ZackAttack! - Релеинг NTLM как никто другой

======= Что это такое?

tl;dr версия - ZackAttack! - это новый набор инструментов для релеинга NTLM-аутентификации, не похожий ни на один другой существующий инструмент.

= Так чем ZackAttack! отличается/лучше? По сравнению с другими инструментами...

• Поддерживает NTLMv2 :)
• Обеспечивает внешнее воздействие для NTLM путем релеинга на внешние серверы Exchange Web Services (подумайте о пользователях мобильных телефонов :) )
• Пользовательские Rogue HTTP и SMB серверы, объединенные в единый пул источников, которые знают, кто такой пользователь, и удерживают его аутентификацию, не закрывая сокет
• Логика на основе правил для автоматического выполнения действий при обнаружении пользователя, принадлежащего к группе. Когда правило отсутствует, rogue сервер удерживает сессию аутентификации как можно дольше, пока не поступит правило или api-запрос.
• Автоматическая / направленная генерация методов, чтобы заставить пользователей проходить автоматическую аутентификацию без взаимодействия
• Новые методы автоматической аутентификации клиентов, включая принуждение FF/Chrome к автоаутентификации через UNC SMB ресурсы (аналогично IE)
• Релеинг на LDAP (критически важно для релеинга на контроллеры домена), Exchange Web Services и вскоре на mssql.
• SOCKS прокси для проведения атак релеинга NTLM с помощью ваших любимых инструментов (proxychains smbclient... и т.д.)
• Сосредоточен не только на получении шеллов, как традиционные релеи, но и на использовании доверчивых пользователей и получении данных через них.

Вот так tl;dr ;) Цель? Инструмент в стиле Firesheep для релеинга NTLM-аутентификаций

= Как начать

1. ruby zackattack.rb

2. откройте ваш любимый браузер на http://zf:zf@localhost:4531/

3. .....

4. ПРОФИТ! Или нет. Это всё еще альфа.

Код написан для ruby1.9, но должен работать с 1.8. Требуются гемы net/http(s) и webrick.

= Итак, каковы компоненты

Rogue серверы - HTTP и SMB. Они получают запросы аутентификации и продолжают их перерабатывать

Клиенты - Они подключаются к целевым серверам и запрашивают NTLM учетные данные от Rogue серверов

Правила - Определяют автоматические действия при обнаружении пользователя.

Полезные нагрузки - Методы, чтобы заставить пользователей проходить автоаутентификацию с помощью встроенной аутентификации Windows, то есть не запрашивая у пользователя аутентификацию.

= XYZ не работает

Я уверен, что не работает ;) Я не всегда пишу на ruby, но когда пишу, я стараюсь внести как можно больше багов :)

Отправляйте как можно больше информации (в разумных пределах) на страницу issues. Пожалуйста, постарайтесь захватить wireshark / pcap, если проблема на стороне клиента. Если это содержит конфиденциальные данные (например, NTLM учетные данные клиента), дайте мне знать, и мы по возможности это обойдем.

Запрос функции? Хочу услышать! Проверьте файл todo, не упомянуто ли это там, иначе отправляйте!

Я добавлю больше деталей позже....