перешёл с crackmapexec на netexec, делюсь граблями

[lawlorg]

решился наконец полностью перейти с cme на netexec (nxc), старый crackmapexec год как заброшен, последний релиз древний. по фичам nxc ушёл далеко вперёд, модулей куча, ldap, mssql, winrm, smb из коробки. но пара граблей. во первых синтаксис местами поменялся, во вторых база теперь в ~/.nxc а не в ~/.cme, и старые креды надо мигрировать руками. кто уже плотно сидит, как со стабильностью на больших сетях?

[Kutz]

сижу полгода, полёт нормальный. на сетке /16 спреил один пароль через nxc smb с --continue-on-success, отработало ок, только rate сам ставь, а то лочишь акки пачками. badpwdcount никто не отменял, в проде за такое можно весь домен залочить и привет инцидент.

[torch22]

в проде за такое можно весь домен залочить и привет инцидент

плюсую, сам раз положил полотдела на password spray без оглядки на политику блокировки. сначала вытаскивай lockout policy через nxc ldap, смотри lockoutThreshold и observation window, и спрей по одному паролю на раунд с паузой больше окна. иначе ты не пентестер а генератор тикетов в хелпдеск, и заказчик первый же тебя и спалит по алертам.

[arich]

а bloodhound кто на чём гоняет? мы перешли на CE с neo4j в докере, legacy версия на электроне всё, не поддерживается. сборщик теперь bloodhound.py или sharphound, данные кидаешь через веб ui. кастомные cypher запросы перетащились почти все, только синтаксис по edge кое где поменялся, пришлось переписывать.

[jwmaiden]

@Kutz, не понимаю хайпа вокруг nxc, всё то же самое что cme делал. маркетинг, ребрендинг и звёзды на гитхабе.

[chuckger]

всё то же самое что cme делал. маркетинг, ребрендинг

нет. в cme не было нормального ldap модуля, половины coerce атак, и он реально падал на свежем питоне. nxc активно пилят, пулл реквесты мерджат за дни, а не за годы. это не ребрендинг а форк который выжил, пока оригинал тихо сдох. так что прежде чем нести, поставь и сравни модули рядом.