wikibanner

Last Commit isues Repo Size topLanguages

:octocat: Описание проекта

Проект redpill предназначен для помощи обратным TCP-оболочкам в задачах пост-эксплуатации. Часто во время заданий redteam нам
нужно использовать нетрадиционные способы доступа к целевой системе, например, обратные TCP-оболочки (не metasploit), чтобы
обойти защиты, реализованные системным администратором. После успешного выполнения первого шага
мы сталкиваемся с проблемой другого типа: «У меня есть (оболочечный) доступ к целевой системе, и что теперь с ним делать?»

Этот проект состоит из нескольких скриптов PowerShell, выполняющих различные задачи пост-эксплуатации, и
основного скрипта redpill.ps1, основная задача которого – загрузить/настроить/выполнить скрипты, содержащиеся в этом репозитории.

Цель – получить аналогичный meterpreter опыт в нашей обратной TCP-оболочке (аналогичные параметры meterpreter).

Синтаксис/примеры параметров командлета

 Этот командлет является частью структуры venom v1.0.17.8 в качестве модуля пост-эксплуатации.
 Агенты обхода AMSI venom автоматически загружают этот командлет в каталог %TMP% для
 легкого доступа в нашей обратной TCP-оболочке (командная строка оболочки).

Чтобы вывести список всех доступных параметров, выполните в командной строке PowerShell:

.\redpill.ps1 -Help Parameters

Инструкции по использованию командлета {Локальные тесты}

 Этот командлет является частью структуры venom v1.0.17.8 в качестве модуля пост-эксплуатации.
 Агенты обхода AMSI venom автоматически загружают этот командлет в каталог %TMP% для
 легкого доступа в нашей обратной TCP-оболочке (оболочка).

 'в этом разделе описано, как протестировать этот командлет локально без эксплуатации целевого хоста'

1º - Загрузите командлет из репозитория GitHub на 'Локальный диск'

iwr -Uri https://raw.githubusercontent.com/r00t-3xp10it/redpill/main/redpill.ps1 -OutFile redpill.ps1|Unblock-File

2º - Установите политику выполнения PowerShell в 'UnRestricted'

Set-ExecutionPolicy UnRestricted -Scope CurrentUser

ste

3º - Перейдите в каталог хранения 'redpill.ps1'

cd C:\Users\pedro\Desktop

redpillpath

4º - Откройте меню справки командлета {Все параметры}

.\redpill.ps1 -Help Parameters

Инструкции по использованию командлета под управлением Venom v1.0.17.8

 Этот командлет является частью структуры venom v1.0.17.8 в качестве модуля пост-эксплуатации.
 Агенты обхода AMSI venom автоматически загружают этот командлет в каталог %TMP% для
 легкого доступа в нашей обратной TCP-оболочке (командная строка оболочки).

1º - Выполните в командной строке обратной TCP-оболочки

[SKYNET] C:\Users\pedro\AppData\Local\Temp> powershell -File redpill.ps1 -Help Parameters

2º - Откройте подробную справку по параметру [ -WifiPasswords ]

[SKYNET] C:\Users\pedro\AppData\Local\Temp> powershell -File redpill.ps1 -Help WifiPasswords

Parametershelp

3º - Запуск модуля [ -WifiPasswords ] [ Dump ]

[SKYNET] C:\Users\pedro\AppData\Local\Temp> powershell -File redpill.ps1 -WifiPasswords Dump

wifidump

Чтобы загрузить командлет вручную для локального тестирования, выполните:

iwr -Uri https://raw.githubusercontent.com/r00t-3xp10it/redpill/main/redpill.ps1 -OutFile redpill.ps1|Unblock-File

:octocat: Видеоуроки

Demo
Демонстрация - В этом руководстве используются модули: sysinfo, GetPasswords, UacMe
MouseLogger - Захват скриншотов «кликов мыши» с помощью psr.exe
PhishCreds - Фишинг учетных данных или подбор пароля учетной записи
FileMace - Изменение временных меток файла {CreationTime, LastAccessTime, LastWriteTime}
CsOnTheFly - Загрузка (из URL), автоматическая компиляция и выполнение CS-скриптов на лету!
EOP - Поиск отсутствующих исправлений для повышения привилегий

:octocat: Благодарности

sysinfo

GetConnections

SAM

brute

eop

NoAmsi

Любое сотрудничество или отчеты об ошибках приветствуются

-SysInfo	Enum \| Verbose	Быстрая информация о системе ИЛИ подробное перечисление
-GetConnections	Enum \| Verbose	Перечислить активные TCP-подключения удаленного хоста
-GetDnsCache	Enum \| Clear	Перечислить/очистить записи кэша DNS удаленного хоста
-GetInstalled	Enum	Перечислить установленные приложения на удаленном хосте
-GetProcess	Enum \| Kill \| Tokens	Перечислить ИЛИ завершить запущенные процессы на удаленном хосте
-GetTasks	Enum \| Create \| Delete	Перечислить/создать/удалить запущенные задачи на удаленном хосте
-GetLogs	Enum \| Verbose \| Clear	Перечислить журналы eventvwr ИЛИ очистить все журналы событий
-LiveStream	Bind \| Reverse \| Stop	Скрипт Nishang для потоковой передачи рабочего стола цели с использованием MJPEG
-GetBrowsers	Enum \| Verbose \| Creds	Перечислить установленные браузеры и их версии ИЛИ подробно
-GetSkype	Contacts\|DomainUsers	Перечисление и атака на федеративный Skype
-Screenshot	1	Сделать 1 скриншот рабочего стола и сохранить его в %TMP%
-Camera	Enum \| Snap	Перечислить веб-камеры компьютера ИЛИ сделать снимок с веб-камеры по умолчанию
-StartWebServer	Python \| Powershell	Загрузить веб-сервер в %TMP% и запустить его
-Keylogger	Start \| Stop	Начать ИЛИ остановить запись нажатий клавиш на удаленном хосте
-MouseLogger	Start	Захват скриншотов кликов мыши в течение 10 секунд
-PhishCreds	Start \| Brute	Запросить у текущего пользователя действительные учетные данные и зафиксировать их
-GetPasswords	Enum \| Dump	Перечислить пароли из разных мест {Store\|Regedit\|Disk}
-PasswordSpray	Spray	Атака распылением паролей против учетных записей в Active Directory!
-WifiPasswords	Dump \| ZipDump	Перечислить доступные SSID ИЛИ выгрузить все пароли Wi-Fi в zip
-EOP	Enum \| Verbose	Найти отсутствующие исправления программного обеспечения для повышения привилегий
-ADS	Enum \| Create \| Exec \| Clear	Скрыть скрипты { bat \| ps1 \| exe } в записях $DATA (ADS)
-BruteZip	$Env:TMP\archive.zip	Подобрать пароль к выбранному ZIP-архиву с помощью 7z.exe
-Upload	script.ps1	Загрузить script.ps1 из корневой папки веб-сервера apache2 атакующего
-Persiste	$Env:TMP\Script.ps1	Закрепить script.ps1 при каждом запуске {BeaconHome}
-CleanTracks	Clear \| Paranoid	Очистить артефакты, оставленные на диске (очистить следы системы)
-AppLocker	Enum \| WhoAmi \| TestBat	Перечислить каталоги AppLocker с слабыми правами
-FileMace	$Env:TMP\test.txt	Изменить MACE файла {CreationTime, LastAccessTime, LastWriteTime}
-MetaData	$Env:TMP\test.exe	Отобразить описание файлов/приложений (метаданные)
-psgetsys	Enum \| Auto \| Impersonate	Запустить процесс с другим родительским процессом!
-MsgBox	"Hello World."	Отобразить сообщение "Hello World." на локальном хосте {wscriptComObject}
-SpeakPrank	"Hello World."	Заставить удаленный хост произнести введенную пользователем фразу {розыгрыш}
-NetTrace	Enum	Агрессивное перечисление с помощью netsh {родной}
-PingSweep	Enum \| Verbose	Перечислить активные IP-адреса и открытые порты в локальной сети
-DnsSpoof	Enum \| Redirect \| Clear	Перенаправить доменные имена на наш фишинговый IP-адрес
-DisableAV	Query \| Start \| Stop	Отключить службу Windows Defender (WinDefend)
-HiddenUser	Query \| Create \| Delete	Запросить/создать/удалить скрытые учетные записи пользователей
-CsOnTheFly	Compile \| Execute	Загрузить, скомпилировать (в exe) и выполнить CS-скрипты на лету
-CookieHijack	Dump\|History	Инструмент для перехвата cookies Edge/Chrome
-UacMe	Bypass \| Elevate \| Clean	Обход UAC \| Повышение привилегий через отражение DLL! (cmstp.exe)
-GetAdmin	check \| exec	Повысить сессию от уровня пользователя до администратора!
-NoAmsi	List \| TestAll \| Bypass	Протестировать обходы AMSI или просто выполнить один обход
-Clipboard	Enum \| Capture \| Prank	Захватить содержимое буфера обмена (текст/файл/изображение/аудио)!
-GetCounterMeasures	Enum \| verbose	Вывести список распространенных процессов безопасности и их PID!
-DumpLsass	lsass\| all	Извлечь данные из процессов/кустов реестра lsass/sam/system/security

*@youhacker55*	За всю помощь в отладке этого командлета (тестирование бета-версии)	Windows 7 x64bits
*@0xyg3n*	За всю помощь в отладке этого командлета (тестирование бета-версии)	Windows 10 x64bits
*@Shanty_Damayanti*	Отладка этого командлета (обходы обнаружения строк AMSI)	Windows 10 x64bits
*@miltinhoc*	Отладка этого командлета и запись видеоуроков	Windows 10 x64bits

redpill

Популярное

:octocat: Описание проекта

:octocat: Видеоуроки

:octocat: Благодарности

SuspiciousShellActivity - RedTeam @2021