etlownoise/xoloFerramenta para rastrear, visualizar e interagir com links de servidores SQL em um grafo d3, auxiliando em seus exercícios de equipe de hacking pentest de avaliações de risco red/blue/purple/...
Autor: ET Lownoise Versão: 1.0
Ferramenta para rastrear, visualizar e interagir com links de servidor SQL em um gráfico d3 para ajudar em seus exercícios de equipe de pentest hacking de avaliações de risco vermelho/azul/roxo/....
Requests==2.18.4
Flask==0.12.2
Json
Pypyodbc
beautifulsoup4==4.6.0
lxml==4.1.0
Exemplo:
pip install pypyodbc
python -m pip install pypyodbc
- Baixar
- Descomprimir
- Coloque em um diretório
- Execute
c:\xolo>python main.py
...
* Running on http://127.0.0.1:5000/ (Pressione CTRL+C para sair)
- Abra seu navegador em http://127.0.0.1:5000/
Twitter @etlow
MIT License
-Quando o gráfico for exibido, clique duplo esquerdo em um nó o selecionará como destino
-Quando o gráfico for exibido, clique duplo direito em um nó o selecionará como origem
-O botão Converter exibirá a consulta necessária com base no caminho mais curto calculado, se você quiser interagir diretamente com o destino selecionado a partir da origem.
-O botão Consulta enviará sua consulta especificada usando o caminho mais curto para o destino
-O botão Consultar todos enviará sua consulta especificada usando o caminho mais curto para todos os nós
- O gráfico de teste é apenas para modificar o código D3 caso você queira brincar com a visualização.
-Copie o arquivo data.json se quiser ter um backup do gráfico
-Modifique queries.json se quiser adicionar suas próprias consultas
-Verifique a saída do terminal para acompanhar o que o Xolo está fazendo em segundo plano
-Tenha cuidado com os níveis máximos de recursão e o número de nós, comece baixo (talvez 2-3 níveis e no máximo 10 nós por nível)
-Este foi um exercício para eu brincar e aprender um pouco de D3 e a necessidade de realizar algumas visualizações de links de banco de dados. Por essa razão, o Xolo foi possível graças ao aprendizado e/ou modificação do código dos seguintes indivíduos:
Links de BD:
-Antti Rantasaari <antti.rantasaari[at]netspi.com>',
'Scott Sutherland "nullbind" <scott.sutherland[at]netspi.com
https://blog.netspi.com/how-to-hack-database-links-in-sql-server/
metasploit-framework/blob/master/modules/exploits/windows/mssql/mssql_linkcrawler.rb
D3/Javascript/Flask:
-Sumit Kumar https://github.com/reachsumit
-Mike Bostock https://bl.ocks.org/mbostock
-Simon Raper http://www.coppelia.io/2014/07/an-a-to-z-of-extra-features-for-the-d3-force-layout/
v1.0 Fev/2020 Primeira versão. Suporte para SQL Server.