Policy Analyzer [утилита для анализа и сравнения набора объектов групповых политик]

http://blogs.technet.com/cfs-filesystemfile.ashx/__key/telligent-evolution-components-attachments/01-4062-00-00-03-65-94-83/Policy-Analyzer.zip

Beef + Armitage [plugin]

git clone https://github.com/benyG/cortana-scripts

копируем папку beef_strike из cortana-scripts  в /root/
копируем библиотеки из архива (зеркало) в папку /beef_strike/lib
после чего запускаем Armitage.

Подгружаем скрипт beef_strike.cna (если папка beef_strike находится не в каталоге /root/, редактируем файл beef_strike.cna, изменяем пути импорта)

Методы обнаружения песочниц

https://github.com/a0rtega/pafish

Инструмент, который демонстрирует методы обнаружения песочницы и сред анализа вредоносного ПО, таким же образом, как малварь:

Проследить открытие документа. Утечки данных.

На последнем Black Hat Las Vegas был представлен интересный проект Canarytokens, который может элегантно решить проблему. Идея проекта очень проста: мы создаем поддельные «значимые» ресурсы (письма, документы, домены и так далее) и делаем так, чтобы при открытии любого из них атакующим на внешний ресурс отправлялся запрос со специальным токеном. Как только токен приходит, мы узнаем, что кто-то открыл документ, а значит, у нас утечка. Простейший вариант: создать вордовский документ с интересным названием типа passwords.doc с картинкой, вставленной с внешнего сайта.

http://canarytokens.org/generate
https://github.com/GrrrDog/DocTracker

«Офис» с давних времен поддерживает возможность подписать документ, что позволяет защитить его от последующих исправлений. Подпись создается с помощью обычного личного сертификата x509 (считай тот же, что и у HTTPS). При этом подпись документа проверяется сразу же при его открытии, то есть Protected View не останавливает этот процесс.
Второй момент заключается в том, что сертификат проверяется стандартным виндовым CryptoAPI. В самих сертификатах масса мест, где можно указать внешний URL. В первую очередь — проверка отзыва сертификата
(CRL, OCSP) и путь до Intermediate или Root CA («Поставщик центра сер-
тификации»). Таким образом, при проверке подписи «Офису» требуется
проверить сертификат, а потому ОС проверяет всю цепочку сертификатов
(от конечного до корневого), проходя по всем URL. Добыть валидный конечный сертификат с произвольными значениями
CRL и OCSP почти невозможно (эти поля контролируются CA), так что мы
возлагаем надежду только на местоположение сертификата Intermediate
CA — при проверке валидности ОС должна сходить и скачать его. Выходит,
нам нужно создать конечный сертификат и подписать им любой офисный
документ. Создать сертификат несложно: достаточно сделать специальный кон-
фиг и пару раз выполнить команду openssl. Подписать документ тоже не великая
проблема — заходишь во вкладку Insert, далее — Signature Line, вводим
произвольные значения, OK, двойной клик на подпись и выбираешь лич-ный сертификат.

Javascript malware analysis / Javascript backdoor [RAT]

JavaScript Backdoor:

http://en.wooyun.io/2016/01/18/JavaScript-Backdoor.html

v.1 https://github.com/subTee/PoshRat/blob/master/JSrat.ps1

v.2 https://github.com/3gstudent/Javascript-Backdoor/blob/master/JSRat.ps1

Sandbox for semi-automatic Javascript malware analysis. Written for Node.js

https://github.com/HynekPetrak/malware-jail

Prerequisites
You'll need Node.js and npm.

malware-jail requires minimist, and xmlhttprequest and entities npm packages, you may install them with: 

npm install or nmp install minimist xmlhttprequest entities

In the examples folder you may find a deactivated malware file. Run the analysis with:

node jailme.js malware/example.js 

or just simply:

node jailme.js

Internet browser based malware you may test with:

node jailme.js malware/example_browser.js

Репозиторий материалов по ИБ [eng]

Zenk-Security Repository

https://repo.zenk-security.com/?dir=.

Материалы для фаззинга [FuzzDB]

https://github.com/fuzzdb-project/fuzzdb

фаззинг (англ. fuzzing) — это способ тестирования приложений, в основе которого лежит передача некорректных, случайных или непредвиденных логикой программы данных. Чаще всего фаззинг применяется при blackbox-тестировании, т.е. в условиях отсутствия исходных кодов приложения.

Прежде всего необходимо определить нашу цель и отправить ее в Intruder (Actions -> Send To Intruder)...

PowerShell Empire [пост-эксплуатация Windows]

https://github.com/powershellempire/empire

http://www.powershellempire.com/

Video

Video_Rus

Empire is a pure PowerShell post-exploitation agent built on cryptologically-secure communications and a flexible architecture. Empire implements the ability to run PowerShell agents without needing powershell.exe, rapidly deployable post-exploitation modules ranging from key loggers to Mimikatz, and adaptable communications to evade network detection, all wrapped up in a usability-focused framework.

iptables.Создание ловушек на портах. [ TARPIT ]

TARPIT реализован в iptables как дополнительный модуль фаервола и в стандартной поставке его нету. По крайней мере в Ubuntu/Debian это так! Этот модуль включен в пакет вместе с другими интересными модулями фаервола — xtables-addons. Попробуем поискать что есть в репах:

root@Ubuntu:~# apt-cache search xtables
iptables-dev - iptables development files
libxtables10 - netfilter xtables library
xtables-addons-common - Extensions targets and matches for iptables [tools, libs]
xtables-addons-dkms - Extensions targets and matches for iptables
xtables-addons-source - Extensions targets and matches for iptables [modules sources]
root@Ubuntu:~#

Я установил весь пакет, думаю можно собрать конкретные модули из сырцов (xtables-addons-source), но заморачиваться неохота … это же не бздя, нафик самосбор!

root@Ubuntu:~# apt-get install xtables-addons-dkms

root@Ubuntu:~# modprobe xt_TARPIT

...
В логах proftpd светился один крайне назойливый бот, добавляем правило для него:

root@Ubuntu:~# iptables -I INPUT 1 -p tcp -s 175.44.28.125 -j TARPIT

Убедиться что правило добавилось можно просмотрев листинг правил iptables:

root@Ubuntu:~# iptables -L -v -n

Ну вот и все! В следующий раз данному боту обломится нас брутфорсить, да и все остальные сервисы по TCP ему будут недоступны .

P.S. Это простейший метод, ручной. Если вы хотите автоматически блокировать ботов анализируя лог-файлы различных сервисов, вам нужно настроить fail2ban или подобный сервис. Думаю что в ближайшем будущем я напишу о его установке и настройке.

Python Tools : Penetration Testers Arsenal (hack scripts, tools)

Network

• Scapy, Scapy3k: Send, sniff and dissect and forge network packets. Usable interactively or as a library
• pypcap, Pcapy and pylibpcap: Several different Python bindings for libpcap
• libdnet: Low-level networking routines, including interface lookup and Ethernet frame transmission
• dpkt: Fast, simple packet creation/parsing, with definitions for the basic TCP/IP protocols
• Impacket: Craft and decode network packets. Includes support for higher-level protocols such as NMB and SMB
• pynids: Libnids wrapper offering sniffing, IP defragmentation, TCP stream reassembly and port scan detection
• Dirtbags py-pcap: Read pcap files without libpcap
• flowgrep: Grep through packet payloads using regular expressions
• Knock Subdomain Scan, Enumerate subdomains on a target domain through a wordlist
• SubBrute, Fast subdomain enumeration tool
• Mallory, Extensible TCP/UDP man-in-the-middle proxy, supports modifying non-standard protocols on the fly
• Pytbull: Flexible IDS/IPS testing framework (shipped with more than 300 tests)

Debugging and Reverse Engineering