AV\EDR AV панель

[ioioio777]

Подскажите пж, как можно найти АВ панель в сети, если она висит на стандартном порту и не выделяется на фоне других веб сервисов? Спасибо

 

[ipv8]

Ты в правильном направлении.
Просканируй всю сеть развернуто, по всем портам отвечающие за прием от клиентов АВ.
На оф сайте АВ найдешь все порты которые нужны.

 

[Kewin]

Попробуй снять всю историю браузеров через brview. Возможно там будет что-то интересное,

 

[ioioio777]

Ты в правильном направлении.
Просканируй всю сеть развернуто, по всем портам отвечающие за прием от клиентов АВ.
На оф сайте АВ найдешь все порты которые нужны.

Это, конечно, хорошо, но что делать если АВ панель висит на 80 порту? Метод перебора возможен в маленьких сетях, а если сеть большая?

 

[Dropbear]

Если веб панель, тот тут только один вариант Nmap -p 80

Метод перебора возможен в маленьких сетях, а если сеть большая?

Сеть интернет будешь сканить?)

 

[ioioio777]

Сеть интернет будешь сканить

неа)

 

[Dropbear]

неа)

Ну так даже если сеть большая, то на один порт нмап довольно быстро просканит при мощном железе и шустрым инетом

 

[Whisper]

Ну так даже если сеть большая, то на один порт нмап довольно быстро просканит при мощном железе и шустрым инетом

Для этого нужно нмап протащить внутрь. Иначе быстрый инет должен быть с обеих сторон, опять же если 80й порт то как то грустно.
А если на таргете мониторить уникльные соеденения не выходящие за пределы локалки?
Просто самому интересно, про разные подходы. Как правило решает бравзер граб, но снять граб с большого количества машин даже имея автоматизацию в этом вопросе не всегда просто, бывает что сотня тачек а нужные линки и креды только на одной, и то линк может быть не в виде ип а какое то имя, и когда таких линков тебе вагон насыпало то найти среди них нужный тоже задача.

 

[seidziwhitehat]

Для этого нужно нмап протащить внутрь. Иначе быстрый инет должен быть с обеих сторон, опять же если 80й порт то как то грустно.
А если на таргете мониторить уникльные соеденения не выходящие за пределы локалки?
Просто самому интересно, про разные подходы. Как правило решает бравзер граб, но снять граб с большого количества машин даже имея автоматизацию в этом вопросе не всегда просто, бывает что сотня тачек а нужные линки и креды только на одной, и то линк может быть не в виде ип а какое то имя, и когда таких линков тебе вагон насыпало то найти среди них нужный тоже задача.

80 порт - совсем не грустно, если там не прекручен ssl. Потому как очень легко снифнуть креды

 

[tuda]

как их снифать?

 

[y2k4c3]

The AV panel can be also on Cloud. Most of the companies use on premise AV Panel and you need to sniff the traffic of a station but using something like opensnitch that is monitoring specific apps for outgoing traffic.

 

[seidziwhitehat]

как их снифать?

Просто пассивно слушаешь траф и ждешь пока админ залогинится в панель, это сработает если к панели не прикручен ssl(что достаточно редкий случай)
Еще можно посмотреть в сторону мисконфигов самой панели, если там нормально не настроен HSTS - можно через mitm редиректнуть админа на фиш панель.