SharpCollection

Builds noturnos de ferramentas ofensivas comuns em C#, recém-saídos de seus respectivos ramos master, compilados e publicados de forma CDI usando pipelines de release do Azure DevOps.

Está faltando a sua ferramenta favorita? Sinta-se à vontade para abrir uma issue ou me enviar uma DM no X @Flangvik Observe que o execute-assembly do Cobalt Strike só aceita binários compilados com a configuração "Any CPU".

OpSec

Devo implantar cegamente algum desses binários durante engajamentos reais? Nem f*dendo, sempre revise qualquer coisa que você implante na máquina ou rede de um cliente. Ex.: https://github.com/dnSpyEx/dnSpy Implantar qualquer coisa cegamente a partir deste repositório deve ser reservado para ambientes de laboratório, VMs, HackTheBox, mapeamento de detecção, e assim por diante.

Azure DevOps?

Todas as noites às 03:00, o pipeline do Azure DevOps verifica se há novos commits no ramo master de todos os repositórios. Ramos com alterações serão buscados automaticamente e compilados com diferentes frameworks de destino, bem como arquiteturas, antes de serem enviados para este repositório.

O pipeline pode ser encontrado aqui: https://dev.azure.com/FlangvikDev/SharpRelease

Builds disponíveis

Legenda: ✔️ = Compilado ativamente | ❌ = Não compilado | ⚠️ = O pipeline existe, mas todas as etapas estão desabilitadas

Ferramentas marcadas com * têm notas especiais — veja as notas de rodapé abaixo da tabela.

Algumas ferramentas visam versões específicas do framework: Certify, KrbRelay, KrbRelayUp, ShadowSpray visam v4.7.2. ADCollector visa v4.6.1.

Notas de rodapé

1. ADCollector — Visa especificamente o .NET Framework v4.6.1 (mapeado para a coluna NET 4.7)
2. AtYourService, Evasor — Sem builds AnyCPU, apenas plataformas x64/x86
3. Certify, KrbRelay, KrbRelayUp, ShadowSpray — Visam especificamente o .NET Framework v4.7.2
4. CheeseTools — O pipeline existe, mas nunca teve um build bem-sucedido
5. SharpBlock — Compila apenas NET 4.0 e NET 4.5; as etapas NET 4.7 estão desabilitadas. Sem builds AnyCPU (apenas x64/x86)
6. SharpDoor — Publica apenas binários x64 (compilados via script do PowerShell)
7. Scout — O repositório original foi removido. Os binários incluídos estão desatualizados e não são mais mantidos
8. SharpSystemTriggers — O pipeline está pausado. Os binários existentes podem estar desatualizados

InveighZero ⚠️ — O pipeline tem todas as etapas de build desabilitadas e não está funcional. Os binários existentes no repositório são de builds anteriores.

Fontes / Créditos

Links para todas essas ferramentas incríveis estão abaixo :)* ADCollector - Ferramenta C# para extrair rapidamente informações valiosas do ambiente Active Directory @dev-2null

• ADCSPwn - Ferramenta C# para elevar privilégios em uma rede Active Directory, coagindo a autenticação de contas de máquina e retransmitindo para o serviço de certificados. @bats3c
• ADSearch - Ferramenta C# para ajudar a consultar o AD por meio do protocolo LDAP @tomcarver16 (Somente NET 4.7)
• ADFSDump - Ferramenta C# para extrair todos os tipos de boas coisas do AD FS. @FireEye
• AtYourService - Assembly .NET C# para enumeração de serviços @mitchmoser
• BadAssMacros - Gerador automatizado de macros maliciosas baseado em C# @Flangvik
• BetterSafetyKatz - Fork do SafetyKatz que busca dinamicamente o Mimikatz mais recente, aplica assinaturas de patch em tempo de execução e carrega o Mimikatz na memória via PE. @Flangvik
• Certify - Ferramenta C# para enumerar e abusar de más configurações no Active Directory Certificate Services (AD CS). @harmj0y @tifkin_
• CheeseTools - Ferramentas autodesenvolvidas para movimento lateral/execução de código @klezVirus
• EDD - Enumerate Domain Data foi projetado para ser semelhante ao PowerView, mas em .NET @FortyNorthSecurity
• Evasor - Ferramenta para uso na fase de pós-exploração, avaliando e evadindo AV @CyberArk
• Farmer - Coleta de hashes NetNTLM em um domínio Windows por meio de um servidor WebDAV local @domchell
• ForgeCert - Usa um certificado de CA roubado + chave privada para forjar certificados para usuários arbitrários. @tifkin_
• GMSAPasswordReader - Lê o blob de senha de uma conta GMSA. @rvazarkar
• DeployPrinterNightmare - Ferramenta C# para instalar uma impressora de rede compartilhada abusando da falha PrinterNightmare, permitindo que outras máquinas da rede elevem privilégios facilmente @Flangvik