SharpCollection

Ночные сборки распространённых оффенсивных C#-инструментов, собранные прямо из их master-веток и выпускаемые в стиле CDI с помощью конвейеров выпуска Azure DevOps.

Не нашли любимый инструмент? Не стесняйтесь открыть issue или написать мне в X @Flangvik Обратите внимание: execute-assembly из Cobalt Strike принимает только бинарники, скомпилированные с конфигурацией «Any CPU».

OpSec

Стоит ли вслепую разворачивать эти бинарники в ходе реальных пентестов? Х*я с два, всегда просматривайте всё, что разворачиваете на клиентской машине или в сети. Например, https://github.com/dnSpyEx/dnSpy Слепое развёртывание чего-либо из этого репозитория следует оставить для лабораторных сред, виртуальных машин, HackTheBox, сопоставления детектов и тому подобного.

Azure DevOps?

Каждую ночь в 03:00 конвейер Azure DevOps проверяет новые коммиты в master-ветку всех репозиториев. Ветки с изменениями автоматически забираются и компилируются с различными целевыми платформами (framework targets) и архитектурами, после чего публикуются в этот репозиторий.

Конвейер можно найти здесь: https://dev.azure.com/FlangvikDev/SharpRelease

Доступные сборки

Легенда: ✔️ = активно собирается | ❌ = не собирается | ⚠️ = конвейер существует, но все шаги отключены

Инструменты, отмеченные *, имеют особые примечания — см. сноски под таблицей.

Некоторые инструменты ориентированы на конкретные версии фреймворка: Certify, KrbRelay, KrbRelayUp, ShadowSpray нацелены на v4.7.2. ADCollector нацелен на v4.6.1.

Сноски

1. ADCollector — нацелен конкретно на .NET Framework v4.6.1 (соответствует колонке NET 4.7)
2. AtYourService, Evasor — нет сборок AnyCPU, только платформы x64/x86
3. Certify, KrbRelay, KrbRelayUp, ShadowSpray — нацелены конкретно на .NET Framework v4.7.2
4. CheeseTools — конвейер существует, но ни одна сборка ещё не прошла успешно
5. SharpBlock — собираются только NET 4.0 и NET 4.5; шаги для NET 4.7 отключены. Нет сборок AnyCPU (только x64/x86)
6. SharpDoor — публикует только x64-бинарники (компилируются через PowerShell-скрипт)
7. Scout — оригинальный репозиторий удалён. Включённые бинарники устарели и больше не поддерживаются
8. SharpSystemTriggers — конвейер приостановлен. Имеющиеся бинарники могут быть устаревшими

InveighZero ⚠️ — в конвейере все шаги сборки отключены, и он неработоспособен. Имеющиеся в репозитории бинарники получены из предыдущих сборок.

Источники / Благодарности

Ссылки на все эти замечательные инструменты ниже :)* ADCollector - C# инструмент для быстрого извлечения ценной информации из среды Active Directory @dev-2null

• ADCSPwn - C# инструмент для повышения привилегий в сети Active Directory путем принудительной аутентификации учетных записей машин и ретрансляции в службу сертификатов. @bats3c
• ADSearch - C# инструмент для выполнения запросов к AD через протокол LDAP @tomcarver16 (Только NET 4.7)
• ADFSDump - C# инструмент для извлечения всевозможных полезных данных из AD FS. @FireEye
• AtYourService - Сборка C# .NET для перечисления служб @mitchmoser
• BadAssMacros - Автоматический генератор вредоносных макросов на основе C# @Flangvik
• BetterSafetyKatz - Форк SafetyKatz, который динамически получает последнюю версию Mimikatz, сигнатуры патчей времени выполнения и загружает Mimikatz в память через PE-загрузчик. @Flangvik
• Certify - C# инструмент для перечисления и эксплуатации ошибок конфигурации в службах сертификатов Active Directory (AD CS). @harmj0y @tifkin_
• CheeseTools - Собственные инструменты для горизонтального перемещения/выполнения кода @klezVirus
• EDD - Enumerate Domain Data создан по образцу PowerView, но на .NET @FortyNorthSecurity
• Evasor - Инструмент для постэксплуатации, предназначенный для оценки и обхода антивирусов @CyberArk
• Farmer - Сбор NetNTLM-хешей в домене Windows с помощью локального WebDAV-сервера @domchell
• ForgeCert - Использует украденный сертификат ЦС + закрытый ключ для создания поддельных сертификатов для произвольных пользователей. @tifkin_
• GMSAPasswordReader - Читает блок пароля из учетной записи GMSA. @rvazarkar
• DeployPrinterNightmare - C# инструмент для установки общего сетевого принтера с использованием уязвимости PrinterNightmare, позволяющий другим машинам в сети легко повышать привилегии @Flangvik