Боковое перемещение: PSExecPSExec утилита, входящая в состав SysInernals, позволяет выполнять команды на удаленном хосте. Для использования psexec на удаленном хосте требуются права локального администратора. Так же должны выполняться еще два условия:
• Общий доступ к файлам и принтерам должен быть включен
• Общий ресурс администратора ADMIN$ должен быть доступен

Если все условия выполняются можно получить удаленную оболочку, выполнив следующую команду:

Psexec.exe \-accepteula \\comp cmd.exeВ данном случае будет выполняться попытка создания и запуска службы в контексте текущего пользователя. Но можно указать другие учетные данные через ключ \-u``Psexec.exe \-accepteula \\comp \-u domain\user cmd.exeВ новых версиях утилиты psexec может возникнуть ошибка Logon failure: the user has not been granted the requested logon type at this computer, чтобы ее исправить необходимо добавить ключ \-i.

Теперь можно кратко остановиться на том, что происходит после запуска команды. Используя общий доступ к файлам и принтерам, psexec записывает файл PSEXESVC.EXE на жесткий диск удаленного хоста в папку C:\Windows\ через общий ресурс ADMIN$. Затем psexec на удаленном хосте создает службу c таким же названием PSEXESVC и запускает ее. Файл PSEXESVC.EXE создает именованный канал (pipe) с одноименным названием. Через этот именованный канал происходит обмен данными межу psexec и удаленным хостом.

Так как эта утилита уже является разработкой Microsoft, то антивирусные решения чаще всего не обращают на нее внимание, но утилита оставляет очень явный индикатор компрометации в виде названия службы, файла и именованного канала, поэтому использовать его в проектах по Red Team нужно с осторожностью. При использовании клонов, таких как, RemCom, CSExec или psexec.py нужно провести изменения и переименовать имя создаваемой службы и именованного канала.

Стоит учитывать, что psexec плохо дружит с русскими названиями при выполнении команд.

#Внутрянка #RedTeam #PurpleTeam

Puredns - отличный инструмент для резолвинга доменов и брутфорса поддоменов. Он работает поверх С'шного Massdns (высокопроизводительный инструмент для резолвинга доменов), однако, в отличии от него Puredns фильтрует отравленные DNS-ответы и вайлдкарды с помощью своих алгоритмов.

Этапы работы тулзы:1) С помощью Massdns происходит очень быстрый резолвинг всех доменов и поддоменов сайта. После этого полученный результат нужно отфильтровать, так как он содержит отравленные DNS-ответы и вайлдкарды.
2) Puredns использует свой алгоритм обнаружения вайлдкардов для нахождения и извлечения всех корневых поддоменов с вайлдкардом из полученного ранее результата.
3) На последнем этапе происходит фильтрация от отравленных DNS-ответов, для этого используется Massdns вместе со списком доверенных DNS-резолверов (8.8.8.8 и 8.8.4.4).

Для того, чтобы инструмент работал быстрее и эффективнее нужно сначала составить словарик проверенных и рабочих резолверов. Чтобы это сделать нужно сначала получить список публичных резолверов, а после отфильтровать из них те, что дают только валидные ответы с помощью инструмента DNS Validator.

Также стоит упомянуть, что использовать тулзу надо только с VPS, так как роутер может не выдержать то количество запросов, которое отправит Puredns!

Применение:Выполнить брутфорс поддоменов, используя словарь all.txt:

```
puredns bruteforce all.txt domain.com

```
Выполнить резолвинг доменов из domains.txt, вывести найденные домены с помощью ключа -q и передать домены тулзе httprobe для проверки работоспособности HTTP-сервера:

cat domains.txt | puredns resolve \-q | httprobe

Из интересных особенностей инструмента стоит выделить следующие:
1) Для брута поддоменов используется С’шный MassDNS, очень быстрый резолвер, позволяющий перебрать внушающий словарь DNS-имен за несколько секунд
2) Валидация результатов рекона
3) Стабильная и быстрая работа. В отличии от Amass, работы этой тулы не займет половину дня
4) Огромное количество модулей для сбора инфы из различных API, в том числе китайских и других редко встречающихся апих
5) Проверка поддоменов на subdomain takeover
6) Модульный код на питоне, возможность кастомизации

Пример d3 html-документа

Amass - ещё одна полезная тулза для оценки поверхности атаки от OWASP. В отличие от Aquatone она обладает намного большим функционалом. Amass состоит из 5 модулей, а именно:
amass intel - это модуль, который может помочь в сборе сведений из открытых источников об организации или домене и позволит найти дополнительные корневые доменные имена;
amass enum - это модуль, предназначенный для перечисления поддоменов, сертификатов, api и тд;
amass viz - это модуль для создания визуальных сетевых графов, которые структурируют собранную информацию, чтобы позже можно было удобно всё проанализировать;
amass track - это модуль, показывающий различия между перечислениями, включающими одни и те же цели, для мониторинга поверхности атаки цели;
amass db - это модуль, с помощью которого можно просматривать и манипулировать базой данных Amass.

Также у этой тулзы есть config.ini файл, с помощью которого можно настроить следующие параметры: вордлисты для брута, порты которые надо проверять, DNS-resolver'ы и др.

Так как Amass обладает огромным количеством функций, в которых неподготовленному пользователю будет тяжело разобраться, вот ссылки на различные полезные источники: Руководство пользователя, Подробное руководство, Hakluke’s Guide и Как эффективно использовать Amass.**Применение:

Поиск** продуктов и организаций, связанных с Example Ltd
amass intel \-org 'Example Ltd'Брут поддоменов example.com с выводом источников информации и ip-адресов сайтов

amass enum \-src \-ip \-d example.com

Сравнить последние 2 перечисления, выполненные с example.com
amass track \-config /root/amass/config.ini \-dir somebd \-d example.com \-last 2

Aquatone - это инструмент, который может пригодится пентестерам, когда есть большое количество хостов, и нужно быстро получить обзор поверхности атаки по каждому из них. Aquatone использует Headless Chrome для создания скриншотов веб-интерфейсов. Помимо этого тулза имеет и другие функции, такие как сканирование портов хоста, настройка прокси, можно настроить шаблон для html-отчёта и многое другое.

После применения тулзы создаётся отчёт, состоящий из следующих директорий и файлов:1) html-файл (который можно использовать для быстрой оценки поверхности атаки)
2) json-файл (содержащий заголовки веб-приложений с их значениями )
3) txt-файл с URL'ами
4) Папка headers (где содержатся HTTP-заголовки для каждого хоста)
5) Папка html (содержащий html-документы хостов)
6) Папка screenshots (содержащий скриншоты главных страничек)

Аналогами данного инструмента являются Gowitness и его вдохновитель Eyewitness.

ПрименениеСоздать отчёт со скриншотами в директории /forReports (Windows)

```
cat domains.txt | aquatone.exe -chrome-path 'Path to chrome app' -out /forReports

```
Создать отчёт со скриншотами в директории /forReports, проходясь по заданным портам (Linux)

cat hosts.txt | aquatone \-ports 80,443,3000,3001 \-chrome\-path 'Path to chrome app' \-out /forReports

Hakrawler - простой, но при этом надежный и эффективный web сrawler, утилизирующий известную библиотеку Gocolly, благодаря чему тулза работает всегда стабильно и быстро. Основная задача инструмента - это собирать URL'ы и местоположения js-файлов.

Применение:Crawl нескольких URL-адресов

```
cat urls.txt | hakrawler

```
Цепочка инструментов: получение всех поддоменов example.com, нахождение тех, которые отвечают на http(s) и сканирование их

echo example.com | subfinder subdomains | httpx | hakrawler