mr-un1k0d3r/redteamscripts攻撃的レッドチームスクリプト集。プロセス終了、フィッシング用SPFバイパス、パスワードスプレー攻撃、ColdFusionパスワード復号化を含む。
さまざまなレッドチーム用スクリプトをまとめたリポジトリです。
レッドチーム活動中にさまざまな作業を行っていて、手動で閉じたくないプロセスが複数実行されている場合、kill.exe が役立ちます。C:\Windows\ にコピーして、終了したいプロセス名を指定して呼び出すだけです。
>kill mspaint
killing mspaint 16524
killing mspaint 5284
killing mspaint 8568
killing mspaint 32244
killing mspaint 18908
killing mspaint 12600
killing mspaint 37444
killing mspaint 20492
killing mspaint 36092
killing mspaint 3908
killing mspaint 30980
killing mspaint 37252
killing mspaint 27576
sendgrid を使用してメールを送信するクライアントは、sendgrid が代理でメールを送信できるように、SPF レコードに 167.89.0.0/17 を追加する必要があります。これにより、SPF をバイパスするために悪用できる設計上の欠陥が生じます。
方法:
なぜ機能するのか? sendgrid のサブネットはターゲットの SPF の一部であるため、sendgrid はターゲットの代理でメールを送信することを信頼されています。あなたのアカウントは sendgrid のサーバーを使用しているため、あなたもホワイトリストの一部になります :)
つまり、レッドチームの観点から、ターゲットのメールドメインを名乗ってメールを送信したり、ターゲットの代理として別の組織にメールを送信したりできます。
これは、ターゲットのドメインを偽装できるため、フィッシングキャンペーンに信頼性を加える優れた方法です。
ターゲットの DNS TXT レコードを確認し、サブネット 167.89.0.0/17 を探すだけです。存在すれば準備完了です。
Usage: sendgrid-spf-bypass.py apikey source destination subject emailfile
python sendgrid-spf-bypass.py apikey [email protected] [email protected] "Legitimate email" my-email.txt
emailfile パラメータは、メールの内容を含むテキストファイルのパスを指定します。現時点ではテキストメッセージのみに対応していますが、今後改善する予定です。
以下の依存関係をインストールします
pip install requests_ntlm
pip install requests
$ python password-spray.py
PasswordSpraying v1.0
Usage: %s [user list] [domain] [url] [password]
$ python password-spray.py users.txt RINGZER0 https://lyncweb.ringzer0team.com/abs/ Summer2018
ユーザー資格情報の検証にはさまざまなエンドポイントを使用できることに注意してください。Lync とオンプレミス OWA のサブドメインは異なる場合があります。autodiscover 機能を使用して、ターゲットの正しい URL を取得してください:
Lync とオンプレミス OWA で使用できる URL は他にもいくつかあります。
まだ過去に生きている人もいます。2018 年になっても、ColdFusion MX 6 が公開されているのを今だに見かけます。このスクリプトは、ColdFusion に影響を与えた有名なパストラバーサルを通じて抽出できるパスワードの平文を取得するのに役立つかもしれません。
$ java -jar CFMX6Decryptor.jar
ColdFusion MX6 Password decryptor.
Author Mr.Un1k0d3r & Psychan RingZer0 Team 2014
Usage: DecryptCFPassword [uuencoded password]
Mr.Un1k0d3r RingZer0 Team