                 : 20160227200724.489034-480
InstallDate              : 20150707115648.000000-420
OSArch                   : 64-bit
ServerType               : 2
SystemEnclosure          : 1
RamSize                  : 2
DiskSize                 : 43.868766784668
ProcessorSpeed           : 2999
ProcessorLogicalCores    : 1
ProcessorCores           : 1
ProcessCount             : 73
PortableOS               : False
VMware                   : True
LastBootV                : 0.85
InstallDateV             : 0.4
OSArchV                  : 0.3
ServerTypeV              : 0.66
SystemEnclosureV         : 0.1
DiskSizeV                : 0.3
RamSizeV                 : 0.5
ProcessorSpeedV          : 1
ProcessorLogicalCoreV    : 0.3
ProcessCountV            : 1
LastBootWV               : 0.34
InstallDateWV            : 0.02
OSArchWV                 : 0.015
ServerTypeWV             : 0.066
SystemEnclosureWV        : 0.01
DiskSizeWV               : 0.015
RamSizeWV                : 0.1
ProcessorSpeedWV         : 0.05
ProcessorLogicalCoreWV   : 0.015
ProcessCountWV           : 0.05
PersistenceSurvivability : 0.631

[*] Overall Persistence Survivability stats: 
    Total number of hosts:  3
    Total VMware hosts:  3
    Total Desktop hosts:  0
    Total Server hosts:  0
    Survivability mean:  46 %

ライセンス

ファイル: Persistence-Survivability 著者: Alexander Rymdeko-Harvey (@Killswitch-GUI) ライセンス: BSD 3-Clause

ソースコードおよびバイナリ形式での再配布および使用は、修正の有無にかかわらず、以下の条件を満たす場合に許可されます。

ソースコードの再配布は、上記の著作権表示、この条件の一覧、および以下の免責事項を保持する必要があります。
バイナリ形式での再配布は、上記の著作権表示、この条件の一覧、および以下の免責事項を、配布物とともに提供されるドキュメントおよび/またはその他の資料に再現する必要があります。
本ソフトウェアから派生した製品の宣伝や販促において、著作権所有者またはその貢献者の名前を、事前の書面による許可なしに使用してはなりません。

本ソフトウェアは、著作権所有者および貢献者によって「現状のまま」提供され、明示的か黙示的かを問わず、商品性および特定目的への適合性に関する黙示の保証を含む（ただしこれに限定されない）一切の保証は否認されます。著作権所有者または貢献者は、いかなる場合においても、直接的、間接的、偶発的、特別、懲罰的、または結果的な損害（代替品またはサービスの調達、使用、データ、または利益の損失、または業務の中断を含むがこれに限定されない）について、その原因が契約、厳格責任、または不法行為（過失を含む）のいずれに基づくかを問わず、本ソフトウェアの使用から生じたいかなる損害に対しても責任を負わないものとします。

WmiBootTime	40%	はい
WmiInstallDate	5%	はい
WmiOS	5%	はい
WmiServer	10%	はい
WmiRamSize	5%	はい
WmiArch	5%	はい
WmiDisk	5%	はい
WmiLProcessorCount	5%	はい
WmiProcessorCores	5%	はい
WmiProcessorSpeed	5%	はい
WmiProcessCount	5%	はい
WmiSystemEnclosure	10%	はい
WmiLoggedOnUsers	centered	いいえ
WmiCollectorService	centered	いいえ
WmiNICData	centered	いいえ
WmiAVQuery	centered	いいえ
WmiPowerSettings	centered	いいえ
WmiOSuite	centered	いいえ
WmiPointerDevice	centered	いいえ

Persistence-Survivability

人気