CS-Situational-Awareness-BOF

环境感知 BOF 这个仓库有两个目的。 首先，它提供了一组基础的环境感知命令，这些命令实现在 Beacon Object File (BOF) 中。 这使您可以在开始执行可能更具侵入性的命令之前，对主机进行一些检查。 它更大的目标是为其他人提供代码示例和工作流程，以便他们开始制作更多的 BOF。 它是此博客文章的配套文档：https://www.trustedsec.com/blog/a-developers-introduction-to-beacon-object-files/

创建新的 BOF

如果您想使用与此仓库相同的工作流程,基本步骤如下:

1. 创建一个覆盖目标主题的文件夹,例如在本仓库中,我们使用 SA
2. 将 base_template 复制到 topic/commandname 目录下
3. 修改 Makefile,使命令名位于第一行。这应该与文件夹名相同
4. 如果要执行除 SA 以外的其他操作,请确保同时修改 makefile 的第 14 行和第 15 行,以便将其移动到正确的位置
5. 在主题文件夹的根目录下创建一个 .cna 文件,并添加您引用的命令。如果您遵循了此格式,则可以从 SA.cna 中获取 helper 函数 readbof

从现实的角度来看,这可以压缩成一个辅助脚本,但本次工作并未采取这些步骤。

|命令|用法|说明| |adcs_enum|adcs_enum|使用 Win32 函数枚举 AD 中的 CA 和模板| |adcs_enum_com|adcs_enum_com|使用 ICertConfig COM 对象枚举 AD 中的 CA 和模板| |adcs_enum_com2|adcs_enum_com2|使用 IX509PolicyServerListManager COM 对象枚举 AD 中的 CA 和模板| |adrbperms|adrbperms|检查当前用户是否具有对 Active Directory 回收站的读取权限| |adrbstatus|adrbstatus|检查当前域中的 Active Directory 回收站的状态(启用/禁用)| |adrblist|adrblist|枚举 Active Directory 回收站中的所有已删除对象| |adv_audit_policies|adv_audit_policies|检索高级安全审计策略| |arp|arp|列出 ARP 表| |cacls|cacls [filepath]|列出指定文件的用户权限,支持通配符|