APT

MSSQL Analysis Services — Coerced Authentication New technique to coerce an SMB authentication on Windows SQL Server as the machine account PoC: https://github.com/p0dalirius/MSSQL-Analysis-Coerce #ad #mssql #smb #relay

📡 NTLMv1 vs NTLMv2: Digging into an NTLM Downgrade Attack This article discusses the NTLM specifications to better understand how various aspects of the NTLM protocol function. As well as bypassing the SMB signature, relaying SMB to LDAP, and relaying NTLMv1 authentication attempts to the ADFS service. https://www.praetorian.com/blog/ntlmv1-vs-ntlmv2/ #ad #ntlm #smb #relay

⚙️ Hackers No Hashing: Randomizing API Hashes to Evade Cobalt Strike Shellcode Detection If you utilise API hashing in your malware or offensive security tooling. Try rotating your API hashes. This can have a significant impact on detection rates and improve your chances of remaining undetected by AV/EDR. Blog: https://www.huntress.com/blog/hackers-no-hashing-randomizing-api-hashes-to-evade-cobalt-strike-shellcode-detection Source: https://github.com/matthewB-huntress/APIHashReplace #maldev #evasion #hinvoke #cobaltstrike #redteam

🎭 Masky This tool does not exploit any new vulnerability and does not work by dumping the LSASS process memory. Indeed, it only takes advantage of legitimate Windows and Active Directory features (token impersonation, certificate authentication via kerberos & NT hashes retrieval via PKINIT). Blog: https://z4ksec.github.io/posts/masky-release-v0.0.3/ Source: https://github.com/Z4kSec/Masky #ad #adcs #lsass #redteam

🤖 BBOT: OSINT automation for hackers This tools is capable of executing the entire OSINT process in a single command, including subdomain enumeration, port scanning, web screenshots (with its gowitness module), vulnerability scanning (with nuclei), and much more. BBOT currently has over 50 modules and counting. Features — Recursive; — Graphing; — Modular; — Multi-Target; — Automatic Dependencies; — Smart Dictionary Attacks; — Scope Distance; — Easily Configurable via YAML. Blog: https://blog.blacklanternsecurity.com/p/bbot Source: https://github.com/blacklanternsecurity/bbot #external #recon #osint #redteam #bugbounty

😈 EDRSandBlast This is a tool written in C that weaponize a vulnerable signed driver to bypass EDR detections and LSASS protections. Multiple userland unhooking techniques are also implemented to evade userland monitoring. — User-mode (API hooking) evasion; — Kernel-mode (callbacks and ETW ThreatIntel events) evasion; — Successively tested on market-leading EDR products. https://github.com/wavestone-cdt/EDRSandblast/tree/DefCon30Release #maldev #edr #lsass #evasion #redteam

😈 EDRSandBlast This is a tool written in C that weaponize a vulnerable signed driver to bypass EDR detections and LSASS protections. Multiple userland unhooking techniques are also implemented to evade userland monitoring. — User-mode (API hooking) evasion; — Kernel-mode (callbacks and ETW ThreatIntel events) evasion; — Successively tested on market-leading EDR products. https://github.com/wavestone-cdt/EDRSandblast/tree/DefCon30Release #maldev #edr #lsass #evasion #redteam

😈 EDRSandBlast: Update — User-mode (API hooking) evasion; — Kernel-mode (callbacks and ETW ThreatIntel events) evasion; — Successively tested on market-leading EDR products. https://github.com/wavestone-cdt/EDRSandblast/tree/DefCon30Release #maldev #edr #lsass #evasion #redteam

#api #params > Ничего не могу найти на сайте, может ещё что-то посмотреть? Иногда встречается сайт, на котором всего лишь несколько конечных точек. Казалось, все параметры были проверены на уязвимости, а в чек-листе отмечены любые возможные проверки на инъекции и логику. Однако, бывают уязвимости, которые не видны с первого взгляда. Например (CAPEC-460) HTTP Parameter Pollution или (CWE-472) External Control of Assumed-Immutable Web Parameter. Данные ошибки возникают из-за неожиданного поведения в функциях обработки параметров. Давайте рассмотрим первую атаку HTTP Parameter Pollution, она состоит из возможности добавления повторяющихся параметров с помощью специальных разделителей запроса. Например, у нас открыт сайт по продаже арбузов в браузере 🌐 example.com/profile.jsp?client_id=1 Для кнопки "Открыть профиль" устанавливается динамически в ответе от сервера html: <a href="profile.jsp?client_id=1&action=view А теперь изменим запрос добавив в него параметр и закодировав разделитель & как %26: 🌐 example.com/profile.jsp?client_id=1%26action%3Ddelete В результате для кнопки "Открыть профиль" задаётся html: <a href="profile.jsp?client_id=1&action=delete&action=view При нажатии на кнопку — профиль пользователя будет удалён. Для того чтобы заставить жертву удалить свой аккаунт, нам нужно отправить ей ссылку и подождать. Это происходит, потому что Apache Tomcat 🐈 при анализе двух одинаковых параметров (action) берёт значение первого: &action=delete&action=view Вот так выглядит код на стороне сервера:

String client_id = request.getParameter("client_id");
GetMethod get = new GetMethod("https://example.com/profile");
get.setQueryString("client_id=" + client_id + "&action=" + action);

href_link=get.URL; Разработчик должен был учесть такое поведение и проверить возможность внедрения параметра action в client_id Вообще, приоритет и процесс обработки параметров можно взять из этой таблицы ниже:

Technology/HTTP backend        | Parsing Result    | Example         |
---------------------------------------------------------------------
ASP.NET/IIS                    | All occurrences   | par1=val1,val2  |
ASP/IIS                        | All occurrences   | par1=val1,val2  |
PHP/Apache                     | Last occurrence   | par1=val2       |
JSP Servlet/Apache Tomcat      | First occurrence  | par1=val1       |
JSP Servlet/Oracle Application | First occurrence  | par1=val1       |
IBM HTTP Server                | First occurrence  | par1=val1       |

Так, для Server: Apache Tomcat будет взято значение из первого совпадения action=delete А для Server: Apache значение уже будет action=view — последний параметр Но не все сервера используют приоритет порядка, так, например, ASP.NET/IIS конкатенирует значения. Поэтому в случаях, когда выполнению XSS мешает санитизация или WAF, можно составить следующий payload: example.com/search?param=<audio/n="&param="src/onerror=alert()> В результате на странице html будет <audio n="," src/onerror=alert()> и XSS успешно сработает 💣 Помимо приоритетов, нужно также вспомнить о разделителях для параметров. Существует не только привычный & (амперсанд) и , (запятая) но и ряд других символов, тут нужно обратиться к стандартам и поискать реализации. Если открыть (rfc6570) URI Template можно найти Path-Style Parameter Обычный URL будет следующим: example.com/users?role=admin&firstName=N А теперь преобразуем его в вид Path-Style: example.com/users;role=admin;firstName=N Использование в качестве разделителя ; (точки с запятой) не повсеместно. Это приводит к различиям обработки во фреймворках и как следствие к уязвимостям, в частности, на микросервисных архитектурах: • CVE-2021-23336 — Python библиотека urllib.parse.parse_qsl не игнорирует точку с запятой. • ParseThru — Go библиотека net/url не игнорирует точку с запятой и выводит предупреждение http: URL query contains semicolon... Следует помнить, что уязвимость HTTP Parameter Pollution может возникать не только в URL, но и в любой части POST/GET запроса, а также в теле JSON. {"client_id":4, "client_id":17, "action":"delete"}

📌 Save the Environment Many applications appear to rely on Environment Variables such as %SYSTEMROOT% to load DLLs from protected locations. By changing these variables on process level, it is possible to let a legitimate program load arbitrary DLLs. Research: https://www.wietzebeukema.nl/blog/save-the-environment-variables Source Code: https://github.com/wietze/windows-dll-env-hijacking #maldev #dll #hijacking #environment

⚙️ Determining AD domain name via NTLM Auth If you have nmap (http-ntlm-info) unable to determine the FQND of an Active Directory domain via OWA, for example due to Citrix NetScaler or other SSO solutions, do it manually!

1) curl -I -k -X POST -H 'Authorization: NTLM TlRMTVNTUAABAAAAB4IIogAAAAAAAAAAAAAAAAAAAAAKANc6AAAADw==' -H 'Content-Length: 0' https://autodiscover.exmaple.com/ews

2) echo 'TlRMTVNTUAACAAAADAAMAD...' | python2 ./ntlmdecoder.py

Source: ntlmdecoder.py #ntlm #auth #sso #tricks #pentest

🔑 Cobalt Strike Token Vault This Beacon Object File (BOF) creates in-memory storage for stolen/duplicated Windows access tokens allow you to: — Hot swap/re-use already stolen tokens without re-duplicating; — Store tokens for later use in case of a person log out. https://github.com/Henkru/cs-token-vault #ad #tokens #c2 #cobalt #redteam

💉ClipboardInject Abusing the clipboard to inject code into remote processes This PoC uses the clipboard to copy a payload into a remote process, eliminating the need for VirtualAllocEx/WriteProcessMemory https://www.x86matthew.com/view_post?id=clipboard_inject #maldev #injection #clipboard #redteam

🦮 BlueHound It is an open-source tool that helps blue teams pinpoint the security issues that actually matter. By combining information about user permissions, network access and unpatched vulnerabilities, BlueHound reveals the paths attackers would take if they were inside your network It is a fork of NeoDash, reimagined, to make it suitable for defensive security purposes. Blog: 🔗 https://zeronetworks.com/blog/bluehound-community-driven-resilience/ Tool: 🔗 https://github.com/zeronetworks/BlueHound #ad #sharphound #blueteam

🔔 TamperingSyscalls This is a 2 part novel project consisting of argument spoofing and syscall retrival which both abuse EH in order to subvert EDRs. This project consists of both of these projects in order to provide an alternative solution to direct syscalls. https://github.com/rad9800/TamperingSyscalls #edr #evasion #maldev #syscall #tampering

🛡 On Detection: Tactical to Functional The goal of this series is to facilitate a conversation about the more technical aspects of attacks and how a deeper understanding at the more foundational levels helps to provide a batter base to build assumptions from. 🔗 Part 1: Discovering API Function Usage through Source Code Review 🔗 Part 2: Operations #maldev #pinvoke #winapi #detection #blueteam #ttp

Certipy 4.0: ESC9 & ESC10, BloodHound GUI, New Authentication and Request Methods — and more! https://research.ifcr.dk/certipy-4-0-esc9-esc10-bloodhound-gui-new-authentication-and-request-methods-and-more-7237d88061f7 #ad #adcs #certypy #bloodhound

🔐 PPLDump RIPPL is a tool that abuses a usermode only exploit to manipulate PPL processes on Windows. https://github.com/last-byte/RIPPL #ad #ppl #lsass #tools

🐚 PSAsyncShell: Asynchronous Firewall Bypass PSAsyncShell is an Asynchronous TCP Reverse Shell written in pure PowerShell. Unlike other reverse shells, all the communication and execution flow is done asynchronously, allowing to bypass some firewalls and some countermeasures against this kind of remote connections. 🔗 Research: https://darkbyte.net/psasyncshell-bypasseando-firewalls-con-una-shell-tcp-asincrona/ 🔗 Source: https://github.com/JoelGMSec/PSAsyncShell #ad #powershell #reverse #shell