Скрипт использует определенный черный список для каждой ОС, поэтому существуют разные опции для целевой операционной системы. Черный список пропускает записи CLSID, которые могут привести к зависанию скрипта из-за DCOM-приложений, которые невозможно активировать; это снижает нагрузку на целевую систему и сокращает время выполнения скрипта.

Используя CLSID, можно активировать соответствующее DCOM-приложение. CLSID 'Shortcut' используется для подсчета количества связанных с ним MemberTypes; это делается для проверки стандартного количества MemberTypes. Это число используется для проверки CLSID, которые содержат любое другое количество. Скрипт делает это с помощью CLSID 'Shortcut' (HKEY_CLASSES_ROOT\CLSID\{00021401-0000-0000-C000-000000000046}), поскольку это общий CLSID для операционных систем Microsoft Windows. CLSID с другим количеством MemberTypes могут содержать Method или Property, которые можно использовать (или злоупотребить), и будут добавлены в массив.

CLSID в массиве проверяются на наличие строк в MemberTypes, которые могут указывать на способ использования (или злоупотребления) ими; список этих строк можно найти в файле VulnerableSubset. Обратите внимание, что этот список ни в коем случае не является полным для поиска каждого уязвимого DCOM-приложения, но, будучи динамической частью процесса, он позволяет пользователю скрипта искать конкретные строки, которые могут указывать на функциональность DCOM-приложения, полезную для его целей.

Результаты работы скрипта выводятся в HTML-отчет и могут использоваться для аудита системы в качестве превентивной меры. Для атакующей стороны я создал модуль Empire, который на момент написания этого текста ожидает одобрения для добавления в ветку master. Если вы хотите добавить его в Empire самостоятельно, вы можете сделать это, добавив модуль, расположенный здесь.

Полное техническое объяснение идеи, скрипта и возможных методов обнаружения можно найти в соответствующей исследовательской работе.

Предварительные требования

Скрипт, если он не используется как модуль Empire, имеет некоторые ограничения, связанные с тем, как он работает и как подключается к целевой машине.

• Для работы этого скрипта необходимо разрешить службы удаленного управления Windows в брандмауэре Windows (порт 5985);
• Если сетевой профиль целевой системы установлен на Общедоступная, необходимо выполнить следующую команду, чтобы разрешить использование служб удаленного управления Windows на целевой системе: Enable-PSRemoting -SkipNetworkProfilecheck -Force
• Этот скрипт работает только при наличии учетных данных локального администратора в целевой системе. Без этих учетных данных вы не сможете запустить удаленный сеанс с целевой машиной или активировать DCOM-приложения.

Пример использования

При нахождении в домене Microsoft Windows:

При нахождении вне домена Microsoft Windows:

Ограничения

• В настоящее время скрипт пытается освободить все инстанциированные / активированные DCOM-приложения, но некоторые активации запускают новые процессы (например, Internet Explorer); процесс можно было бы остановить, но это означало бы, что если пользователь целевой системы использует это приложение, процесс остановится и для него;
• Другая проблема, которая, вероятно, связана с моими плохими навыками программирования, заключается в том, что скрипт может создавать значительную нагрузку на целевую систему, если у нее недостаточно ресурсов. Будьте осторожны при использовании в производственной среде или на серверах;
• Выполнение скрипта может занять некоторое время; это зависит от количества DCOM-приложений и размера файла уязвимого подмножества.

Благодарности

Этот скрипт был вдохновлен мастер-классом по боковому перемещению через DCOM, проведенным Евой Танаскоской; без этого мастер-класса идея попытаться перечислить это в автоматическом режиме никогда бы не возникла.

Благодаря исследованиям Мэтта Нельсона (он же @enigma0x3) я смог найти достаточно информации для создания формы автоматизации.

Статья Филипа Цукермана article, в которой суммируются большинство доступных методов DCOM для бокового перемещения и объясняется, как они работают.