ExchangeRelayX

バージョン1.0.0。このツールは、攻撃者がSMBまたはHTTPベースのNTLMリレー攻撃を実行し、オンプレミスのMicrosoft ExchangeサーバーのEWSエンドポイントに対して攻撃を行い、被害者のメールボックスを侵害する能力を示すPoCです。このツールは、被害者のメールボックスと連絡先にアクセスできるOWAのようなインターフェースを攻撃者に提供します。

背景

Defcon26でリリースされました。ツールの背景、悪用される中核的な問題、および録画されたデモはこちらをご覧ください: https://blog.quickbreach.io/one-click-to-owa/

インストール

pip install -r requirements.txt

使用方法

./exchangeRelayx.py -t https://mail.quickbreach.com

機能

• EWSサーバーへのRaw XMLアクセスにより、exchangeRelayxにプリプログラムされていない機能や関数にリクエストを送信可能
• 被害者のメールに転送ルールを追加してバックドア化
• ユーザーの受信トレイと送信トレイのすべての添付ファイルをダウンロード
• Active Directoryに紐づいたグローバルアドレス帳を検索
• 被害者として添付ファイル付きのメールを送信（メールはユーザーの送信済みフォルダに保存されません）

プログラム構造

アプリケーションは、owaServer、リレーサーバー、および新たにリレーされた接続ごとに作成されるHTTPAttackクライアント（exchangePlugin）に分割されます。

owaServer

owaServerは、デフォルトでhttp://127.0.0.1:8000で待ち受けるFlaskベースのWebサーバーです。このWebサーバーは、index.html、OWA.html、ComposeEmail.htmlの静的なHTMLファイルを提供し、それ以外はすべてEWS.jsからowaServerエンドポイントへのJSONリクエストから読み込まれます。owaServerにリクエストが行われると、owaServerは適切なEWS呼び出しを生成し、共有メモリ辞書に入力します。この辞書はowaServerとexchangePluginの両方で使用されます。exchangePluginがリクエストを受け取ると、Exchangeに送信し、応答を同じ共有メモリ辞書に読み込みます。最後に、owaServerが辞書から応答を取得すると、データを解析して結果を返します。ファイルダウンロード機能が標準のウェブサイトとは異なることに気づくでしょう。これはアプリの非同期性によるものです。

リレーサーバー

リレーサーバーは、標準のimpacket HTTPおよびSMBベースのNTLMリレーサーバーであり、新たにリレーされた接続ごとに新しいexchangePluginインスタンスを作成します。

exchangePlugin

exchangePluginは、要するに、EWSサーバーとの間でリクエストを送受信する実際のHTTPClientです。すべてのexchangePluginには、初期化時に同じ共有メモリ辞書が渡され、これをプロセス間通信に使用します。これにより、owaServerからのリクエストを適切なユーザーのリレーされた接続に戻すことができ、複数被害者の管理に柔軟性をもたらします。

ロードマップ

このツールは、Server 2012 R2システム上のExchange 2013に対して構築およびテストされました。そのため、他の環境では調整が必要になると思われます。今後のバージョンでの目標は次のとおりです。

0. さまざまな種類のExchangeを検出して処理する
1. EWSのExpandDLおよびFindPeople関数を組み込む
2. ユーザー自身のメール（添付ファイルだけでなく）をダウンロードする機能を追加
3. 追加された転送ルールを削除するフォームを含める（現在はUpdateInboxRules関数を使用してRaw XMLインターフェースから手動で行う必要があります）

プルリクエストは大歓迎です。