RedSnarf是一款由Ed William 和 Richard Davy開發(fā)的，專門用于滲透測(cè)試及紅隊(duì)的安全工具。RedSnarf通過OpSec技術(shù)，從Windows工作站，服務(wù)器和域控制器中檢索散列和憑據(jù)。
RedSnarf的主要任務(wù)包括以下兩項(xiàng)：
不在入侵/滲透的主機(jī)上留下任何證據(jù) – 包括文件，進(jìn)程和服務(wù)；
不對(duì)主機(jī)造成不適當(dāng)?shù)膿p害，即強(qiáng)制主機(jī)重啟
YouTube演示：https://youtu.be/oLmpOol8NV8
為什么要使用RedSnarf？
其實(shí)除了RedSnarf，還有許多優(yōu)秀的后滲透利用工具；例如smbexec和Metasploit就擁有強(qiáng)大的后滲透利用模塊。那么既然如此，我們?yōu)槭裁催�要選擇使用RedSnarf呢？
下面，讓我來列舉幾點(diǎn)RedSnarf的不同之處：
使用起來更加簡(jiǎn)便
占用更小的空間內(nèi)存（工具代碼量小于500行）
減少服務(wù)器上的操作頻率
模塊化
線程化
RedSnarf功能包括：
檢索本地SAM散列
枚舉當(dāng)前以系統(tǒng)權(quán)限運(yùn)行的用戶及其相應(yīng)的lsa密碼；
檢索MS緩存憑證；
Pass-the-hash；
快速識(shí)別弱口令和可猜測(cè)用戶名組合（默認(rèn)為admin/Password01）;
跨區(qū)域檢索哈希
Credsfile將接收由空格分隔的pwdump，fgdump和純文本用戶名和密碼的混合；
Lsass轉(zhuǎn)儲(chǔ)以用于Mimikatz的離線分析；
使用NTDSUtil轉(zhuǎn)儲(chǔ)域控制器散列，并檢索NTDS.dit進(jìn)行本地解析；
使用drsuapi方法轉(zhuǎn)儲(chǔ)域控制器散列；
從域控制器檢索腳本和策略文件夾，解析’密碼’和’管理員’；
能夠解密cpassword哈希；
能夠在遠(yuǎn)程機(jī)器上啟動(dòng)shell；
清除事件日志（應(yīng)用程序，安全性，設(shè)置或系統(tǒng)）的能力；（僅限內(nèi)部版本）
結(jié)果將被保存在每個(gè)主機(jī)基礎(chǔ)上用于分析。
在遠(yuǎn)程機(jī)器上啟用/禁用RDP。
將RDP端口從3389更改為遠(yuǎn)程計(jì)算機(jī)上的443。
在遠(yuǎn)程機(jī)器上啟用/禁用NLA。
查找用戶在遠(yuǎn)程計(jì)算機(jī)上登錄的位置。
Windows登錄界面后門
在遠(yuǎn)程機(jī)器上啟用/禁用UAC。
mimikatz添加隱藏。
解析域哈希
能夠確定哪些帳戶被啟用/禁用
抓取遠(yuǎn)程登錄的活動(dòng)用戶桌面屏幕截圖
記錄遠(yuǎn)程登錄活動(dòng)用戶桌面
解密Windows密碼
解密WinSCP密碼
獲取用戶的SPN
從遠(yuǎn)程機(jī)器檢索WIFI密碼
開發(fā)與依賴
RedSnarf是在以下環(huán)境開發(fā)的：
Kali Linux
python 2.7.9
termcolor (1.1.0)
依賴：
Impacket v0.9.16-dev – https://github.com/CoreSecurity/impacket.git
CredDump7 – https://github.com/Neohapsis/creddump7
使用procdump檢索Lsass - https://technet.microsoft.com/en-us/sysinternals/dd996900.aspx
Netaddr (0.7.12) – pip install netaddr
Termcolor (1.1.0) – pip install termcolor
iconv – 用于在本地解析Mimikatz信息
顯示幫助信息：
./redsnarf.py -h
./redsnarf.py --help
相關(guān)演示文檔：https://www.nccgroup.trust/uk/about-us/newsroom-and-events/blogs/2016/november/introducing-redsnarf-and-the-importance-of-being-careful/
Github下載：https://github.com/nccgroup/redsnarf
| 
