%&&@@@&&                                                                                  
                    &&&&&&&%%%,                       #&&@@@@@@%%%%%%###############%                         
                    &%&   %&%%                        &////(((&%%%%%#%################//((((###%%%%%%%%%%%%%%%

+ AMSIProviders          - Providers registered for AMSI
+ AntiVirus              - Registered antivirus (via WMI)
+ AppLocker              - AppLocker settings, if installed
  ARPTable               - Lists the current ARP table and adapter information (equivalent to arp -a)
  AuditPolicies          - Enumerates classic and advanced audit policy settings
+ AuditPolicyRegistry    - Audit settings via the registry
+ AutoRuns               - Auto run executables/scripts/programs
  azuread                - Return AzureAD info
  Certificates           - Finds user and machine personal certificate files
  CertificateThumbprints - Finds thumbprints for all certificate store certs on the system
+ ChromiumBookmarks      - Parses any found Chrome/Edge/Brave/Opera bookmark files
+ ChromiumHistory        - Parses any found Chrome/Edge/Brave/Opera history files
+ ChromiumPresence       - Checks if interesting Chrome/Edge/Brave/Opera files exist
+ CloudCredentials       - AWS/Google/Azure/Bluemix cloud credential files
+ CloudSyncProviders     - All configured Office 365 endpoints (tenants and teamsites) which are synchronised by OneDrive.
  CredEnum               - Enumerates the current user's saved credentials using CredEnumerate()
+ CredGuard              - CredentialGuard configuration
  dir                    - Lists files/folders. By default, lists users' downloads, documents, and desktop folders (arguments == [directory] [maxDepth] [regex] [boolIgnoreErrors]
+ DNSCache               - DNS cache entries (via WMI)
+ DotNet                 - DotNet versions
+ DpapiMasterKeys        - List DPAPI master keys
  EnvironmentPath        - Current environment %PATH$ folders and SDDL information
+ EnvironmentVariables   - Current environment variables
+ ExplicitLogonEvents    - Explicit Logon events (Event ID 4648) from the security event log. Default of 7 days, argument == last X days.
  ExplorerMRUs           - Explorer most recently used files (last 7 days, argument == last X days)
+ ExplorerRunCommands    - Recent Explorer "run" commands
  FileInfo               - Information about a file (version information, timestamps, basic PE info, etc. argument(s) == file path(s)
+ FileZilla              - FileZilla configuration files
+ FirefoxHistory         - Parses any found FireFox history files
+ FirefoxPresence        - Checks if interesting Firefox files exist
+ Hotfixes               - Installed hotfixes (via WMI)
  IdleTime               - Returns the number of seconds since the current user's last input.
+ IEFavorites            - Internet Explorer favorites
  IETabs                 - Open Internet Explorer tabs
+ IEUrls                 - Internet Explorer typed URLs (last 7 days, argument == last X days)
+ InstalledProducts      - Installed products via the registry
  InterestingFiles       - "Interesting" files matching various patterns in the user's folder. Note: takes non-trivial time.
+ InterestingProcesses   - "Interesting" processes - defensive products and admin tools
  InternetSettings       - Internet settings including proxy configs and zones configuration
+ KeePass                - Finds KeePass configuration files
+ LAPS                   - LAPS settings, if installed
+ LastShutdown           - Returns the DateTime of the last system shutdown (via the registry).
  LocalGPOs              - Local Group Policy settings applied to the machine/local users
+ LocalGroups            - Non-empty local groups, "-full" displays all groups (argument == computername to enumerate)
+ LocalUsers             - Local users, whether they're active/disabled, and pwd last set (argument == computername to enumerate)
+ LogonEvents            - Logon events (Event ID 4624) from the security event log. Default of 10 days, argument == last X days.
+ LogonSessions          - Windows logon sessions
  LOLBAS                 - Locates Living Off The Land Binaries and Scripts (LOLBAS) on the system. Note: takes non-trivial time.
+ LSASettings            - LSA settings (including auth packages)
+ MappedDrives           - Users' mapped drives (via WMI)
  McAfeeConfigs          - Finds McAfee configuration files
  McAfeeSiteList         - Decrypt any found McAfee SiteList.xml configuration files.
  MicrosoftUpdates       - All Microsoft updates (via COM)
  MTPuTTY                - MTPuTTY configuration files
  NamedPipes             - Named pipe names, any readable ACL information and associated process information.
+ NetworkProfiles        - Windows network profiles
+ NetworkShares          - Network shares exposed by the machine (via WMI)
+ NTLMSettings           - NTLM authentication settings
  OfficeMRUs             - Office most recently used file list (last 7 days)
  OneNote                - List OneNote backup files
+ OptionalFeatures       - List Optional Features/Roles (via WMI)
  OracleSQLDeveloper     - Finds Oracle SQLDeveloper connections.xml files
+ OSInfo                 - Basic OS info (i.e. architecture, OS version, etc.)
+ OutlookDownloads       - List files downloaded by Outlook
+ PoweredOnEvents        - Reboot and sleep schedule based on the System event log EIDs 1, 12, 13, 42, and 6008. Default of 7 days, argument == last X days.
+ PowerShell             - PowerShell versions and security settings
+ PowerShellEvents       - PowerShell script block logs (4104) with sensitive data.
+ PowerShellHistory      - Searches PowerShell console history files for sensitive regex matches.
  Printers               - Installed Printers (via WMI)
+ ProcessCreationEvents  - Process creation logs (4688) with sensitive data.
  Processes              - Running processes with file info company names that don't contain 'Microsoft', "-full" enumerates all processes
+ ProcessOwners          - Running non-session 0 process list with owners. For remote use.
+ PSSessionSettings      - Enumerates PS Session Settings from the registry
+ PuttyHostKeys          - Saved Putty SSH host keys
+ PuttySessions          - Saved Putty configuration (interesting fields) and SSH host keys
  RDCManFiles            - Windows Remote Desktop Connection Manager settings files
+ RDPSavedConnections    - Saved RDP connections stored in the registry
+ RDPSessions            - Current incoming RDP sessions (argument == computername to enumerate)
+ RDPsettings            - Remote Desktop Server/Client Settings
  RecycleBin             - Items in the Recycle Bin deleted in the last 30 days - only works from a user context!
  reg                    - Registry key values (HKLM\Software by default) argument == [Path] [intDepth] [Regex] [boolIgnoreErrors]
  RPCMappedEndpoints     - Current RPC endpoints mapped
+ SCCM                   - System Center Configuration Manager (SCCM) settings, if applicable
+ ScheduledTasks         - Scheduled tasks (via WMI) that aren't authored by 'Microsoft', "-full" dumps all Scheduled tasks
  SearchIndex            - Query results from the Windows Search Index, default term of 'passsword'. (argument(s) == <search path> <pattern1,pattern2,...>
  SecPackageCreds        - Obtains credentials from security packages
+ SecureBoot             - Secure Boot configuration
  SecurityPackages       - Enumerates the security packages currently available using EnumerateSecurityPackagesA()
  Services               - Services with file info company names that don't contain 'Microsoft', "-full" dumps all processes
+ SlackDownloads         - Parses any found 'slack-downloads' files
+ SlackPresence          - Checks if interesting Slack files exist
+ SlackWorkspaces        - Parses any found 'slack-workspaces' files
+ SuperPutty             - SuperPutty configuration files
+ Sysmon                 - Sysmon configuration from the registry
+ SysmonEvents           - Sysmon process creation logs (1) with sensitive data.
  TcpConnections         - Current TCP connections and their associated processes and services
  TokenGroups            - The current token's local and domain groups
  TokenPrivileges        - Currently enabled token privileges (e.g. SeDebugPrivilege/etc.)
+ UAC                    - UAC system policies via the registry
  UdpConnections         - Current UDP connections and associated processes and services
  UserRightAssignments   - Configured User Right Assignments (e.g. SeDenyNetworkLogonRight, SeShutdownPrivilege, etc.) argument == computername to enumerate
  WifiProfile            - Enumerates the saved Wifi profiles and extract the ssid, authentication type, cleartext key/passphrase (when possible)
+ WindowsAutoLogon       - Registry autologon information
  WindowsCredentialFiles - Windows credential DPAPI blobs
+ WindowsDefender        - Windows Defender settings (including exclusion locations)
+ WindowsEventForwarding - Windows Event Forwarding (WEF) settings via the registry
+ WindowsFirewall        - Non-standard firewall rules, "-full" dumps all (arguments == allow/deny/tcp/udp/in/out/domain/private/public)
  WindowsVault           - Credentials saved in the Windows Vault (i.e. logins from Internet Explorer and Edge).
+ WMI                    - Runs a specified WMI query
  WMIEventConsumer       - Lists WMI Event Consumers
  WMIEventFilter         - Lists WMI Event Filters
  WMIFilterBinding       - Lists WMI Filter to Consumer Bindings
+ WSUS                   - Windows Server Update Services (WSUS) settings, if applicable

You can invoke command groups with         "Seatbelt.exe <group>"


Or command groups except specific commands "Seatbelt.exe <group> -Command"

    azuread, Certificates, CertificateThumbprints, ChromiumPresence, CloudCredentials, 
    CloudSyncProviders, CredEnum, dir, DpapiMasterKeys, 
    ExplorerMRUs, ExplorerRunCommands, FileZilla, FirefoxPresence, 
    IdleTime, IEFavorites, IETabs, IEUrls, 
    KeePass, MappedDrives, MTPuTTY, OfficeMRUs, 
    OneNote, OracleSQLDeveloper, PowerShellHistory, PuttyHostKeys, 
    PuttySessions, RDCManFiles, RDPSavedConnections, SecPackageCreds, 
    SlackDownloads, SlackPresence, SlackWorkspaces, SuperPutty, 
    TokenGroups, WindowsCredentialFiles, WindowsVault

    AMSIProviders, AntiVirus, AppLocker, ARPTable, AuditPolicies, 
    AuditPolicyRegistry, AutoRuns, Certificates, CertificateThumbprints, 
    CredGuard, DNSCache, DotNet, EnvironmentPath, 
    EnvironmentVariables, Hotfixes, InterestingProcesses, InternetSettings, 
    LAPS, LastShutdown, LocalGPOs, LocalGroups, 
    LocalUsers, LogonSessions, LSASettings, McAfeeConfigs, 
    NamedPipes, NetworkProfiles, NetworkShares, NTLMSettings, 
    OptionalFeatures, OSInfo, PoweredOnEvents, PowerShell, 
    Processes, PSSessionSettings, RDPSessions, RDPsettings, 
    SCCM, SecureBoot, Services, Sysmon, 
    TcpConnections, TokenPrivileges, UAC, UdpConnections, 
    UserRightAssignments, WifiProfile, WindowsAutoLogon, WindowsDefender, 
    WindowsEventForwarding, WindowsFirewall, WMI, WMIEventConsumer, 
    WMIEventFilter, WMIFilterBinding, WSUS

    SlackDownloads, SlackPresence, SlackWorkspaces

    ChromiumBookmarks, ChromiumHistory, ChromiumPresence

    AMSIProviders, AntiVirus, AuditPolicyRegistry, ChromiumPresence, CloudCredentials, 
    DNSCache, DotNet, DpapiMasterKeys, EnvironmentVariables, 
    ExplicitLogonEvents, ExplorerRunCommands, FileZilla, Hotfixes, 
    InterestingProcesses, KeePass, LastShutdown, LocalGroups, 
    LocalUsers, LogonEvents, LogonSessions, LSASettings, 
    MappedDrives, NetworkProfiles, NetworkShares, NTLMSettings, 
    OptionalFeatures, OSInfo, PoweredOnEvents, PowerShell, 
    ProcessOwners, PSSessionSettings, PuttyHostKeys, PuttySessions, 
    RDPSavedConnections, RDPSessions, RDPsettings, SecureBoot, 
    Sysmon, WindowsDefender, WindowsEventForwarding, WindowsFirewall
    

    ChromiumBookmarks, ChromiumHistory, ExplicitLogonEvents, FileInfo, FirefoxHistory, 
    InstalledProducts, InterestingFiles, LogonEvents, LOLBAS, 
    McAfeeSiteList, MicrosoftUpdates, OutlookDownloads, PowerShellEvents, 
    Printers, ProcessCreationEvents, ProcessOwners, RecycleBin, 
    reg, RPCMappedEndpoints, ScheduledTasks, SearchIndex, 
    SecurityPackages, SysmonEvents

**Nota:** as pesquisas que visam usuários serão executadas para o usuário atual se não elevado e para TODOS os usuários se elevado.


## Command Groups

**Nota:** muitos comandos fazem algum tipo de filtragem por padrão. Fornecer o argumento `-full` impede a filtragem da saída. Além disso, o grupo de comandos `all` executará todas as verificações atuais.

Por exemplo, o comando a seguir executará TODAS as verificações e retornará TODA a saída:

`Seatbelt.exe -group=all -full`

### system

Executa verificações que extraem dados interessantes sobre o sistema.

Executado com: `Seatbelt.exe -group=system`

| Command | Description |
| ----------- | ----------- |
| AMSIProviders | Provedores registrados para AMSI |
| AntiVirus | Antivírus registrados (via WMI) |
| AppLocker | Configurações do AppLocker, se instalado |
| ARPTable | Lista a tabela ARP atual e informações do adaptador (equivalente a arp -a) |
| AuditPolicies | Enumera configurações de política de auditoria clássica e avançada |
| AuditPolicyRegistry | Configurações de auditoria via registro |
| AutoRuns | Executáveis/scripts/programas de início automático |
| Certificates | Arquivos de certificado pessoal do usuário e da máquina |
| CertificateThumbprints | Impressões digitais de todos os certificados do repositório de certificados no sistema |
| CredGuard | Configuração do CredentialGuard |
| DNSCache | Entradas de cache DNS (via WMI) |
| DotNet | Versões do DotNet |
| EnvironmentPath | Pastas atuais da variável de ambiente %PATH$ e informações SDDL |
| EnvironmentVariables | Variáveis de ambiente do usuário atual |
| Hotfixes | Hotfixes instalados (via WMI) |
| InterestingProcesses | Processos "interessantes" - produtos defensivos e ferramentas administrativas |
| InternetSettings | Configurações de internet incluindo configurações de proxy |
| LAPS | Configurações do LAPS, se instalado |
| LastShutdown | Retorna a DataHora do último desligamento do sistema (via registro) |
| LocalGPOs | Configurações de Política de Grupo Local aplicadas à máquina/usuários locais |
| LocalGroups | Grupos locais não vazios, "full" exibe todos os grupos (argumento == nome do computador para enumerar) |
| LocalUsers | Usuários locais, se estão ativos/desabilitados e última alteração de senha (argumento == nome do computador para enumerar) |
| LogonSessions | Eventos de logon (ID do Evento 4624) do log de eventos de segurança. Padrão de 10 dias, argumento == últimos X dias. |
| LSASettings | Configurações de LSA (incluindo pacotes de autenticação) |
| McAfeeConfigs | Encontra arquivos de configuração do McAfee |
| NamedPipes | Nomes de pipes nomeados e quaisquer informações de ACL legíveis |
| NetworkProfiles | Perfis de rede do Windows |
| NetworkShares | Compartilhamentos de rede expostos pela máquina (via WMI) |
| NTLMSettings | Configurações de autenticação NTLM |
| OptionalFeatures | TODO |
| OSInfo | Informações básicas do SO (ex: arquitetura, versão do SO, etc.) |
| PoweredOnEvents | Agenda de reinicialização e suspensão com base nos IDs de evento 1, 12, 13, 42 e 6008 do log de eventos do Sistema. Padrão de 7 dias, argumento == últimos X dias. |
| PowerShell | Versões do PowerShell e configurações de segurança |
| Processes | Processos em execução com nomes de empresa das informações de arquivo que não contêm 'Microsoft', "full" enumera todos os processos |
| PSSessionSettings | Enumera configurações de sessão PS do registro |
| RDPSessions | Sessões RDP de entrada atuais (argumento == nome do computador para enumerar) |
| RDPsettings | Configurações de servidor/cliente de Área de Trabalho Remota |
| SCCM | Configurações do System Center Configuration Manager (SCCM), se aplicável |
| Services | Serviços com nomes de empresa das informações de arquivo que não contêm 'Microsoft', "full" despeja todos os processos |
| Sysmon | Configuração do Sysmon a partir do registro |
| TcpConnections | Conexões TCP atuais e seus processos e serviços associados |
| TokenPrivileges | Privilégios de token atualmente habilitados (ex: SeDebugPrivilege/etc.) |
| UAC | Políticas de sistema UAC via registro |
| UdpConnections | Conexões UDP atuais e processos e serviços associados |
| UserRightAssignments | Atribuições de direitos de usuário configuradas (ex: SeDenyNetworkLogonRight, SeShutdownPrivilege, etc.) argumento == nome do computador para enumerar |
| WifiProfile | TODO |
| WindowsAutoLogon | Informações de logon automático do registro |
| WindowsDefender | Configurações do Windows Defender (incluindo locais de exclusão) |
| WindowsEventForwarding | Configurações do Windows Event Forwarding (WEF) via registro |
| WindowsFirewall | Regras de firewall não padrão, "full" despeja todas (argumentos == allow/deny/tcp/udp/in/out/domain/private/public) |
| WMIEventConsumer | Lista consumidores de eventos WMI |
| WMIEventFilter | Lista filtros de eventos WMI |
| WMIFilterBinding | Lista associações de filtro a consumidor WMI |
| WSUS | Configurações do Windows Server Update Services (WSUS), se aplicável |


### user

Executa verificações que extraem dados interessantes sobre o usuário atualmente logado (se não elevado) ou TODOS os usuários (se elevado).

Executado com: `Seatbelt.exe -group=user`

| Command | Description |
| ----------- | ----------- |
| Certificates | Arquivos de certificado pessoal do usuário e da máquina |
| CertificateThumbprints | Impressões digitais de todos os certificados do repositório de certificados no sistema |
| ChromiumPresence | Verifica se existem arquivos interessantes do Chrome/Edge/Brave/Opera |
| CloudCredentials | Arquivos de credenciais em nuvem AWS/Google/Azure |
| CloudSyncProviders | TODO |
| CredEnum | Enumera as credenciais salvas do usuário atual usando CredEnumerate() |
| dir | Lista arquivos/pastas. Por padrão, lista as pastas de downloads, documentos e área de trabalho dos usuários (argumentos == \<diretório\> \<profundidade\> \<regex\> |
| DpapiMasterKeys | Lista chaves mestre DPAPI |
| Dsregcmd | TODO |
| ExplorerMRUs | Arquivos usados recentemente no Explorer (últimos 7 dias, argumento == últimos X dias) |
| ExplorerRunCommands | Comandos "executar" recentes do Explorer |
| FileZilla | Arquivos de configuração do FileZilla |
| FirefoxPresence | Verifica se existem arquivos interessantes do Firefox |
| IdleTime | Retorna o número de segundos desde a última entrada do usuário atual. |
| IEFavorites | Favoritos do Internet Explorer |
| IETabs | Abas abertas do Internet Explorer |
| IEUrls| URLs digitadas no Internet Explorer (últimos 7 dias, argumento == últimos X dias) |
| KeePass | TODO |
| MappedDrives | Unidades mapeadas dos usuários (via WMI) |
| OfficeMRUs | Lista de arquivos usados recentemente no Office (últimos 7 dias) |
| OneNote | TODO |
| OracleSQLDeveloper | TODO |
| PowerShellHistory | Itera por todos os usuários locais e tenta ler o histórico do console do PowerShell; se bem-sucedido, imprime |
| PuttyHostKeys | Chaves de host SSH do Putty salvas |
| PuttySessions | Configuração do Putty salva (campos interessantes) e chaves de host SSH |
| RDCManFiles | Arquivos de configuração do Windows Remote Desktop Connection Manager |
| RDPSavedConnections | Conexões RDP salvas armazenadas no registro |
| SecPackageCreds | Obtém credenciais de pacotes de segurança |
| SlackDownloads | Analisa quaisquer arquivos 'slack-downloads' encontrados |
| SlackPresence | Verifica se existem arquivos interessantes do Slack |
| SlackWorkspaces | Analisa quaisquer arquivos 'slack-workspaces' encontrados |
| SuperPutty | Arquivos de configuração do SuperPutty |
| TokenGroups | Grupos locais e de domínio do token atual |
| WindowsCredentialFiles | Blobs DPAPI de credenciais do Windows |
| WindowsVault | Credenciais salvas no Windows Vault (ou seja, logins do Internet Explorer e Edge). |


### misc

Executa todas as verificações diversas.

Executado com: `Seatbelt.exe -group=misc`

| Command | Description |
| ----------- | ----------- |
| ChromiumBookmarks | Analisa quaisquer arquivos de marcadores do Chrome/Edge/Brave/Opera encontrados |
| ChromiumHistory | Analisa quaisquer arquivos de histórico do Chrome/Edge/Brave/Opera encontrados |
| ExplicitLogonEvents | Eventos de logon explícito (ID do Evento 4648) do log de eventos de segurança. Padrão de 7 dias, argumento == últimos X dias. |
| FileInfo | Informações sobre um arquivo (informações de versão, carimbos de data/hora, informações básicas de PE, etc. argumento(s) == caminho(s) do arquivo) |
| FirefoxHistory | Analisa quaisquer arquivos de histórico do FireFox encontrados |
| InstalledProducts | Produtos instalados via registro |
| InterestingFiles | Arquivos "interessantes" correspondentes a vários padrões na pasta do usuário. Nota: leva tempo não trivial. |
| LogonEvents | Eventos de logon (ID do Evento 4624) do log de eventos de segurança. Padrão de 10 dias, argumento == últimos X dias. |
| LOLBAS | Localiza binários e scripts "Living Off The Land" (LOLBAS) no sistema. Nota: leva tempo não trivial. |
| McAfeeSiteList | Descriptografa quaisquer arquivos de configuração McAfee SiteList.xml encontrados. |
| MicrosoftUpdates | Todas as atualizações da Microsoft (via COM) |
| OutlookDownloads | Lista arquivos baixados pelo Outlook |
| PowerShellEvents | Logs de bloco de script do PowerShell (4104) com dados sensíveis. |
| Printers | Impressoras instaladas (via WMI) |
| ProcessCreationEvents | Logs de criação de processo (4688) com dados sensíveis. |
| ProcessOwners | Lista de processos em execução fora da sessão 0 com proprietários. Para uso remoto. |
| RecycleBin | Itens na Lixeira excluídos nos últimos 30 dias - funciona apenas a partir do contexto do usuário! |
| reg | Valores de chave do registro (HKLM\Software por padrão) argumento == [Caminho] [ProfundidadeInt] [Regex] [boolIgnorarErros] |
| RPCMappedEndpoints | Pontos de extremidade RPC atuais mapeados |
| ScheduledTasks | Tarefas agendadas (via WMI) que não são de autoria da 'Microsoft', "full" despeja todas as tarefas agendadas |
| SearchIndex | Resultados de consulta do Índice de Pesquisa do Windows, termo padrão 'password'. (argumento(s) == \<caminho de pesquisa\> \<padrão1,padrão2,...\> |
| SecurityPackages | Enumera os pacotes de segurança atualmente disponíveis usando EnumerateSecurityPackagesA() |
| SysmonEvents | Logs de criação de processo do Sysmon (1) com dados sensíveis. |


### Additional Command Groups

Executado com: `Seatbelt.exe -group=GROUPNAME`

| Alias | Description |
| ----------- | ----------- |
| Slack | Executa módulos que começam com "Slack*" |
| Chromium | Executa módulos que começam com "Chromium*" |
| Remote | Executa os seguintes módulos (para uso contra um sistema remoto): AMSIProviders, AntiVirus, AuditPolicyRegistry, ChromiumPresence, CloudCredentials, DNSCache, DotNet, DpapiMasterKeys, EnvironmentVariables, ExplicitLogonEvents, ExplorerRunCommands, FileZilla, Hotfixes, InterestingProcesses, KeePass, LastShutdown, LocalGroups, LocalUsers, LogonEvents, LogonSessions, LSASettings, MappedDrives, NetworkProfiles, NetworkShares, NTLMSettings, OptionalFeatures, OSInfo, PoweredOnEvents, PowerShell, ProcessOwners, PSSessionSettings, PuttyHostKeys, PuttySessions, RDPSavedConnections, RDPSessions, RDPsettings, Sysmon, WindowsDefender, WindowsEventForwarding, WindowsFirewall |


## Command Arguments

Comandos que aceitam argumentos têm isso anotado em sua descrição. Para passar um argumento para um comando, coloque o comando e os argumentos entre aspas duplas.

Por exemplo, o comando a seguir retorna eventos de logon 4624 dos últimos 30 dias:

`Seatbelt.exe "LogonEvents 30"`

O comando a seguir consulta um registro com três níveis de profundidade, retornando apenas chaves/nomesDeValor/valores que correspondem à regex `.*defini.*`, e ignorando quaisquer erros que ocorram.

`Seatbelt.exe "reg \"HKLM\SOFTWARE\Microsoft\Windows Defender\" 3 .*defini.* true"`


## Output

O Seatbelt pode redirecionar sua saída para um arquivo com o argumento `-outputfile="C:\Path\file.txt"`. Se o caminho do arquivo terminar em .json, a saída será json estruturado.

Por exemplo, o comando a seguir exibirá os resultados das verificações do sistema em um arquivo txt:

`Seatbelt.exe -group=system -outputfile="C:\Temp\system.txt"`


## Remote Enumeration

Comandos anotados com um + no menu de ajuda podem ser executados remotamente em outro sistema. Isso é feito via WMI por meio de consultas para classes WMI e o StdRegProv do WMI para enumeração de registro.

Para enumerar um sistema remoto, forneça `-computername=COMPUTER.DOMAIN.COM` - um nome de usuário e senha alternativos podem ser especificados com `-username=DOMAIN\USER -password=PASSWORD`

Por exemplo, o comando a seguir executa verificações focadas em remoto contra um sistema remoto:

`Seatbelt.exe -group=remote -computername=192.168.230.209 -username=THESHIRE\sam -password="yum \"po-ta-toes\""`


## Building Your Own Modules

A estrutura do Seatbelt é completamente modular, permitindo que módulos de comando adicionais sejam inseridos na estrutura de arquivos e carregados dinamicamente.

Há um modelo de módulo de comando comentado em `.\Seatbelt\Commands\Template.cs` para referência. Uma vez construído, coloque o módulo no local de arquivo lógico, inclua-o no projeto no Visual Studio Solution Explorer e compile.


## Compile Instructions

Não planejamos lançar binários para o Seatbelt, então você terá que compilar você mesmo.

O Seatbelt foi construído para .NET 3.5 e 4.0 com recursos do C# 8.0 e é compatível com [Visual Studio Community Edition](https://visualstudio.microsoft.com/downloads/). Basta abrir o arquivo .sln do projeto, escolher "release" e compilar. Para alterar a versão do .NET framework de destino, [modifique as configurações do projeto](https://github.com/GhostPack/Seatbelt/issues/27) e recompile o projeto.


## Acknowledgments

O Seatbelt incorpora vários itens de coleta, trechos de código C# e partes de PoCs encontradas em pesquisas para suas capacidades. Essas ideias, trechos e autores são destacados nos locais apropriados no código-fonte, e incluem:* O script [HostEnum.ps1](https://github.com/threatexpress/red-team-scripts/blob/master/HostEnum.ps1) de [@andrewchiles](https://twitter.com/andrewchiles) e o [Get-HostProfile.ps1](https://github.com/leechristensen/Random/blob/master/PowerShellScripts/Get-HostProfile.ps1) de [@tifkin\_](https://twitter.com/tifkin_) forneceram inspiração para muitos dos artefatos a serem coletados.
* Código de [Boboes sobre NetLocalGroupGetMembers](https://stackoverflow.com/questions/33935825/pinvoke-netlocalgroupgetmembers-runs-into-fatalexecutionengineerror/33939889#33939889)
* Código de [ambyte para converter uma letra de unidade mapeada em um caminho de rede](https://gist.github.com/ambyte/01664dc7ee576f69042c)
* Código de [Igor Korkhov para recuperar informações atuais do grupo de token](https://stackoverflow.com/questions/2146153/how-to-get-the-logon-sid-in-c-sharp/2146418#2146418)
* Trecho de [RobSiklos para determinar se um host é uma máquina virtual](https://stackoverflow.com/questions/498371/how-to-detect-if-my-application-is-running-in-a-virtual-machine/11145280#11145280)
* Trecho de [JGU sobre comparação de direitos ACL de arquivo/pasta](https://stackoverflow.com/questions/1410127/c-sharp-test-if-user-has-write-access-to-a-folder/21996345#21996345)
* Padrão de [Rod Stephens para enumeração recursiva de arquivos](http://csharphelper.com/blog/2015/06/find-files-that-match-multiple-patterns-in-c/)
* Trecho de [SwDevMan81 para enumerar privilégios atuais de token](https://stackoverflow.com/questions/4349743/setting-size-of-token-privileges-luid-and-attributes-array-returned-by-gettokeni)
* Trabalho em PowerShell de [Jared Atkinson sobre caches de tíquetes Kerberos](https://github.com/Invoke-IR/ACE/blob/master/ACE-Management/PS-ACE/Scripts/ACE_Get-KerberosTicketCache.ps1)
* Trecho em C# de [darkmatter08 sobre Kerberos](https://www.dreamincode.net/forums/topic/135033-increment-memory-pointer-issue/)
* Inúmeros exemplos de [PInvoke.net](https://www.pinvoke.net/) <3
* Excelente CodeProject de [Jared Hill para usar a Autoridade de Segurança Local para Enumerar Sessões de Usuário](https://www.codeproject.com/Articles/18179/Using-the-Local-Security-Authority-to-Enumerate-Us)
* Código de [Fred sobre consulta ao cache ARP](https://social.technet.microsoft.com/Forums/lync/en-US/e949b8d6-17ad-4afc-88cd-0019a3ac9df9/powershell-alternative-to-arp-a?forum=ITCG)
* Trecho de [ShuggyCoUk sobre consulta à tabela de conexões TCP](https://stackoverflow.com/questions/577433/which-pid-listens-on-a-given-port-in-c-sharp/577660#577660)
* Exemplo de [yizhang82 de uso de reflexão para interagir com objetos COM através de C#](https://gist.github.com/yizhang82/a1268d3ea7295a8a1496e01d60ada816)
* Projeto [SharpWeb](https://github.com/djhohnstein/SharpWeb/blob/master/Edge/SharpEdge.cs) de [@djhohnstein](https://twitter.com/djhohnstein)
* Projeto [EventLogParser](https://github.com/djhohnstein/EventLogParser) de [@djhohnstein](https://twitter.com/djhohnstein)
* Projeto [SharpCloud](https://github.com/chrismaddalena/SharpCloud) de [@cmaddalena](https://twitter.com/cmaddalena), BSD 3-Clause
* Projeto [Watson](https://github.com/rasta-mouse/Watson/) de [@_RastaMouse](https://twitter.com/_RastaMouse), Licença GPL
* Trabalho de [@_RastaMouse](https://twitter.com/_RastaMouse) sobre enumeração do AppLocker](https://rastamouse.me/2018/09/enumerating-applocker-config/)
* Projeto [Invoke-WCMDump](https://github.com/peewpw/Invoke-WCMDump/blob/master/Invoke-WCMDump.ps1) de [@peewpw](https://twitter.com/peewpw), Licença GPL
* Projeto [HoneyBadger](https://github.com/trustedsec/HoneyBadger/tree/master/modules/post/windows/gather) da TrustedSec, BSD 3-Clause
* Projeto [Audit User Rights Assignment](https://www.centrel-solutions.com/support/tools.aspx?feature=auditrights) da CENTRAL Solutions, Sem licença
* Ideias de coleta inspiradas no [Reconerator](https://github.com/stufus/reconerator) de [@ukstufus](https://twitter.com/ukstufus)
* Informações de locais MRU do Office e análise de carimbos de data/hora do artigo de Dustin Hurlbut [Microsoft Office 2007, 2010 - Artifacts do Registro](https://ad-pdf.s3.amazonaws.com/Microsoft_Office_2007-2010_Registry_ArtifactsFINAL.pdf)
* A [lista de Comandos do Windows](https://docs.microsoft.com/en-us/windows-server/administration/windows-commands/windows-commands), usada para construção de regex sensível
* Código de [Ryan Ries para enumeração de endpoints RPC mapeados](https://stackoverflow.com/questions/21805038/how-do-i-pinvoke-rpcmgmtepeltinqnext)
* Postagem de [Chris Haas sobre EnumerateSecurityPackages()](https://stackoverflow.com/a/5941873)
* Trabalho de [darkoperator](https://github.com/ghostpack/seatbelt/blob/HEAD/carlos_perez) [no projeto HoneyBadger](https://github.com/trustedsec/HoneyBadger)
* Trabalho de [@airzero24](https://twitter.com/airzero24) sobre [enumeração de Registro WMI](https://github.com/airzero24/WMIReg)
* Resposta de Alexandru sobre [alternativas ao RegistryKey.OpenBaseKey](https://stackoverflow.com/questions/26217199/what-are-some-alternatives-to-registrykey-openbasekey-in-net-3-5)
* Postagem de Tomas Vera [sobre JavaScriptSerializer](http://www.tomasvera.com/programming/using-javascriptserializer-to-parse-json-objects/)
* Nota de Marc Gravell [sobre listagem recursiva de arquivos/pastas](https://stackoverflow.com/a/929418)
* Analisador de regras do Sysmon de [@mattifestation](https://twitter.com/mattifestation)](https://github.com/mattifestation/PSSysmonTools/blob/master/PSSysmonTools/Code/SysmonRuleParser.ps1#L589-L595)
* Alguma inspiração do projeto [Simple.CredentialsManager](https://github.com/spolnik/Simple.CredentialsManager) de spolnik, licença Apache 2
* [Esta postagem sobre configurações do Credential Guard](https://www.tenforums.com/tutorials/68926-verify-if-device-guard-enabled-disabled-windows-10-a.html)
* [Este tópico](https://social.technet.microsoft.com/Forums/windows/en-US/b0e13a16-51a6-4aca-8d44-c85e097f882b/nametype-in-nla-information-for-a-network-profile) sobre informações de perfil de rede
* Postagem de Mark McKinnon sobre [decodificação dos valores SSID DateCreated e DateLastConnected](http://cfed-ttf.blogspot.com/2009/08/decoding-datecreated-and.html)
* Esta postagem da Specops [sobre cache de política de grupo](https://specopssoft.com/blog/things-work-group-policy-caching/)
* Postagem no StackOverflow de sa_ddam213 sobre [enumeração de itens na Lixeira](https://stackoverflow.com/questions/18071412/list-filenames-in-the-recyclebin-with-c-sharp-without-using-any-external-files)
* Código de Kirill Osenkov [para detecção de assembly gerenciado](https://stackoverflow.com/a/15608028)
* O projeto [Mono](https://github.com/mono/linux-packaging-mono/blob/d356d2b7db91d62b80a61eeb6fbc70a402ac3cac/external/corefx/LICENSE.TXT) para as classes SecBuffer/SecBufferDesc
* [Elad Shamir](https://twitter.com/elad_shamir) e seu projeto [Internal-Monologue](https://github.com/eladshamir/Internal-Monologue/), [Vincent Le Toux](https://twitter.com/mysmartlogon) por seu projeto [DetectPasswordViaNTLMInFlow](https://github.com/vletoux/DetectPasswordViaNTLMInFlow/), e Lee Christensen por este projeto [GetNTLMChallenge](https://github.com/leechristensen/GetNTLMChallenge/). Todos serviram de inspiração no comando SecPackageCreds.
* Projeto [Gopher](https://github.com/EncodeGroup/Gopher) de @leftp e @eksperience para inspiração para os comandos FileZilla e SuperPutty
* @funoverip pelo código original de descriptografia do McAfee SiteList.xml
* Tentamos fazer a devida diligência para citações, mas se deixamos alguém/algo de fora, por favor nos avise!