synacktiv/sccmsecretsSCCMSecrets.py는 자격 증명 수집, 초기 액세스 및 측면 이동을 위해 SCCM 정책 배포를 악용하는 것을 목표로 합니다.
SCCMSecrets.py는 SCCM 정책을 악용하는 도구입니다. NAA(Network Access Account) 자격 증명 추출을 넘어, SCCM 정책 배포와 관련된 보안 오설정을 포괄적으로 찾아내는 것을 목표로 합니다. 이 도구는 다양한 권한 수준에서 실행할 수 있으며, 정책 배포와 관련된 잠재적 오설정을 찾으려 시도합니다. 도구 및 사용법에 대한 자세한 내용은 관련 문서를 참조하세요: https://www.synacktiv.com/publications/sccmsecretspy-exploiting-sccm-policies-distribution-for-credentials-harvesting-initial
policies와 files 두 개의 하위 명령이 제공됩니다.
이 하위 명령은 SCCM 관리 지점(Management Point) 과 통신하여 모든 비밀 정책(NAA 구성, 자격 증명이 포함된 작업 순서, 컬렉션 변수 포함)의 내용을 덤프합니다. 이를 위해서는 승인된 SCCM 디바이스가 필요하며, 세 가지 방법으로 얻을 수 있습니다.
--altauth 플래그를 제공하면 SCCMSecrets는 대체 인증 엔드포인트를 악용하여 mTLS 요구 사항을 우회하고, 자격 증명 없이 그리고 자동 디바이스 승인 오설정 없이도 승인된 디바이스를 얻을 수 있습니다 (자세한 정보). 이 방법은 MP가 HTTPS를 사용하도록 구성되어 있고, SCCM 사이트가 사이트 전체에서 HTTPS를 강제하도록 구성된 경우에만 작동합니다 (MP가 HTTPS를 사용하지만 사이트가 HTTP 또는 HTTPS를 모두 허용하는 경우 디바이스는 자동으로 승인되지 않습니다).--use-existing-device). 이 인자는 guid.txt 파일(디바이스 GUID)과 key.pem 파일(디바이스 개인 키)이 포함된 디렉터리를 기대합니다. 이전 SCCMSecrets 실행으로 생성된 디바이스이거나, 손상된 합법적인 SCCM 클라이언트에 해당하는 디바이스일 수 있습니다.SCCM 정책은 컬렉션과 연결되어 있습니다. 새 디바이스를 등록하면 이 디바이스는 기본 컬렉션에 배치되므로, 기본 컬렉션의 비밀 정책만 검색됩니다. 그래서 --use-existing-device로 손상된 합법적인 SCCM 클라이언트를 가장하는 것이 흥미로울 수 있습니다. 실제로 이 합법적인 클라이언트는 추가 비밀 정책과 연결된 사용자 지정 컬렉션의 일부일 수 있습니다.
출력은 loot 디렉터리의 하위 디렉터리에 저장됩니다 (형식: [timestamp]_policies).
$ python3 SCCMSecrets.py policies -h
Usage: SCCMSecrets.py policies [OPTIONS]
Dump secret policies from an SCCM Management Point
╭─ Options ───────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────╮
│ * --management-point -mp TEXT The client's SCCM management point. Expects either a URL, or a hostname/IP (defaults to HTTP in the latter case) [required] │
│ * --client-name -cn TEXT [Optional] The name of the client that will be created in SCCM - or a random name if using an existing device [required] │
│ --machine-name -u TEXT [Optional] A machine account name. If not provided, SCCMSecrets will try to exploit automatic device approval │
│ --machine-pass -p TEXT [Optional] The password for the machine account │
│ --machine-hash -H TEXT [Optional] The NT hash for the machine account │
│ --registration-sleep -rs INTEGER [Optional] The amount of time, in seconds, that should be waited after registrating a new device. A few minutes is recommended so that the new device can be added to │
│ device collections (3 minutes by default, may need to be increased) │
│ [default: 180] │
│ --use-existing-device -d TEXT [Optional] This option can be used to re-run SCCMSecrets.py using a previously registered device ; or to impersonate a legitimate SCCM client. In both cases, it │
│ expects the path of a folder containing a guid.txt file (the SCCM device GUID) and the key.pem file (the client's private key). Note that a client-name value must also │
│ be provided to SCCMSecrets (but does not have to match the one of the existing device) │
│ --pki-cert -c TEXT [Optional] The path to a valid domain PKI certificate in PEM format. Required when the Management Point enforces HTTPS and thus client certificate authentication │
│ --pki-key -k TEXT [Optional] The path to the private key of the certificate in PEM format │
│ --altauth -a [Optional] Use the MP's alternate authentication endpoint. This endpoint bypasses mutual TLS requirements, and automatically approves devices registered through it. It │
│ only works when the MP uses HTTPS AND HTTPS is enforced site-wide │
│ --verbose -v [Optional] Enable verbose output │
│ --help -h Show this message and exit. │
╰─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────╯
이 하위 명령은 배포 지점(Distribution Point) 에 저장된 파일을 인덱싱하고 흥미로운 파일을 다운로드합니다. SCCMSecrets는 먼저 익명 액세스가 활성화되어 있는지(기본이 아닌 구성) 확인하려 시도합니다. 활성화된 경우 인증 없이 파일을 인덱싱하고 다운로드할 수 있습니다. 그렇지 않으면 도메인 자격 증명이 필요합니다.
확장자별로 파일을 다운로드할 수 있습니다. SCCMSecrets는 배포 지점에 호스팅된 모든 패키지의 파일을 인덱싱하고(Unix tree 형식의 index.txt 파일 생성), 지정된 확장자를 가진 파일을 다운로드합니다. 빈 확장자 목록을 제공하면 파일 인덱싱만 수행됩니다.
두 경우 모두, 생성된 인덱스 파일에서 --urls 플래그를 사용하여 (재인덱싱 없이) 특정 관심 파일을 다운로드할 수 있습니다.
mTLS 요구 사항이 구현된 경우 --nocert 플래그를 제공하여 우회할 수 있습니다.
출력은 loot 디렉터리의 하위 디렉터리에 저장됩니다 (형식: [timestamp]_files).