Visão Geral

Este é um assembly .NET personalizado que realiza uma série de atividades de consciência situacional. Existem vários conjuntos de funcionalidades atuais:

• BÁSICO - Obtém informações do disco e do registro.
• LDAP - Permite fazer consultas LDAP personalizadas no Active Directory.
• RESOLVEHOST - Realiza consultas de lookup DNS.
• INDEXSEARCH - Pesquisa no Serviço de Indexação do Windows por arquivos e e-mails locais (nome e conteúdo).
• PROXYCHECK - Exibe o servidor proxy que será usado ao tentar acessar uma URL fornecida.

Eu não sabia que o GhostPack estava sendo desenvolvido quando escrevi isso; acabamos lançando nossas ferramentas praticamente ao mesmo tempo. A realidade é que o GhostPack agora tem muito mais funcionalidades. Estou removendo a função PrivescCheck porque o SharpUp cobre toda a sua funcionalidade e muito mais.

O ponto principal sobre isso é que tudo é implementado em .NET puro – então, sem powershell.

É configurado e controlado por parâmetros de linha de comando, tornando-o adequado para uso com a diretiva execute-assembly do Beacon.

BÁSICO

Visão Geral

Isso obtém várias informações do host. Fique avisado que pode haver MUITA saída. Será exibido:

• Todas as variáveis de ambiente (API)
• O nome do host, grupo de trabalho e número da versão do Windows do host (API)
• Documentos Mais Recentemente Usados do Word, Access, Excel, Publisher & PowerPoint para todas as versões instaladas (Registro)
• Locais Confiáveis do Word, Access, Excel, Publisher & PowerPoint para todas as versões instaladas (Registro)
• Favoritos (Bookmarks) e extrai a URL do bookmark. Pode ser interessante para encontrar facilmente sharepoint/confluence/wiki/self service payroll etc. (Disco)
• Unidades mapeadas, incluindo a letra da unidade, descrição e local remoto (WMI)
• Aplicativos instalados, para todos os usuários e para o usuário específico apenas (Registro)
• Sites/tenants do Teams que o OneDrive está configurado para sincronizar em todos os usuários (Registro)

Parâmetros

O verbo 'basic' precisa ser passado na linha de comando, seguido pela verificação específica necessária. Se a palavra 'all' for passada como segundo parâmetro, todas as verificações serão executadas.

Verificação	Descrição
env	Exibe todas as variáveis de ambiente.
info	Exibe o endereço IP do host e o identificador de versão do SO principal/secundário.
mru	Pesquisa várias listas de "usados mais recentemente". Atualmente, essas listas incluem o histórico da caixa Executar e o MRU de arquivos e caminhos do Office para todas as versões do Word, Excel, PowerPoint, Access, Publisher e Visio. Também exibe a localização da pasta "Recent" especial.
favourites	Exibe as URLs armazenadas na pasta de favoritos (que são basicamente os bookmarks do usuário). Atualmente não suporta subpastas; preciso corrigir isso.
mappeddrives	Exibe as unidades de rede mapeadas da sessão do usuário. Útil para encontrar rapidamente compartilhamentos de arquivos centrais e diretórios pessoais. Se está mapeado, provavelmente contém dados úteis.
installedapplications	Lista os aplicativos que foram instalados. Isso inclui aplicativos que foram instalados como administrador (na máquina local) E aplicativos que foram instalados pelo usuário atual. Eles estão listados em lugares diferentes no registro.
onedrive	Exibe informações sobre o OneDrive (incluindo sites/tenants do Teams que estão sincronizados).

Observe que se 'all' for usado, um 'proxycheck http://www.google.com' é incluído automaticamente. Consulte a seção proxycheck para detalhes.

Exemplos

Executar todas as verificações básicas: beacon> execute-assembly /tmp/Reconerator.exe ou beacon> execute-assembly /tmp/Reconerator.exe basic all

Executar apenas a enumeração mru: beacon> execute-assembly /tmp/Reconerator.exe basic mru

Listar apenas as unidades mapeadas: beacon> execute-assembly /tmp/Reconerator.exe basic mappeddrives

OpSec

Razoavelmente seguro. Isso está consultando o registro do sistema; é improvável que seja monitorado.

Limitações (e trabalhos futuros)

• Você não pode escolher o que deseja – é tudo ou nada.
• Favoritos não percorrem subdiretórios
• Falta uma porção de coisas.

LDAP

Isso permite realizar uma consulta LDAP. A maneira mais fácil de demonstrar isso é com um exemplo.

Exemplos

Isso mostrará todos os usuários no domínio 'dc=stufus,dc=lan' com W2K8DC como controlador de domínio:

beacon> execute-assembly /tmp/Reconerator.exe ldap "LDAP://W2K8DC/dc=stufus,dc=lan" "objectClass=user" 0

Isso mostrará no máximo 5 usuários no domínio 'dc=stufus,dc=lan' com W2K8DC como controlador de domínio:

beacon> execute-assembly /tmp/Reconerator.exe ldap "LDAP://W2K8DC/dc=stufus,dc=lan" "objectClass=user" 5

Isso mostrará todos os membros do grupo de administradores do domínio no domínio 'dc=stufus,dc=lan' com W2K8DC como controlador de domínio:

beacon> execute-assembly /tmp/Reconerator.exe ldap "LDAP://W2K8DC/dc=stufus,dc=lan" "(&(objectClass=group)(cn=Domain Admins))" 0

Isso mostrará todos os membros dos grupos de administradores do domínio ou administradores empresariais no domínio 'dc=stufus,dc=lan' com W2012DC como controlador de domínio:

beacon> execute-assembly /tmp/Reconerator.exe ldap "LDAP://W2012DC/dc=stufus,dc=lan" "(&(objectClass=group)(|(cn=Enterprise Admins)(cn=Domain Admins)))" 0

OpSec

Isso gerará tráfego de rede para o controlador de domínio que você especificar. Para evitar dúvidas, usa LDAP (em vez de RPC ou similar).

Limitações (e trabalhos futuros)

• Está um pouco desorganizado
• Não exibirá nada que não seja uma string .NET (precisa de mais análise)
• Não é possível especificar campos/atributos específicos para exibir
• Você precisa descobrir o DC por conta própria (pode obter isso da variável de ambiente LOGONSERVER) e descobrir o DN por conta própria. Em algum momento resolverei recuperar isso automaticamente.

RESOLVEHOST

Visão Geral

Isso realiza uma consulta DNS usando o servidor DNS do host.

Exemplo

Resolver www.google.com:

beacon> execute-assembly /tmp/Reconerator.exe resolvehost www.google.com

OpSec

Isso gerará uma consulta DNS para o controlador de domínio, mas é improvável que algo levante isso como um alerta devido ao grande volume de solicitações DNS legítimas.

INDEXSEARCH

Visão Geral

Isso permite interagir com o Windows Search (anteriormente Serviço de Indexação do Windows), que permitirá pesquisar rapidamente arquivos e pastas interessantes (e seus conteúdos). E-mails geralmente são indexados, mas pastas de rede não, então pode não ser perfeito para pesquisar diretórios pessoais dos usuários se estiverem armazenados remotamente. No entanto, é muito rápido.

A interface do Windows Search é semelhante a SQL; esta implementação permite que você, efetivamente, especifique o conteúdo da cláusula 'WHERE'. É mais fácil explicar com exemplos, mas você precisará ler o MSDN se quiser conhecer todos os critérios possíveis.

Exemplos

Encontrar tudo que foi indexado e que contenha a palavra 'password' em algum lugar (ou seja, pesquisa o conteúdo de arquivos e e-mails):

beacon> execute-assembly /tmp/Reconerator.exe indexsearch "CONTAINS('password')"

Encontrar tudo que foi indexado e que tenha a palavra 'stufus' no caminho ou nome do arquivo em algum lugar:

beacon> execute-assembly /tmp/Reconerator.exe indexsearch "System.ItemPathDisplay LIKE '%stufus%'"

Encontrar tudo que foi indexado e que tenha a palavra 'stufus' no nome do arquivo OU contenha a palavra 'secret':

beacon> execute-assembly /tmp/Reconerator.exe indexsearch "System.ItemName LIKE '%stufus%' OR CONTAINS('secret')"

OpSec

Não tenho conhecimento de nada que levantaria isso como suspeito.

PROXYCHECK

Visão Geral