SharpCollection

일반적인 C# 공격 도구들의 nightly 빌드로, 각각의 master 브랜치에서 최신 커밋을 가져와 Azure DevOps 릴리스 파이프라인을 통해 CDI 방식으로 빌드·릴리스된 버전입니다.

좋아하는 도구가 빠져 있나요? 부담 없이 이슈를 열거나 X에서 @Flangvik 으로 DM을 보내주세요. 참고: Cobalt Strike의 execute-assembly는 "Any CPU" 구성으로 컴파일된 바이너리만 허용합니다.

OpSec

실제 고객사 업무(engagement) 중에 이 바이너리들을 무작정 배포해도 될까요? 절대 안 됩니다. 클라이언트 머신이나 네트워크에 배포하는 모든 것은 항상 검토하세요. 예: https://github.com/dnSpyEx/dnSpy 이 저장소에서 무언가를 무작정 배포하는 것은 랩 환경, VM, HackTheBox, 탐지 매핑 등으로 한정해야 합니다.

Azure DevOps?

매일 새벽 03:00에 Azure DevOps 파이프라인은 모든 저장소의 master 브랜치에 새 커밋이 있는지 확인합니다. 변경 사항이 있는 브랜치는 자동으로 가져와진 후 다양한 프레임워크 대상 및 아키텍처로 컴파일되어 이 저장소에 푸시됩니다.

파이프라인은 여기에서 확인할 수 있습니다: https://dev.azure.com/FlangvikDev/SharpRelease

사용 가능한 빌드

범례: ✔️ = 활발히 빌드됨 | ❌ = 빌드되지 않음 | ⚠️ = 파이프라인은 존재하지만 모든 단계가 비활성화됨

*로 표시된 도구에는 특별한 참고 사항이 있습니다 — 표 아래의 각주를 참조하세요.

일부 도구는 특정 프레임워크 버전을 대상으로 합니다: Certify, KrbRelay, KrbRelayUp, ShadowSpray는 v4.7.2를 대상으로 합니다. ADCollector는 v4.6.1을 대상으로 합니다.

각주

1. ADCollector — .NET Framework v4.6.1을 구체적으로 대상으로 함 (NET 4.7 열에 매핑됨)
2. AtYourService, Evasor — AnyCPU 빌드 없음, x64/x86 플랫폼만 지원
3. Certify, KrbRelay, KrbRelayUp, ShadowSpray — .NET Framework v4.7.2를 구체적으로 대상으로 함
4. CheeseTools — 파이프라인은 존재하지만 성공적인 빌드가 한 번도 없었음
5. SharpBlock — NET 4.0 및 NET 4.5만 빌드하며 NET 4.7 단계는 비활성화됨. AnyCPU 빌드 없음 (x64/x86만)
6. SharpDoor — x64 바이너리만 게시함 (PowerShell 스크립트를 통해 컴파일됨)
7. Scout — 원본 저장소가 삭제됨. 포함된 바이너리는 구버전이며 더 이상 유지관리되지 않음
8. SharpSystemTriggers — 파이프라인이 일시 중지됨. 기존 바이너리는 구버전일 수 있음

InveighZero ⚠️ — 파이프라인은 모든 빌드 단계가 비활성화되어 있어 작동하지 않습니다. 저장소의 기존 바이너리는 이전 빌드에서 생성된 것입니다.

출처 / 크레딧

이 모든 멋진 도구들의 링크는 아래에 있습니다 :)* ADCollector - Active Directory 환경에서 유용한 정보를 신속하게 추출하는 C# 도구 @dev-2null

• ADCSPwn - 머신 계정에서 인증을 강제로 유도하고 이를 인증서 서비스로 릴레이하여 Active Directory 네트워크에서 권한을 상승시키는 C# 도구 @bats3c
• ADSearch - LDAP 프로토콜을 통해 AD를 쿼리하는 데 도움을 주는 C# 도구 @tomcarver16 (NET 4.7만 지원)
• ADFSDump - AD FS에서 각종 유용한 정보를 덤프하는 C# 도구 @FireEye
• AtYourService - 서비스 열거(Service Enumeration)를 위한 C# .NET 어셈블리 @mitchmoser
• BadAssMacros - C# 기반 자동 악성 매크로 생성기 @Flangvik
• BetterSafetyKatz - 최신 Mimikatz를 동적으로 페치하고 런타임 패치 서명을 적용한 다음 PE로 Mimikatz를 메모리에 로드하는 SafetyKatz의 포크 @Flangvik
• Certify - Active Directory 인증서 서비스(AD CS)의 잘못된 구성을 열거하고 악용하는 C# 도구 @harmj0y @tifkin_
• CheeseTools - 횡적 이동/코드 실행을 위해 자체 개발한 도구 @klezVirus
• EDD - PowerView와 유사하지만 .NET으로 구현된 Enumerate Domain Data @FortyNorthSecurity
• Evasor - AV 평가 및 우회를 위해 침투 후(post-exploitation) 단계에서 사용되는 도구 @CyberArk
• Farmer - 로컬 WebDAV 서버를 통해 Windows 도메인에서 NetNTLM 해시를 수집하는 도구 @domchell
• ForgeCert - 탈취한 CA 인증서 + 개인 키를 사용하여 임의의 사용자용 인증서를 위조하는 도구 @tifkin_
• GMSAPasswordReader - GMSA 계정에서 암호 blob을 읽는 도구 @rvazarkar
• DeployPrinterNightmare - PrinterNightmare 버그를 악용하여 공유 네트워크 프린터를 설치하고 다른 네트워크 머신이 쉽게 권한 상승(privesc)을 할 수 있게 하는 C# 도구 @Flangvik
• Grouper2 - Active Directory 그룹 정책에서 보안 관련 잘못된 구성을 찾는 데 도움을 주는 C# 도구 @mikeloss
• Group3r - AD 그룹 정책에서 취약점을 찾는 C# 도구이지만, Grouper2보다 더 잘 수행합니다 @mikeloss
• Internal-Monologue - LSASS를 건드리지 않고 NTLM 해시를 검색 @elad_shamir