safebreach-labs/edraserリモートで対象マシンのアクセスログ、Windowsイベントログ、データベース、ファイルを削除する。自動スキャンまたは手動攻撃選択を使用して、ポストエクスプロイトのクリーンアップを行う。
EDRaserは、リモートマシン上のアクセスログ、Windowsイベントログ、データベース、その他のファイルをリモートで削除するための強力なツールです。 自動モードと手動モードの2つの動作モードを提供します。
自動モードでは、EDRaserは指定されたIPアドレス空間のCクラスをスキャンして脆弱なシステムを特定し、自動的に攻撃します。 自動モードでの攻撃は以下の通りです：
自動モードでEDRaserを使用するには、以下の手順に従ってください：
python edraser.py --auto
手動モードでは、対象システムに対して特定の攻撃を選択して実行でき、より細かい制御が可能です。 VMX削除などの一部の攻撃はローカルマシンのみであることに注意してください。
手動モードでEDRaserを使用するには、次の構文を使用できます：
python edraser.py --ip <ip_addr> --attack <attack_name> [--sigfile <signature file>]
引数：
--ip: 指定された範囲のIPアドレスをスキャンし、脆弱なシステムを攻撃します（デフォルト：localhost）。--sigfile: 指定された暗号化署名DBを使用します（デフォルト：signatures.db）。--attack: 実行する攻撃。以下の攻撃が利用可能です：['vmx', 'vmdk', 'windows_security_event_log_remote', 'windows_application_event_log_local', 'syslog', 'access_logs', 'remote_db', 'local_db', 'remote_db_webserver']オプション引数：
port: リモートマシンのポートdb_username: リモートDBのユーザー名db_password: リモートDBのパスワードdb_type: DBのタイプ。EDRaserはmysql、sqliteをサポートします。（# sqliteの場合、ユーザー名/パスワードは不要です）db_name: 接続するリモートDBの名前table_name: 接続するリモートテーブルの名前rpc_tools: VMware rpc_toolsへのパス例：
python edraser.py --attack windows_event_log --ip 192.168.1.133
python EDRaser.py -attack remote_db -db_type mysql -db_username test_user -db_password test_password -ip 192.168.1.10
リモートDBにデータを挿入・表示するためのWebインターフェースを立ち上げることができます。 以下のコマンドで実行できます：
EDRaser.py -attack remote_db_webserver -db_type mysql -db_username test_user -db_password test_password -ip 192.168.1.10
これにより、localhost:8080アドレス上にWebサーバーが立ち上がり、指定されたリモートDBへのデータの表示や挿入が可能になります。 この機能は、データを入力してリモートDBに保存するWebサイトという "現実世界" シナリオの例を提供するために設計されています。この機能を使用して、リモートDBに手動でデータを挿入できます。
手動モードでは、EDRaserは利用可能な攻撃のリストを表示します。各攻撃の簡単な説明は以下の通りです：