Atomic Test後のクリーンナップについてかいてみた

Hello there, ('ω')ノ

アトミック テストを実行した後は。

アトミック テストで定義されたクリーンアップ コマンドを実行して。

システムをリセットし、テストを再度実行する準備をして。

一部のテストは、機密情報を含む可能性のあるファイルを作成したり。

ファイル システムを混乱させたりして。

また、安全でない設定値に変更されたり、サービスが停止したりと。

そこで、アトミック テストの多くにはクリーンナップコマンドがあって。

今回は、T1003を。

テストを実行するには、アプリケーションがインストールされている必要があるので。

CheckPrereqで、アプリケーションが存在するかどうかを確認して。

テストで、LSASS.exe メモリをダンプするには前提条件を満たす必要があって。

　Invoke-AtomicTest T1003.001 -TestNumbers 2 -CheckPrereqs

アプリケーションが存在しない場合は、GetPrereqでインストールして。

　Invoke-AtomicTest T1003.001 -TestNumbers 2 -GetPrereqs

再度、確認することに。

前提条件が満たされているので、テストを実行できるようになって。

　Invoke-AtomicTest T1003.001 -TestNumbers 2 -CheckPrereqs

再度、テストを実行して。

　Invoke-AtomicTest T1003.001 -TestNumbers 2

Windows Defenderがこの攻撃をブロックするので。

Windows Defenderを一時的に無効にする必要があるので。

　Set-MpPreference -DisableRealtimeMonitoring $true

テストを実行すると下記にlsass_dumpファイルが表示されて。

　C:\Windows\Temp\lsass_dump.dmp

下記で、どのような内容かの確認ができて。

　cat C:\Windows\Temp\lsass_dump.dmp

テスト後にクリーンアップするには下記のフラグで。

　Invoke-AtomicTest T1003.001 -TestNumbers 2 -Cleanup

クリーンアップコマンドについての例は、いくつかあって。

下記は、レジストリのクリーンアップについて。

https://github.com/redcanaryco/atomic-red-team/blob/8a82e9b66a5b4f4bc5b91089e9f24e0544f20ad7/atomics/T1546.010/T1546.010.md#atomic-test-1---install-appinit-shim

下記は、サービスを再度有効にしての開始について。

https://github.com/redcanaryco/atomic-red-team/blob/8a82e9b66a5b4f4bc5b91089e9f24e0544f20ad7/atomics/T1562.001/T1562.001.md#atomic-test-4---stop-crowdstrike-falcon-on-linux

下記は、ユーザの削除について。

https://github.com/redcanaryco/atomic-red-team/blob/8a82e9b66a5b4f4bc5b91089e9f24e0544f20ad7/atomics/T1136.001/T1136.001.md#atomic-test-3---create-a-new-user-in-a-command-prompt

下記は、プロキシの削除について。

https://github.com/redcanaryco/atomic-red-team/blob/8a82e9b66a5b4f4bc5b91089e9f24e0544f20ad7/atomics/T1090.001/T1090.001.md#cleanup-commands-2

下記は、レジストリ キーの削除について。

https://github.com/redcanaryco/atomic-red-team/blob/8a82e9b66a5b4f4bc5b91089e9f24e0544f20ad7/atomics/T1548.002/T1548.002.md#atomic-test-1---bypass-uac-using-event-viewer-cmd

下記は、スケジュールされたタスクの削除について。

https://github.com/redcanaryco/atomic-red-team/blob/8a82e9b66a5b4f4bc5b91089e9f24e0544f20ad7/atomics/T1053.005/T1053.005.md#atomic-test-1---scheduled-task-startup-script

Best regards, (^^ゞ

Atomic Testでカスタム入力引数を指定してみた

Hello there, ('ω')ノ

今回は、T1016を。

まずは、T1016の詳細について。

Atomic Test #3が表示されないもので。

　Invoke-AtomicTest T1016 -ShowDetailsBrief

下記で、確認すると。

サポートされているプラ​​ットフォームは、LinuxとmacOSのことで表示されず。

https://github.com/redcanaryco/atomic-red-team/blob/master/atomics/T1016/T1016.md#atomic-test-3---system-network-configuration-discovery

次に#5について詳細を見てみると。

　Invoke-AtomicTest T1016 -TestNumbers 5 -ShowDetails

リストされているコマンドには 2 つのバージョンがあって。

入力引数が置換されているものとないもので。

　$ports = Get-content #{port_file}

　$file = "#{output_file}"

　$ports = Get-content C:\AtomicRedTeam\atomics\T1016\src\top-128.txt

　$file = "$env:USERPROFILE\Desktop\open-ports.txt"

とりあえずテストを実行してみるとデフォルトで実行されて。

　Invoke-AtomicTest T1016 -TestNumbers 5

出力されたファイルは下記のとおりで。

　open-ports.txt

たとえば、入力引数に独自の値を入力するには。

「PromptForInputArgs」フラグを使用できて。

実行すると３つの入力引数に入力できるわけで。

なにも入力しなければ、デフォルトのままで。

　Invoke-AtomicTest T1016 -TestNumbers 5 -PromptForInputArgs

指定するポートのファイルを作成して。

　USERPROFILE\Desktop\3ports.txt

「myargs」という変数にカスタム引数を代入して。

Invoke-AtomicTestに引数としてわたす方法は下記のとおりで。

$myargsに引数をセットして。

　$myargs = @{output_file = "$env:USERPROFILE\Desktop\3ports.txt"; port_file = "$env:USERPROFILE\ports2scan.txt"}

　Invoke-AtomicTest T1016 -TestNumbers 5 -InputArgs $myargs

実行結果のファイルの中身は下記のとおりで。

　USERPROFILE\ports2scan.txt

Best regards, (^^ゞ

Atomic Testの実行をやってみた

Hello there, ('ω')ノ

PowerShellをつかってフレームワークで、アトミックテストを実行するのに。

使用できるメソッドは、ローカルとリモートがあって。

「ローカル」メソッドでは、フレームワークがインストールされているのと。

同じマシン上でアトミックテストを実行します。

「リモート」メソッドでは、フレームワークが 1 台のマシンにインストールされて。

PowerShellでリモート処理セッションを介して。

リモート マシンでアトミック テストを実行して。

リモート実行については、下記のサイトに書いてあって。

　https://github.com/redcanaryco/invoke-atomicredteam/wiki/Execute-Atomic-Tests-(Remote)

今回は、T1218.010について。

コンマ区切りで、名前または番号で複数のテストを実行でて。

　Invoke-AtomicTest T1218.010 -TestNumbers 2,3

もしくは、

　Invoke-AtomicTest T1218.010 -TestNames "Regsvr32 remote COM scriptlet execution", "Regsvr32 local DLL execution"

テスト#2の実行中にアクセスが拒否されたのは。

Windows Defender がこの攻撃手法をブロックした結果で。

この2つのテストは、Windows 10 にない計算アプリを起動しようとしていて。

Windows Defender を無効にして。

リアルタイム保護を無効にして。

　Set-MpPreference -DisableRealtimeMonitoring $true

再度、下記を実行すると正常に実行されて。

　Invoke-AtomicTest T1218.010 -TestNumbers 2

他には、特定のT#内のすべてのテストを実行する場合は、下記のとおりで。

　Invoke-AtomicTest T1218.010

実行すると、アトミック テスト定義のYAMLファイルの場所が表示されて。

　PathToAtomicsFolder = C:\AtomicRedTeam\atomics

また、各アトミック テストには、GUIDと呼ばれる一意の識別子があって。

　Atomic Test GUID: 449aa403-6aba-47ce-8a37-247d21ef0306

YAMLファイルや各テストの詳細で確認できて。

テスト名や番号の代わりにGUIDを指定してテストを実行することも。

　Invoke-AtomicTest T1218.010 -TestGuids 449aa403-6aba-47ce-8a37-247d21ef0306

それからアトミックテストのログは下記で確認できて。

　cat $env:TEMP\Invoke-AtomicTest-ExecutionLog.csv

Excelで表示すると読みやすく。

Best regards, (^^ゞ

Using PHAR deserialization to deploy a custom gadget chainをやってみた

Hello there, ('ω')ノ

PHARデシリアライズを使用してカスタムガジェットチェーンをデプロイするを。

このラボでは、PHARの逆シリアル化を高度なハッキング手法と組み合わせると。

カスタムガジェットチェーンを介してリモートでコードが実行されて。

まずは、ログインして。

JPGをアバターとしてアップロードして。

インターセプトしてリクエストを見ていくと下記のリクエストが。

履歴を見ると上記のリクエストは表示されていないものの。

下記のレスポンスから呼ばれているようで。

Imagesにチェックを入れてリクエストが表示されるようにしておいて。

cgi-binのリクエストをSendすると。

レスポンスにCustomTemplate.php〜ファイルを見つけることができて。

バックアップ拡張子を使用してファイルをリクエストすると。

file_exists()が、lockFilePath属性で呼び出されていて。

Blog.phpでは、Twigテンプレートエンジンを使用していることがわかって。

これで、デシリアライズを使用してSSTIペイロードを渡すことができて。

下記からTwigでリモートコード実行するためのSSTIペイロードをダウンロードして。

これは、ファイルを削除するPHPスクリプトを含んだphar-jpg-polyglotで。

https://github.com/PortSwigger/serialization-examples/blob/master/php/phar-jpg-polyglot.jpg

ファイルをアップロードして。

アバターをロードするリクエストをリピータへ。

phar://ストリームでアップロードした悪意のあるアバターを。

逆シリアル化するようにリクエストをSendすると。

クリアできた。

Best regards, (^^ゞ

Atomic Testの前提条件をCheckPrereqs/GetPrereqsしてみた

Hello there, ('ω')ノ

フレームワークで、アトミックテストを実行するための。

前提条件を満たしているかどうかを確認することに。

今回は、下記のテクニックについて。

　https://attack.mitre.org/techniques/T1485/

まずは、下記を実行すると。

sdelete.exeが操作可能なプログラムとして認識されないというエラーが。

どうやら、SDeleteがWindowsにインストールされていないようで。

　Invoke-AtomicTest T1485 -ShowDetailsBrief

　Invoke-AtomicTest T1485 

　Invoke-AtomicTest T1485 -TestNumbers 1

下記で、マークダウンを確認すると前提条件が確認できて。

https://github.com/redcanaryco/atomic-red-team/blob/master/atomics/T1485/T1485.md

CheckPrereqsフラグで、テストを実行する前に前提条件を満たしているかを確認して。

前提条件を満たしていないことがわかったので。

　Invoke-AtomicTest T1485 -TestNumbers 1 -CheckPrereqs

GetPrereqsで、依存関係を満たすことに。

　Invoke-AtomicTest T1485 -TestNumbers 1 -GetPrereqs

再度、下記を実行すると正常終了できて。

　Invoke-AtomicTest T1485 -TestNumbers 1

また、アトミックテストは、管理者権限が必要だったりもして。

下記を実行すると、昇格が必要とのメッセージが。

　Invoke-AtomicTest T1003.001 -TestNumbers 10 -CheckPrereqs

なので、PowerShellアイコンを右クリックして、管理者として実行を。

再度、実行するとアトミックテストの依存関係をチェックして。

条件を満たしていることが確認できて。

Best regards, (^^ゞ