RedSnarf 使用教程

1. 项目介绍

RedSnarf 是一款由 Ed Williams 开发的渗透测试和红队工具，专门用于从 Windows 工作站、服务器和域控制器中检索哈希和凭据。RedSnarf 通过 OpSec 安全技术，确保在渗透测试过程中不会在目标主机上留下任何证据，也不会对主机造成不必要的损害。

RedSnarf 的主要功能包括：

• 检索本地 SAM 哈希
• 枚举具有提升系统权限的用户及其相应的 lsa 密码
• 检索 MS 缓存凭据
• 通过哈希传递（Pass-the-hash）
• 快速识别弱口令和可猜测的用户名组合
• 跨区域检索哈希
• 哈希喷洒
• Lsass 转储以用于 Mimikatz 的离线分析
• 使用 NTDSUtil 转储域控制器哈希并检索 NTDS.dit 进行本地解析
• 从域控制器检索脚本和策略文件夹并解析其中的“密码”和“管理员”
• 解密 cpassword 哈希
• 在远程机器上启动 shell
• 清除事件日志
• 在远程机器上启用/禁用 RDP
• 将 RDP 端口从 3389 更改为 443
• 在远程机器上启用/禁用 NLA
• 查找用户在远程机器上登录的位置
• Windows 登录界面后门
• 在远程机器上启用/禁用 UAC
• 隐藏 Mimikatz
• 解析域哈希
• 确定哪些帐户被启用/禁用
• 抓取远程登录的活动用户桌面屏幕截图
• 记录远程登录活动用户桌面
• 解密 Windows 密码
• 解密 WinSCP 密码
• 获取用户的 SPN
• 从远程机器检索 WIFI 密码

2. 项目快速启动

2.1 安装依赖

RedSnarf 依赖于以下工具和库：

• Impacket v0.9.16-dev
• CredDump7
• Netaddr
• Termcolor
• iconv

可以通过以下命令安装这些依赖：

git clone https://github.com/CoreSecurity/impacket.git
cd impacket
python setup.py install

git clone https://github.com/Neohapsis/creddump7.git
cd creddump7
python setup.py install

pip install netaddr
pip install termcolor

2.2 下载和安装 RedSnarf

git clone https://github.com/nccgroup/redsnarf.git
cd redsnarf

2.3 使用示例

2.3.1 检索本地哈希

./redsnarf.py -H ip=10.0.0.50 -u administrator -p Password01

2.3.2 跨网络范围检索哈希

./redsnarf.py -H range=10.0.0.1/24 -u administrator -p Password01 -d yourdomain.com

2.3.3 哈希喷洒

./redsnarf.py -H range=10.0.0.1/24 -hS credsfile -d yourdomain.com

3. 应用案例和最佳实践

3.1 企业内部渗透测试

RedSnarf 可以用于企业内部的渗透测试，帮助安全团队识别和修复潜在的安全漏洞。通过检索和分析哈希和凭据，可以发现弱口令和配置错误，从而提高整体安全性。

3.2 红队演练

在红队演练中，RedSnarf 可以模拟真实的攻击场景，帮助组织评估其防御措施的有效性。通过使用 RedSnarf 进行哈希传递和凭据检索，红队可以测试组织的响应能力和事件处理流程。

3.3 事件响应

在事件响应过程中，RedSnarf 可以帮助安全团队快速收集和分析证据。通过检索和解析哈希和凭据，可以确定攻击者的活动范围和影响，从而制定有效的应对策略。

4. 典型生态项目

4.1 Impacket

Impacket 是一个用于网络协议操作的 Python 库，广泛用于渗透测试和安全研究。RedSnarf 依赖于 Impacket 进行网络通信和协议操作。

4.2 Mimikatz

Mimikatz 是一个用于检索和操作 Windows 凭据的工具。RedSnarf 可以与 Mimikatz 结合使用，进行 Lsass 转储和离线分析。

4.3 CredDump7

CredDump7 是一个用于从 Windows 系统中提取凭据的工具。RedSnarf 使用 CredDump7 进行哈希和凭据的解析和提取。

通过结合这些工具，RedSnarf 可以提供全面的渗透测试和红队功能，帮助组织提升其安全防御能力。