safebreach-labs/edraser원격으로 대상 머신의 액세스 로그, Windows 이벤트 로그, 데이터베이스 및 파일을 자동 스캔 또는 수동 공격 선택을 통해 삭제하여 사후 익스플로잇 정리를 수행합니다.
EDRaser는 원격 시스템에서 액세스 로그, Windows 이벤트 로그, 데이터베이스 및 기타 파일을 원격으로 삭제하는 강력한 도구입니다. 자동 및 수동 두 가지 작동 모드를 제공합니다.
자동 모드에서 EDRaser는 주어진 IP 주소 공간의 C 클래스를 스캔하여 취약한 시스템을 찾아 자동으로 공격합니다. 자동 모드의 공격은 다음과 같습니다:
자동 모드에서 EDRaser를 사용하려면 다음 단계를 따르세요:
python edraser.py --auto
수동 모드에서는 대상 시스템에 대해 특정 공격을 선택하여 실행할 수 있어 더 큰 제어권을 제공합니다. VMX 삭제와 같은 일부 공격은 로컬 시스템에서만 사용할 수 있습니다.
수동 모드에서 EDRaser를 사용하려면 다음 구문을 사용할 수 있습니다:
python edraser.py --ip <ip_addr> --attack <attack_name> [--sigfile <signature file>]
인수:
--ip: 지정된 범위의 IP 주소를 스캔하고 취약한 시스템을 공격합니다 (기본값: localhost).--sigfile: 지정된 암호화된 서명 DB를 사용합니다 (기본값: signatures.db).--attack: 실행할 공격. 다음 공격을 사용할 수 있습니다: ['vmx', 'vmdk', 'windows_security_event_log_remote',
'windows_application_event_log_local', 'syslog',
'access_logs', 'remote_db', 'local_db', 'remote_db_webserver']선택적 인수:
port: 원격 시스템의 포트db_username: 원격 DB의 사용자 이름.db_password: 원격 DB의 비밀번호.db_type: DB 유형, EDRaser는 mysql, sqlite를 지원합니다. (# sqlite의 경우 사용자 이름\비밀번호가 필요 없습니다)db_name: 연결할 원격 DB의 이름table_name: 연결할 원격 테이블의 이름rpc_tools: VMware rpc_tools의 경로예시:
python edraser.py --attack windows_event_log --ip 192.168.1.133
python EDRaser.py -attack remote_db -db_type mysql -db_username test_user -db_password test_password -ip 192.168.1.10
원격 DB를 삽입하고 볼 수 있는 웹 인터페이스를 실행할 수 있습니다. 다음 명령으로 수행할 수 있습니다: EDRaser.py -attack remote_db_webserver -db_type mysql -db_username test_user -db_password test_password -ip 192.168.1.10
이것은 localhost:8080 주소에 웹 서버를 실행하여 지정된 원격 DB에 데이터를 보고 삽입할 수 있게 합니다. 이 기능은 데이터를 입력하면 원격 DB에 저장하는 웹사이트의 '실제' 시나리오 예제를 제공하기 위해 설계되었습니다. 이 기능을 사용하여 원격 DB에 수동으로 데이터를 삽입할 수 있습니다.
수동 모드에서 EDRaser는 사용 가능한 공격 목록을 표시합니다. 각 공격에 대한 간략한 설명은 다음과 같습니다: