Remote Operations BOF

Este repositório serve como um complemento ao nosso repositório SA lançado anteriormente. Nossa posição original era que não lançaríamos nossas ferramentas que modificam outros sistemas, e forneceríamos apenas ferramentas de coleta de informações em formato pronto para uso.

Com o tempo, vimos muitas outras empresas de segurança públicas lançarem suas ferramentas ofensivas, e agora sentimos que é apropriado lançarmos uma parte de nossas ferramentas ofensivas.

Nada neste repositório é particularmente especial, são operações básicas do Microsoft Windows em formato BOF. Essas primitivas podem ser usadas para uma grande variedade de operações.

Injection BOF

Decidimos incluir os BOFs de injeção que usamos ao realizar testes de detecção de EDR. Esses BOFs são fornecidos como estão e não terão suporte (tudo em src/Injection e Injection/*)

Você pode usá-los, mas issues abertas relacionadas a eles serão fechadas sem revisão.

Comandos de Remote Operations disponíveis

comando	observações
adcs_request	Solicita um certificado de enrollment
chromeKey	Descriptografa a chave do Chrome fornecida codificada em base64
enableuser	Habilita e desbloqueia a conta de usuário especificada
lastpass	Pesquisa na memória do chrome, brave por senhas e dados do lastpass
office_tokens	Coleta tokens JWT do Office de qualquer processo do office.
procdump	Faz o dump do processo especificado para o arquivo de saída especificado
ProcessDestroy	Fecha handle(s) em um processo
ProcessListHandles	Lista todos os handles abertos em um processo especificado
reg_delete	exclui uma chave de registro
reg_save	Salva um hive de registro em disco
reg_set	define / cria uma chave de registro
sc_config	configura um serviço existente
sc_create	cria um novo serviço
sc_delete	exclui um serviço existente
sc_description	Modifica a descrição de um serviço existente
sc_start	inicia um serviço existente
sc_stop	para um serviço existente
schtaskscreate	Cria uma nova tarefa agendada (via definição xml)
schtasksdelete	Exclui uma tarefa agendada existente
schtasksstop	para uma tarefa agendada em execução
setuserpass	Define a senha de um usuário
shspawnas	Uma tentativa equivocada de injetar código em um processo recém-gerado

Sim, schtasksrun está faltando, sim, isso é intencional, mas se alguém enviar um pull para ele, eu aceitarei deste lado.

Contribuindo

Este repositório é destinado a primitivas do Windows de tarefa única. Ou seja, mesmo que sejam necessárias várias chamadas, criar uma tarefa agendada é apropriado.

Um comando que tentasse pré-gerar um implant e realizar movimento automatizado usando os BOFs do repositório seria incrível, mas não é apropriado para submissão diretamente a este repositório.

Expectativas de Código

• Seu código deve compilar sem erros ao usar o makefile padrão
• quaisquer novos defines de BOF para resolução de funções serão colocados em src/common/bofdefs.h
• O código compilará junto usando o Makefile padrão (arquivo entry.c único)
• O código será igualmente compatível com a toolchain existente (mingw)
• O código será escrito em C. Isso é para padronizar e pela minha confiança pessoal na validação do código.

O que esperar como contribuidor

Após sua contribuição ser recebida, ela passará por uma revisão de código aprofundada e testes.
Após a conclusão dos testes, teremos zero ou mais rodadas de solicitações de alteração com base nos achados até que não haja problemas no código. Nesse ponto, ele será aceito no repositório, e seu nome de usuário do github será adicionado à nossa lista de créditos (se você preferir não ser adicionado ou que algum outro handle seja usado, basta me avisar)