Cobalt Strike(및 가능한 다른 C2 프레임워크)와 BOF 및 리플렉티브 DLL 로딩 기술을 통해 통합되는 도구 모음입니다.
이 저장소는 BOF 및 리플렉티브 DLL 로딩 기술을 통해 Cobalt Strike(그리고 가능하면 다른 C2 프레임워크)와 통합되는 도구 모음을 포함합니다.
이 도구들은 당사의 상용 OST 제품의 일부가 아니며, 우리가 많은 것을 빚지고 있는 커뮤니티에 기여하기 위한 목적으로 작성되었습니다. 현재 이 저장소에는 BOF(Beacon Object Files) 도구 섹션과 다른 도구(익스플로잇, 리플렉티브 DLL 등) 섹션이 포함되어 있습니다.
이 모든 도구는 팀원들에 의해 작성되었으며 레드 팀 임무에서 사용됩니다. 시간이 지남에 따라 새로운 기술이나 기능으로 더 많은 도구가 추가되거나 수정될 것입니다.
현재 도구 모음은 다음 도구들로 구성됩니다:
Beacon Object Files (BOF)
| 이름 | 설명 |
|---|---|
| AddMachineAccount | 기본 Active Directory 컴퓨터 할당량 설정(ms-DS-MachineAccountQuota)을 악용하여 불량 컴퓨터 계정을 추가합니다. |
| Askcreds | 간단히 물어봄으로써 비밀번호를 수집합니다. |
| CVE-2022-26923 | CVE-2022-26923 Active Directory (ADCS) 도메인 권한 상승 익스플로잇. |
| Domaininfo | Active Directory 도메인 서비스를 사용하여 도메인 정보를 열거합니다. |
| FindObjects | 특정 로드된 모듈 또는 프로세스 핸들에 대한 프로세스를 열거합니다. |
| Kerberoast | SPN이 활성화된 모든 사용자/서비스 계정을 나열하거나 서비스 티켓(TGS-REP)을 요청하여 HashCat으로 오프라인 크래킹할 수 있습니다. |
| KerbHash | 비밀번호를 kerberos 키(rc4_hmac, aes128_cts_hmac_sha1, aes256_cts_hmac_sha1, des_cbc_md5)로 해시합니다. |
| Klist | 현재 캐시된 Kerberos 티켓 목록을 표시합니다. |
| Lapsdump | Active Directory 내에서 지정된 컴퓨터의 LAPS 비밀번호를 덤프합니다. |
| PetitPotam | @topotam77이 발표한 PetitPotam 공격의 BOF 구현. |
| Psc | 설정된 TCP 및 RDP 연결이 있는 프로세스의 상세 정보를 표시합니다. |
| Psw | 활성 창이 있는 프로세스의 창 제목을 표시합니다. |
| Psx | 시스템에서 실행 중인 모든 프로세스의 상세 정보를 표시하고 설치된 보안 제품 및 도구 요약을 제공합니다. |
| Psm | 특정 프로세스 ID의 상세 정보를 표시합니다(로드된 모듈, TCP 연결 등). |
| Psk | Windows 커널 및 로드된 드라이버 모듈의 상세 정보를 표시하고 설치된 보안 제품(AV/EDR 드라이버) 요약을 제공합니다. |
| ReconAD | ADSI를 사용하여 Active Directory 개체 및 속성을 쿼리합니다. |
| Smbinfo | Cobalt Strike 포트(tcp-445) 스캐너를 실행하지 않고 NetWkstaGetInfo API를 사용하여 원격 시스템 버전 정보를 수집합니다. |
| SprayAD | Active Directory에 대해 빠른 Kerberos 또는 LDAP 비밀번호 스프레이 공격을 수행합니다. |
| StartWebClient | 서비스 트리거를 사용하여 사용자 컨텍스트에서 프로그래밍 방식으로 WebClient 서비스를 시작합니다. |
| WdToggle | lsass를 패치하여 WDigest 자격 증명 캐싱을 활성화하고 Credential Guard(활성화된 경우)를 우회합니다. |
| Winver | 실행 중인 Windows 버전, 빌드 번호 및 패치 릴리스(업데이트 빌드 수정)를 표시합니다. |
기타
| 이름 | 설명 |
|---|---|
| PetitPotam | @topotam77이 발표한 PetitPotam 공격의 리플렉티브 DLL 구현 |
| RemotePipeList | 원격 명명된 파이프를 열거하는 .NET 도구 |
make를 입력하세요.