Введение

Ruler — это инструмент, позволяющий удаленно взаимодействовать с серверами Exchange через протоколы MAPI/HTTP или RPC/HTTP. Основная цель — злоупотребить клиентскими функциями Outlook и получить удаленную оболочку.

Полное описание того, как был реализован Ruler, и некоторые сведения о MAPI можно найти в наших сообщениях в блоге:

• Ruler release
• Pass the Hash with Ruler
• Outlook forms and shells
• Outlook Home Page – Another Ruler Vector

Демонстрацию работы можно посмотреть: Ruler on YouTube

Что он делает?

Ruler имеет множество функций, и планируется добавить еще. Они включают:

• Перечисление действительных пользователей
• Создание новых вредоносных почтовых правил
• Дамп глобального списка адресов (GAL)
• Выполнение VBScript через формы
• Выполнение VBScript через домашнюю страницу Outlook

Ruler пытается быть полуумным при взаимодействии с Exchange и использует службу Autodiscover (как это делает ваш клиент Outlook) для обнаружения соответствующей информации.

Начало работы

Скомпилированные бинарные файлы для Linux, OSX и Windows доступны. Их можно найти в Releases. Информацию о настройке Ruler из исходного кода можно найти в руководстве по началу работы.

Использование

Ruler имеет множество функций, каждая из которых имеет свою документацию, которую можно найти в wiki:

• BruteForce — обнаружение действительных учетных записей пользователей
• Rules — выполнение традиционной атаки на основе правил
• Forms — выполнение VBScript через формы
• Homepage — использование 'домашней страницы' Outlook для оболочки и постоянства
• GAL — получение глобального списка адресов

Атака на Exchange

Библиотека, включенная в Ruler, позволяет создавать пользовательские сообщения с помощью MAPI. Это вместе с документацией Exchange является отличной отправной точкой для новых исследований. Пример использования этой библиотеки в другом проекте можно найти в SensePost Liniaal.

Лицензия

Ruler лицензирован в соответствии с международной лицензией Creative Commons Attribution-NonCommercial-ShareAlike 4.0 (http://creativecommons.org/licenses/by-nc-sa/4.0/). Разрешения, выходящие за рамки этой лицензии, могут быть доступны по адресу http://sensepost.com/contact/.