⚠️ 참고: 이 도구는 더 이상 적극적으로 유지관리되지 않습니다.

Firework

Firework는 프로비저닝 프로세스에 필요한 유효한 파일을 생성하여 Microsoft Workplaces와 상호 작용하는 개념 증명 도구입니다. 또한 이 도구는 Responder의 일부 코드를 래핑하여 Workplace 피드를 제공하는 시스템으로부터 NetNTLM 해시를 캡처하는 기능을 활용합니다.

이 도구는 침투 테스트 또는 레드 팀 연습의 일부로 사용되어 .wcx 페이로드(및 관련 피드)를 생성할 수 있으며, 클릭 시 다음 용도로 사용될 수 있습니다:

• 자격 증명 피싱 - 사용자가 자격 증명을 입력하면 NetNTLM 해시가 전송됩니다(또는 이전 버전의 Windows에서는 자동으로).
• 시작 메뉴에 항목 추가 - 설정 후 제공된 RDP 파일을 실행하는 바로 가기가 시작 메뉴에 추가됩니다. 이러한 항목은 더 넓은 사회 공학 캠페인의 일부로 사용될 수 있습니다.
• 리소스 다운로드 - .rdp 파일 및 아이콘 파일과 같은 리소스는 Windows에서 매일 다운로드 및 업데이트됩니다(피드 인증이 비활성화되었거나 충족된 경우).

자세한 요약 및 안내는 SpiderLabs 블로그를 참조하십시오.

설치

• Python 2.7.x에서 테스트되었습니다. (Python3는 현재 지원되지 않지만, 주요 Firework 클래스는 Python 3에서 사용될 수 있습니다)

$ pip install -r requirements.txt

• 이 도구는 HTTPS를 통해 콘텐츠를 제공하며, NetNTLM 캡처와 함께 내장 웹 서버를 사용하려면 인증서와 개인 키가 필요합니다. 기본 파일: cert.crt 및 key.pem

사용법

.-:::::'::::::::::..  .,::::::.::    .   .:::  ...    :::::::..    :::  .   
;;;'''' ;;;;;;;``;;;; ;;;;''''';;,  ;;  ;;;'.;;;;;;;. ;;;;``;;;;   ;;; .;;,.
[[[,,== [[[ [[[,/[[['  [[cccc  '[[, [[, [[',[[     \[[,[[[,/[[['   [[[[[/'  
`$$$"`` $$$ $$$$$$c    $$""""    Y$c$$$c$P $$$,     $$$$$$$$$c    _$$$$,    
 888    888 888b "88bo,888oo,__   "88"888  "888,_ _,88P888b "88bo,"888"88o, 
 "MM,   MMM MMMM   "W" """"YUMMM   "M "M"    "YMMMMMP" MMMM   "W"  MMM "MMP"


usage: firework.py [-h] -c COMPANY -u URL -a APP -e EXT -i ICON [-l LISTEN]
                   [-r RDP] [-d DOMAIN] [-n USERNAME] [-p PASSWORDHASH]
                   [-t CERT] [-k KEY]

WCX WorkPlace 도구

optional arguments:
  -h, --help            이 도움말 메시지를 표시하고 종료
  -c COMPANY, --company COMPANY
                        회사 이름
  -u URL, --url URL     피드 URL
  -a APP, --app APP     앱 이름
  -e EXT, --ext EXT     앱 확장자
  -i ICON, --icon ICON  앱 아이콘
  -l LISTEN, --listen LISTEN
                        TLS 웹 서버 포트
  -r RDP, --rdp RDP     RDP 서버
  -d DOMAIN, --domain DOMAIN
                        RDP 도메인
  -n USERNAME, --username USERNAME
                        RDP 사용자 이름
  -p PASSWORD, --password PASSWORD
                        RDP 암호
  -t CERT, --cert CERT  SSL 인증서
  -k KEY, --key KEY     SSL 키

예제

기본 예제:

• 조직 이름: EvilCorp
• 피드 XML URL (또는 Firework 내장 서버의 URL): https://example.org/ - Windows가 피드를 다운로드하는 위치입니다.
• 애플리케이션 이름: Firework
• 파일 확장자: .fwk
• 아이콘 파일: firework.ico

python ./firework.py -c EvilCorp -u https://example.org/ -a Firework -e .fwk -i ./firework.ico 

현재 디렉토리에 cert.crt와 key.pem이 있으면 내장 웹 서버가 포트 443에서 시작됩니다. 이는 responder와 함께 NTLM challenge를 강제합니다. 이러한 파일이 없으면 도구는 모든 파일을 로컬 디렉토리에 작성하여 사용자가 직접 호스팅할 수 있도록 합니다.

대체 포트에서 내장 웹 서버를 시작하려면 아래와 같이 -l 플래그를 사용하십시오:

python ./firework.py -c EvilCorp -u https://example.org/ -a Firework -e .fwk -i ./firework.ico -l 8443

제공되는 .rdp 파일에 일부 사용자 지정을 추가할 수도 있습니다.

• 원격 데스크톱 서버: dc.corp.local
• 도메인: corp.local
• 사용자 이름: admin
• 암호 암호문: RDP 파일에 포함되는 암호화된 암호

참고: .rdp 파일에 저장된 암호는 기본 구성에서 무시될 가능성이 높습니다.

python ./firework.py -c EvilCorp -u https://example.org/ -a Firework -e .fwk -i ./firework.ico -r dc.corp.local -d corp.local -n admin -p <crypt password>

페이로드

도구를 실행하면 'payload.wcx'가 현재 디렉토리에 기록됩니다. 이 파일은 클릭 시 프로비저닝 프로세스를 시작하는 파일입니다.

저자

• David Middlehurst - Twitter- @dtmsecurity

라이선스

Firework

David Middlehurst가 작성 Copyright (C) 2018 Trustwave Holdings, Inc.

이 프로그램은 자유 소프트웨어입니다: 자유 소프트웨어 재단에서 발행한 GNU General Public License의 버전 3 또는 (선택에 따라) 이후 버전에 따라 재배포 및/또는 수정할 수 있습니다.

이 프로그램은 유용할 것이라는 희망으로 배포되지만, 어떠한 보증도 없습니다. 상품성 또는 특정 목적에의 적합성에 대한 묵시적 보증도 없습니다. 자세한 내용은 GNU General Public License를 참조하십시오.

감사의 말

• Responder by Laurent Gaffie
• Firework Icon