Сегодня в одном чате ребята обсуждали написание статьи про Lolbins.
Вот вам один интересный lolbas - C:\Program Files (x86)\Kaspersky Lab\NetworkAgent\kldumper.exe
описание - https://support.kaspersky.ru/common/diagnostics/7641
преза от ЛК, где предлагается сигма правило с исключением данного бинаря из сработки по дампу lsass - https://media.kasperskycontenthub.com/wp-content/uploads/sites/43/2022/06/23093553/Common-TTPs-of-the-modern-ransomware_low-res.pdf
у kldumper.exe цифровая подпись ЛК. lsass им не дампил еще, но другие процессы дампит ок (при наличии прав лок админа)
Вот вам один интересный lolbas - C:\Program Files (x86)\Kaspersky Lab\NetworkAgent\kldumper.exe
описание - https://support.kaspersky.ru/common/diagnostics/7641
преза от ЛК, где предлагается сигма правило с исключением данного бинаря из сработки по дампу lsass - https://media.kasperskycontenthub.com/wp-content/uploads/sites/43/2022/06/23093553/Common-TTPs-of-the-modern-ransomware_low-res.pdf
у kldumper.exe цифровая подпись ЛК. lsass им не дампил еще, но другие процессы дампит ок (при наличии прав лок админа)
👍1
Иногда для lpe на винде при определённых условиях нужен перезапуск служб/ребут ос. Прав на это нет, но может помочь https://github.com/peewpw/Invoke-BSOD/blob/master/Invoke-BSOD.ps1
Бсодит винду без прав админа, не детектится антивирусами.
Бсодит винду без прав админа, не детектится антивирусами.
GitHub
Invoke-BSOD/Invoke-BSOD.ps1 at master · peewpw/Invoke-BSOD
For when you want a computer to be done - without admin! - peewpw/Invoke-BSOD
👏10👍2
true_security
Сегодня в одном чате ребята обсуждали написание статьи про Lolbins. Вот вам один интересный lolbas - C:\Program Files (x86)\Kaspersky Lab\NetworkAgent\kldumper.exe описание - https://support.kaspersky.ru/common/diagnostics/7641 преза от ЛК, где предлагается…
kldumper.exe
4 MB
утилиты для дампа памяти процесса. с подписью антивирусов avg,avast,kaspersky
👍10
Forwarded from Юрий Строжевский
Выложил свой код для получения Windows Extended Rights на GitHub: https://github.com/YuryStrozhevsky/extendedRights
GitHub
GitHub - YuryStrozhevsky/extendedRights: How to retrive all information about Windows Extended Rights via LDAP
How to retrive all information about Windows Extended Rights via LDAP - YuryStrozhevsky/extendedRights
👍1
hostscan2.png
234.9 KB
Иногда при пентесте есть валидные креды + есть cisco vpn с модулем hostscan.
Модуль Hostscan используют для проведения проверок на подключаемых устройствах, например что устройство корпоративное (введенно в домен), есть антивирус, стоят обновления и т.д.
Но что делать простому пентестеру если в инфру все таки хочется?
перейти по адресу: https://адрес/CACHE/sdesktop/data.xml и если нам повезет увидеть проводимые модулем hostscan проверки, как на скрине.
что делать если файла нет а проверки есть? запустить process monitor с фильтром на "process name=cscan.exe" и подключиться через клиент anyconnect, ввести любые креды и смотреть что делает приложение.
Изначально приложение соберет информацию об ОС, обновлениях и тд. После ввода любых кред оно начнет "ту самую" проверку(смотреть скрин 2).
Что нам остается делать? правильно - выполнить условия проверки)) имя windows ad домена можно найти, файлы и каталоги можно создать.
Информация не новшество, но пока не столкнешься - не вспомнишь.
Есть ньюанс с проверкой наличия процесса, тут еще нужно подумать.
Модуль Hostscan используют для проведения проверок на подключаемых устройствах, например что устройство корпоративное (введенно в домен), есть антивирус, стоят обновления и т.д.
Но что делать простому пентестеру если в инфру все таки хочется?
перейти по адресу: https://адрес/CACHE/sdesktop/data.xml и если нам повезет увидеть проводимые модулем hostscan проверки, как на скрине.
что делать если файла нет а проверки есть? запустить process monitor с фильтром на "process name=cscan.exe" и подключиться через клиент anyconnect, ввести любые креды и смотреть что делает приложение.
Изначально приложение соберет информацию об ОС, обновлениях и тд. После ввода любых кред оно начнет "ту самую" проверку(смотреть скрин 2).
Что нам остается делать? правильно - выполнить условия проверки)) имя windows ad домена можно найти, файлы и каталоги можно создать.
Информация не новшество, но пока не столкнешься - не вспомнишь.
Есть ньюанс с проверкой наличия процесса, тут еще нужно подумать.
👍9👎1
Продолжаем эпопею с cisco vpn.
Есть такая штука как скрытые группы, это группы различных устройств, админские, тестовые и т.п. В данных группах могут быть более широкие доступы. Эти группы не отображаются при подключении и можно к ним подключиться только явно указав в строке подключения клиента, например vpn.company.ru/test_users. К тому же, некоторые компании скрывают вообще веб-интерфейс входа в cisco vpn.
К счастью, название этих групп можно определить перебором. Для определения группы достаточно отправить Post запрос к корню cisco vpn и если код ответа будет равен 200, то профиль существует.
Запрос:
POST /test HTTP/1.1 где test название группы. При наличии группы, в ответе будет содержимое:
<html><noscript>document.location.replace('/+CSCOE+/logon.html?tgroup=test')</noscript></html>
Пример результатов перебора на скриншоте, было получено скрытое из интерфейса имя группы test. Зная имена скрытых групп, можно попробовать атаки методом брутфорса/спрея или проверить возможность входа в vpn с использованием тех учетных записей, которые у вас уже есть.
Есть такая штука как скрытые группы, это группы различных устройств, админские, тестовые и т.п. В данных группах могут быть более широкие доступы. Эти группы не отображаются при подключении и можно к ним подключиться только явно указав в строке подключения клиента, например vpn.company.ru/test_users. К тому же, некоторые компании скрывают вообще веб-интерфейс входа в cisco vpn.
К счастью, название этих групп можно определить перебором. Для определения группы достаточно отправить Post запрос к корню cisco vpn и если код ответа будет равен 200, то профиль существует.
Запрос:
POST /test HTTP/1.1 где test название группы. При наличии группы, в ответе будет содержимое:
<html><noscript>document.location.replace('/+CSCOE+/logon.html?tgroup=test')</noscript></html>
Пример результатов перебора на скриншоте, было получено скрытое из интерфейса имя группы test. Зная имена скрытых групп, можно попробовать атаки методом брутфорса/спрея или проверить возможность входа в vpn с использованием тех учетных записей, которые у вас уже есть.
🔥7👍3
temp.txt
421 B
маленький пример списка для енума, все зависит от вашей фантазии. Можно взять список групп который вам виден и к ним добавить "-test", можно взять название компании и сокращения добавляя префиксы it,test,admin и т.д.
🔥6
Опять таки про cisco vpn...
наблюдаю историю когда за одним доменом vpn.company.ru находятся две разные cisco asa c разными настройками.
- У каждой асы свой ssl сертификат, в котором раскрывается серийный номер в поле subject: serialNumber.
- При двух одинаковых get запросах serialNumber разный в ответе....т.е. циски реально две.
- У домена vpn.company.ru две А записи с разными ip адресами.
Одна из цисок запускает модуль posture, а другая нет. То есть одна нас впускает в инфраструктуру без проверок. Как то так случилось что админы настроили циски по разному.
наблюдаю историю когда за одним доменом vpn.company.ru находятся две разные cisco asa c разными настройками.
- У каждой асы свой ssl сертификат, в котором раскрывается серийный номер в поле subject: serialNumber.
- При двух одинаковых get запросах serialNumber разный в ответе....т.е. циски реально две.
- У домена vpn.company.ru две А записи с разными ip адресами.
Одна из цисок запускает модуль posture, а другая нет. То есть одна нас впускает в инфраструктуру без проверок. Как то так случилось что админы настроили циски по разному.
👍2
поискал в интернетах чужие проверки posture hostscan, самые упоротые в amazon. Что люди только не проверяют ) как можно заметить, меньше всего проверок на linux и macos
👍3
Бывает такое, только что то придумаешь, только соберешься написать, а это за 3 дня до тебя уже кто то написал.
Интерактивная оболочка с подделкой аргументов командной строки (PEB Spoofing) - https://github.com/itaymigdal/LOLSpoof
Классная штука для байпаса множества детектов socами и иногда edr и av.
Интерактивная оболочка с подделкой аргументов командной строки (PEB Spoofing) - https://github.com/itaymigdal/LOLSpoof
Классная штука для байпаса множества детектов socами и иногда edr и av.
GitHub
GitHub - itaymigdal/LOLSpoof: An interactive shell to spoof some LOLBins command line
An interactive shell to spoof some LOLBins command line - itaymigdal/LOLSpoof
Немного букв про PEB PA Spoofing и чем он нам поможет
https://telegra.ph/Process-Argument-Spoofing-v-PEB-i-detekt-davaj-dosvidaniya-01-22
https://telegra.ph/Process-Argument-Spoofing-v-PEB-i-detekt-davaj-dosvidaniya-01-22
Telegraph
Process Argument Spoofing в PEB и детект "давай досвидания"
Про спуфинг аргументов процессов написано очень много и разжевано досконально. Вкратце: Process Environment Block (PEB)содержит в себе различную информацию о процессе. Раздел RTL_USER_PROCESS_PARAMETERS в PEB содержит атрибут CommandLine который определен…
🔥5
Forwarded from Ralf Hacker Channel (Ralf Hacker)
От имени любого пользователя можно аварийно завершить службу журнала событий Windows.
https://github.com/floesen/EventLogCrasher
#redteam #bypass #maldev
https://github.com/floesen/EventLogCrasher
#redteam #bypass #maldev
GitHub
GitHub - floesen/EventLogCrasher
Contribute to floesen/EventLogCrasher development by creating an account on GitHub.