Fsecurity | HH

🚩 🖥 GRUB LUKS Bypass and Dump

Недавно мне пришлось столкнуться с задачей удаления данных с зашифрованного раздела LUKS на виртуальной машине, которой я ранее не управлял. Честно говоря, процесс оказался довольно сложным и вызвал немало головной боли. Если вы читаете это в надежде найти способ восстановления ключа LUKS для вашей неисправной системы – увы, у меня для вас плохие новости. Эта статья не об этом. Иногда виртуальные машины могут автоматически расшифровывать разделы LUKS по различным причинам, будь то требования безопасности или желание усложнить жизнь тем, кто хочет получить несанкционированный доступ к данным. Если ваша система успешно загружается и выполняет автоматическое дешифрование, тогда эта статья будет вам полезна. В ней я поделюсь своими наблюдениями и опытом работы с такими системами, на случай, если мне придется повторить этот процесс в будущем.

🔹 https://remyhax.xyz/posts/luks-vm-dump/ 💻 Автор #grub #luks #bypass #reverse ✈️ Pentest HaT

🔗Ссылка: https://github.com/Lifailon/PS-Commands

🔗Ссылка: https://github.com/RoseSecurity/Red-Teaming-TTPs

🖥 URLFinder v0.0.2 Высокоскоростной инструмент для пассивного сбора и эффективного обнаружения URL-адресов. От создателей nuclei, написан на 💻 Установка:

go install -v github.com/projectdiscovery/urlfinder/cmd/urlfinder@latest

Запуск:

urlfinder -d tesla.com

# Match и filter
urlfinder -d tesla.com -m support -f faq

urlfinder -d tesla.com -m include-patterns.txt -f exclude-patterns.txt

# JSON export
urlfinder -d tesla.com -j

🖥 Home #urlfinder #soft #golang #web ✈️ Pentest HaT

Переделываем Impacket под кастомный транспорт Всеми любимый инструмент бокового перемещения активно использует RPC в качестве транспорта для взаимодействия с целевым сервером. Однако используются стандартные конечные точки, которые могут активно мониториться. Сюда входят \PIPE\lsarpc , \PIPE\efsrpc, \PIPE\samr и иные. Сам по себе процесс подключения достаточно прост. Тебе нужно знать String Binding, по которому слушает целевой RPC-сервер, а также его UUID для подключения. Таким образом нам было бы интересно найти еще какой-нибудь String Binding, по которому слушает интересующий нас RPC-сервер. Есть путь простой, есть путь самурая. Путь простой: использовать RPCView, RPC Investigator и иные GUI-тулзы для ручного выбора нужного эндпоинта и просмотра слушающих интерфейсов. С Linux - rpcdump.py , rpcmap.py . Автоматизация поиска - NT Object Manager:

 $rpc = ls "C:\Windows\system32\*" -Include "*.dll","*.exe" | Get-RpcServer
$rpc | ? {($_.InterfaceId -eq 'e3514235-4b06-11d1-ab04-00c04fc2dcd2')}

Впрочем есть и более интересный вариант. Самурай не будет осуществлять аккуратный подбор целевого эндпоинта, а запустит брутфорс. Наиболее популярными являются два транспорта: ncacn_ip_tcp (обычный TCP-коннект) и ncacn_np (Named Pipes). Например, если инструмент работал через ncacn_np, то можно попробовать его переделать на ncacn_ip_tcp следующим образом: 1. Запоминаем UUID целевого интерфейса RPC-сервера 2. Генерируем различные варианты RPC String Binding типа ncacn_ip_tcp, выбирая все открытые на системе порты (обязательно обратить внимание на порты DCERPC) 3. Пытаемся забиндиться по каждому RPC String Binding к целевому UUID 4. Если RPC-сервер поддерживает прослушивание на этой конечной точке, то мы к нему успешно подключимся и сможем пользоваться функционалом Таким методом на днях родился POC на исполнение метода ATEXEC через DCERPC. Если же хотим переделать с ncacn_ip_tcp на ncacn_np, то нужно брутфорсить не порты, а имена пайпов. Такой функционал есть в RemotePipeList , msf (auxiliary/scanner/smb/pipe_auditor) , а сам словарик можно достать из /usr/share/metasploit-framework/data/wordlists/named_pipes.txt . Однако не стоит забывать, что обычным TCP и Named Pipes RPC не ограничивается, а предоставляет намного больше различных транспортов.

🔗Ссылка: https://www.securitylab.ru/news/554377.php

Безопасная защита Windows с использованием официально поддерживаемых методов Microsoft и соответствующих пояснений | Всегда актуальна и работает с последними версиями Windows | Содержит инструменты и руководства для обеспечения личной, корпоративной, государственной и военной безопасности 🔗Ссылка: https://github.com/HotCakeX/Harden-Windows-Security

🔗Ссылка: https://github.com/luong-komorebi/Awesome-Linux-Software

🔗 Ссылка: https://opennet.ru/62307/

Обновил Obsidian Pentest 👾 Добавил: - Про экзамен OSCP - Про обход AV - Дополнил команды nmap И другое ... 🔗Ссылка: https://github.com/0xHaskar/Obsidian-Pentest

🔗Ссылка: https://www.securitylab.ru/news/554380.php

У моей утилиты Sara в Kali Linux появилась своя иконка. В разделе "Vulnerability Analysis" вы сможете найти её и запустить с помощью иконки.

caster@kali:~$ sudo apt install kali-menu --only-upgrade

🔗Ссылка: https://github.com/CMEPW/BypassAV

🔗Ссылка: https://proglib.io/sh/Tz2DsfawvY

🔗Ссылка: https://habr.com/ru/companies/otus/articles/861488/

🔗Ссылка: https://www.securitylab.ru/news/554399.php

🔗Ссылка: https://www.securitylab.ru/news/554339.php

Linux Persistence with LKM Существуют десятки актуальных способов закрепления в Linux, а также инструментов автоматизации этой задачи, например один из последних - PANIX, это bash скрипт, который мы используем на киберучениях в рамках Purple Team. Но в формате активного противодействия, редко есть возможности тащить на тачку разные скрипты, поэтому мы рассмотрим ручной способ на примере LKM (Loadable kernel module) руткита Diamorphine. Diamorphine хорошо известный руткит с открытым исходным кодом, который активно используется злоумышленниками в дикой природе уже много лет, который можно загрузить различными способами. Наиболее распространенный - это просто положить в /etc/modules или использовать службу systemd-modules-load. Файлы конфигурации модулей systemd-modules-load ищет в следующих директориях: /etc/modules-load.d, /usr/lib/modules-load.d, /usr/local/lib/modules-load.d, /run/modules-load.d 🔴 Необходимо каким-то образом доставить Diamorphine или собрать из исходников на тачке, например в контейнере или еще как-нибудь, обычно зависит от уровня зрелости мониторинга и степени паранойи SOC на текущем проекте😁 🔴 Во время компиляции Diamorphine позволяет указать "magic string" - строку в начале наименования файла или директории, которую руткит автоматически скроет при загрузке, например apt1337 🔴 Копируем руткит и создаем список зависимостей modules.dep cp diamorphine.ko /usr/lib/modules/$(uname -r)/kernel/drivers/block/apt1337-diamorphine.ko depmod 🔴 Создаем файл конфигурации systemd-modules-load echo apt1337-diamorphine >/usr/lib/modules-load.d/apt1337-not_evil.conf 🔴 Загружаем модуль вручную modprobe apt1337-diamorphine Таким образом, при каждой перезагрузке системы руткит в качестве модуля LKM будет загружаться автоматически😎 Безусловно техника базовая и довольно распространенная, поэтому нуждается в доработке относительно сокрытия. Как минимум рекомендую использовать Timestomping для файлов в /usr/lib/modules/* и использовать менее очевидный нейминг. Но все равно это будет светиться в /proc/sys/kernel/tainted так как загруженный модуль не подписан, но это уже тема другой заметки😁

🔗Ссылка: https://habr.com/ru/companies/gazprombank/articles/854334/