CobaltStrike插件PostExpKit - 用户操作模块

今天给大家分享下我最近刚完成的PostExpKit插件的用户操作模块，可用于在实战场景下绕过某些安全防护的拦截执行用户操作等相关命令，集成多种执行利用方式，更适用于实战各类场景...。

有关PostExpKit插件的其他功能模块以及更新记录可以看我之前发的几篇文章：

• 简单好用的CobaltStrike提权插件
• PostExpKit - 20240423更新

实战常见场景

实战中常遇到以下两个场景，我们应尽量避免使用NET高危命令执行用户相关操作，例如CobaltStrike中的shell、run、execute执行添加/删除用户等命令均会被某安全防护拦截，如下图所示。

目标主机存在某些安全防护软件拦截添加/删除用户和管理员组等情况；
getuid为system高权限，但whoami为iis低权限，无法添加用户等情况；
[...SNIP...]

模块功能介绍

这个模块有以下一些用户操作功能，通过使用反射DLL、C#、API、BOF、REG、BNET、Powershell以及底层等多种方式实现绕过某些安全防护进行查询/添加/激活/删除用户等等功能，如下图所示。

查询在线用户（BOF）
删除指定用户（API）
查询所有用户（REG、BOF、BNET、Powerpick、NoPowerShell）
查询指定用户（API、BOF、BNET、Powerpick）
查询所有组名称（Powerpick、NoPowerShell）
查询指定组成员（API、BOF、BNET、Powerpick、NoPowerShell）
查看密码策略规则（NET、BOF）
克隆管理用户权限（UserClone、ShadowUser、Powerpick）
绕过防护添加用户（C#、DLL、API、BOF、Argue、VBScript、Powershell）
[...SNIP...] 

部分功能演示

查询所有用户和指定组成员（BOF）：

克隆管理用户权限（ShadowUser）：

绕过防护添加用户（MS-SAMR AddUser）：

• 这个插件目前只在【潇湘信安】知识星球公开，感兴趣的师傅可在下方领取优惠券加入。
• 更多适用于后渗透实战的CobaltStrike脚本、插件功能正在陆续进行测试，敬请期待...。
• 大家在使用PostExpKit插件过程中有遇到啥问题可以在知识星球或者WX找我反馈、交流。