火眼发布Windows攻击工具集

Kali Linux 已成为攻击型安全专家的标配工具，但对需要原生Windows功能的渗透测试员来说，维护良好的类似工具集却是不存在的。

安全服务公司火眼就是要改变这一现状。3月28日，该公司发布了一个包含超过140个开源Windows工具的大礼包，红队渗透测试员和蓝队防御人员均拥有了顶级侦察与漏洞利用程序集。该工具集名为“曼迪安特完全攻击虚拟机(CommandoVM)”，为安全研究人员执行攻击操作准备了即时可用的Windows环境。

该工具集联合创建者，火眼曼迪安特顾问Jake Barteaux 称：

我合作过的几乎每一个渗透测试员都有自己的Windows机器，用于进行内部渗透测试。对很多渗透测试员而言，拥有这么一台Windows机器几乎可以说是行业标配技能了。很多人都会在上面安装Commando里包含的多数工具，但业内还从未出现过用于Windows测试的标准工具集。
工具集发行版可供渗透测试员解决两个主要问题：第一个就是找到最好的渗透测试工具。免费发行 Kali Linux 的 认证与培训组织 Offensive Security 透露：2013年发布的 Kali Linux 在发行版中包含了约600个安全、侦察和漏洞利用工具。CommandoVM中含有很多同样的工具，只不过，是天然能在Windows机器上运行的版本。

渗透测试员可将该虚拟机用作集结待命区。很多时候，弄个信标或在自己个人虚拟机上建立某种命令与控制据点，可以更容易地跳转进目标网络。
渗透测试员的第二个主要问题是工具集的维护。将需要的工具都打包到一个发行版里可以实现更快速的维护，让打补丁和更新变得更容易。Kali Linux 最开始是不定期更新，如今该工具集已经成了一天多次更新的滚动式发行版。

公司企业采用红队渗透测试查找自身网络和系统安全漏洞。虽然自动化扫描常常也能找出问题，但渗透测试能够让安全人员更专注于挖掘深层次的潜在漏洞。而且，此类活动能帮助事件响应人员，也就是蓝队，更快速有效地解决威胁。

CommandoVM基于火眼供恶意软件分析和应用逆向工程使用的 FLARE VM 平台，包含攻击性安全测试员常用的一系列工具，比如Python和Go编程语言，Nmap和Wirshark网络扫描器，BurpSuit之类的网络安全测试框架，以及Sysinternals、Mimikatz等Windows安全工具。

我们想让这些工具更便于初级红队测试员上手使用。我的另一个目标就是创建一个工具集。甚至高级红队测试员也能使用的那种。这是培训人员的一个好办法。
虽然这六年来 Kali Linux 已经成为事实上的渗透测试工具集，但渗透测试员总有用到Windows的时候。

特别是当你专注红队时，网络上可能不会正好有台Linux机器供你安装Kali。这时你就需要通过一台Windows机器来跳转了。

一个常见的攻击场景是用CommandoVM创建活动目录(AD)，用作深入网络的滩头阵地，在其上执行侦察、凭证收集和其他基于身份验证的入侵。火眼在博客上放出了攻击示例，演示了发现Jenkins服务器，利用Burp-Suite暴力破解登录凭证，以及获取服务器执行权限的过程。

可在GitHub上免费下载CommandoVM。自述文件中列出了该发行版包含的全部工具。

攻击示例：

https://www.fireeye.com/blog/threat-research/2019/03/commando-vm-windows-offensive-distribution.html

CommandoVM下载地址：

https://github.com/fireeye/commando-vm