LSTAR - CobaltStrike 総合ポストエクスプロイトプラグイン
1つのプラグインでセッション確立からドメインコントローラ掌握までを実現し、内部ネットワークを自由に移動できます
CS の右クリックメニューを簡素化し、自身での統合を容易にすることを目的に、多数のポストエクスプロイテーションプラグインを参考にしました
ホスト関連の資格情報取得、多段階の内部ネットワークトンネリング、隠蔽スケジュールタスク、AV回避の Mimikatz、ユーザーのクローン作成・追加などの機能を再構築し、拡充しました
機能特性：
主に以下の機能モジュールを含みます：
各モジュールは実行前に緑色の区切り線を追加し、実行結果（回显）を確認しやすくして、協業効率を向上させます
CobaltStrike ホストのオンライン（セッション確立）を WeChat で通知するプラグイン：
- 無料で WeChat テンプレートメッセージプッシュに対応した方法を利用したい場合はこちら：https://github.com/lintstar/CS-PushPlus
- ServerChan を利用した企業微信（WeCom）プッシュチャンネルをお持ちの場合はこちら：https://github.com/lintstar/CS-ServerChan
本プロジェクトは、セキュリティ研究および合法的な企業セキュリティ構築活動にのみ適用されます。一切の結果および責任はすべて利用者本人が負担するものとします。
よく使うコマンドをシナリオ別に分類しました
Ladon が公開している最新の 9.1.1 バージョンを統合
アンチウイルスソフトの情報を Beacon ステータスバーにローカル表示
実装原理：https://blog.csdn.net/weixin_42282189/article/details/121090055
Ladon のマルチプロトコル生存ホスト検出（SMB、WMI、SNMP、HTTP、DNS、MAC、MSSQL）を追加
ある程度、ファイアウォールの内側にある内部ネットワーク資産を検出できます：MACを利用したファイアウォール迂回による生存ホスト検出
生存 IP 検出
whoami しか実行できないバグを修正し、パラメータ指定で System 権限のセッションを確立できるようになりました
Ladon の Badpotato を追加
注意：テストの結果、上記2つの権限昇格動作は 360 などのアンチウイルスソフトに検知・ブロックされることが確認されました
【注意して使用】Windows API を利用して、ツール化された隠しスケジュールタスクを作成します。セキュリティソフトのブロックを迂回し、持続的な制御を実現します。
プロジェクトアドレス：https://github.com/0x727/SchTask_0x727
【注意して使用】Bypass：リモートメモリロードによるクローン作成で、隠蔽されたシャドウユーザーを作成
プロジェクトアドレス：https://github.com/An0nySec/ShadowUser
PE ファイルのパス問題を修正し、API 方式で追加したユーザーを正常に削除できるようになりました
機能をシナリオ別に分類
最新版の向日葵（Sunlogin）の識別コードと検証コードを取得
最新版の向日葵では base_encry_pwd パラメータが config.ini からレジストリに変更されました
セカンドメニューを簡素化
Bypass AV：DirectoryService 名前空間を利用してユーザーを管理者グループとリモートデスクトップグループに追加
プロジェクトアドレス：https://github.com/An0nySec/UserAdd
コマンドラインでユーザー追加・ユーザークローン操作を行うセキュリティ検出ツール
プロジェクトアドレス：https://github.com/0x727/CloneX_0x727
Ladon を使用して、ホストの基本情報、ネットワーク情報、ユーザー情報、プロセス情報、ドメイン参加の有無などをワンクリックで収集します
RDP の着信接続と発信接続の記録を収集し、運用保守マシンの特定やラテラルムーブメントに役立てます
旧バージョンのブルートフォースに代わる Cube を追加。内部ネットワークの情報収集と MSSQL コマンド実行に対応。詳細な使い方は実行時の説明を参照してください
柔軟なスキャンを支援する Allin を追加。リモートでネットワークカードの IP を取得する例：
EXE をディスクに残したくない場合は、Assembly 方式で OXID の高速検出ができます
エージェントをアップロードして実行
admin 側が接続を受信すれば Socks5 トンネルを構築できます
エージェントの削除
LsassDump の実行方法を変更。LsassDump を削除する際に、ダンプされた C:\Windows\Temp\1.dmp も一緒に削除されます
LsassDump（WinAPI）機能と連携し、対象マシンでダンプされた C:\Windows\Temp\1.tmp（.net 4.5）をリモートで読み取る機能を追加
Powershell を使用して RDP の有効化・無効化・関連情報の照会を行う方法を追加
PS スクリプトは Reference 内の黑魔鬼（Black Devil）プラグインの RDP モジュールに由来します
ZeroLogon 脆弱性の BOF 実装を追加
対象マシンのアーキテクチャに応じて対応する EXE ファイルをアップロードする機能を追加
パラメータヒント出力を追加し、特定のモジュールを指定して実行しやすくなりました
Crack 内部ネットワークブルートフォースツールを追加
対象マシンのアーキテクチャに応じて対応する EXE ファイルをアップロードする機能を追加
V1.2 バージョンで、ネットワーク問題により LaZagne の実行が終了する前に プロセスが強制終了され、ディスク上のファイルも削除されるバグを修正 手動実行方式に変更しました
WindowsAPI を使用してメモリダンプを行う LsassDump を追加。x86 および x64 マシンに対応
ダンプ成功後に生成された 1.dmp は C:\Windows\Temp\ ディレクトリに保存されます
そのままローカルで読み取れます：
RDP 関連機能を追加：
WindowsAPI を使用して RDP サービスを有効化
対象が仮想マシンかどうかを検出する CheckVM を追加
以前のスクリプトは一定の確率で失敗するため：
新しいアンチウイルス検出方法に更新
以前の権限昇格モジュールの BUG を修正
EasyPersistent：https://github.com/yanghaoi/CobaltStrike_CNA
Windows システム上での権限維持に使用する Cobalt Strike CNA スクリプトを追加
反射 DLL モジュールを使用し、API 経由でシステムサービス、スケジュールタスクなどの一般的な権限維持方法を視覚的に操作できます。と て も 使 い や す い。（作者の言葉）
説明ドキュメント：https://github.com/yanghaoi/CobaltStrike_CNA/blob/main/EasyCNA/README.md
実戦テストで使い勝手が良いとされるホストパスワード検索ツール（アップロードして実行すると exe ファイルが自動的に削除されます）
Windows10 と Windows7 の違いに応じたフィッシングパスワード窃取を最適化
偽造ページの出来栄えはお世辞にも褒められないため、破れかぶれの時にのみ使用することをお勧めします：
Netview と Powerview の機能を追加
Wmic によるプロセス検索
各種の内部ネットワーク「大保健」（フルコース）を収録
カスタムコマンドでの実行
fscan はデフォルトで C:\\Windows\\Temp\\ にアップロードされます
コンソール出力
fscan と結果テキストを削除
使い勝手の良い内部ネットワークトンネリングツール。いずれも設定ファイルをディスクに残さないため、追跡されるリスクを低減します
梼杌をベースに、シルバーチケットとゴールデンチケットを追加
135 ポートベースの sharpwmi などのラテラルムーブメントツール群を含みます
九世の痕跡削除を統合 未完成
cxk 期間限定AV回避版の adduser と mimikatz
サイト攻略の日々のちょっとした楽しみ
