De Command Library

← Terug naar de hoofdhandleiding

1. Wat is dit?

Laten we eerlijk zijn. Het is donderdagavond, je zit achter je scherm, je hebt net een shell gekregen op een machine waarvan de systeembeheerder dacht dat-ie veilig was omdat het wachtwoord “Welkom2024!” was, en nu denk je: en nu?

Precies. En nu.

De Command Library is een verzameling platte tekstbestanden — zonder extensie, want we zijn hier niet bij een boekenclub — die je in de Incompetent Bastard-webapp kunt bekijken, filteren, en met een druk op de knop in je terminal kunt injecteren. Het is het verschil tussen “ik weet dat ik iets met Rubeus moet doen” en daadwerkelijk het juiste commando voor je neus hebben. Zonder te hoeven googlen. Zonder Reddit. Zonder die ene blogpost uit 2019 die niet meer laadt omdat de auteur zijn domein niet heeft verlengd.

Elk bestand bevat commando’s, uitleg in het Nederlands, en tips. Kopieer ze, plak ze, pas de placeholders aan (ATTACKER_IP, TARGET_IP, DOMAIN, etc.) en je bent onderweg. Het is alsof iemand al je aantekeningen van de afgelopen vijf jaar heeft verzameld, geordend, en in een doorzoekbare interface heeft gestopt. Behalve dat jouw aantekeningen een onleesbaar handschrift hadden en op de achterkant van kassabonnen stonden. Deze zijn beter.

2. Waar staan ze?

http/commands/

Dat is het. Geen submappen. Geen YAML. Geen JSON. Geen XML. Geen configuratiebestanden die naar andere configuratiebestanden verwijzen die naar een database verwijzen die naar een cloudservice verwijst. Platte tekst. De bestandsnaam is de categorie. kerb_kerberoast zit bij Kerberos. web_sqli_union zit bij Web: SQL Injection. Het is zo simpel dat het bijna verdacht is, als een gratis parkeerplaats in het centrum — je kijkt drie keer of er geen bord staat dat je over het hoofd hebt gezien.

De webapp groepeert ze automatisch op prefix. Open de Command Library pagina of de Screen Terminal sidebar en je ziet ze netjes onder opvouwbare headers staan. Er is een zoekbalk. Die werkt. Dat klinkt als het minimum. Dat ís het minimum. Maar het is meer dan je van de meeste zoekbalken kunt zeggen.

3. Reconnaissance recon_

Eerst kijken, dan pas aanraken. Je moeder had gelijk. Over dit specifieke onderwerp, in elk geval.

Voordat je ergens binnenkomt, moet je weten waar de deuren zijn. En de ramen. En dat ene ventilatierooster waar niemand aan heeft gedacht maar waar jij doorheen past als je inademt.

4. Enumeratie enum_

Je bent binnen. Tijd om rond te kijken alsof je in een museum bent waar je niet mag fotograferen — maar je doet het toch. Met een professionele camera. En een statief.

5. Active Directory ad_

Het hart van elk bedrijfsnetwerk. Gebouwd in de jaren ’90, onderhouden met de zorgvuldigheid van een student die zijn kamer opruimt vijf minuten voordat zijn ouders aanbellen.

6. AD CS Attacks adcs_

Active Directory Certificate Services: het PKI-systeem dat niemand begrijpt en iedereen heeft geïnstalleerd omdat “het erbij zat.” Dat is ook de reden waarom de meeste mensen een fitness-app op hun telefoon hebben.

7. Kerberos kerb_

Het authenticatieprotocol dat vernoemd is naar de driekoppige hellehond uit de Griekse mythologie. Dat had een waarschuwing moeten zijn. Drie koppen. Drie manieren om gebeten te worden.

8. AMSI Bypass amsi_

De Antimalware Scan Interface. Microsoft’s poging om PowerShell-misbruik tegen te gaan. Het werkt. Tot je het uitzet. Wat je gaat doen. Waarvoor deze bestanden bestaan.

9. AV Bypass av_

Antivirussoftware: het slot op de voordeur terwijl het raam openstaat. En de achterdeur. En het dakraam. Maar het slot is er. En het is een goed slot.

10. AppLocker Bypass applocker_

AppLocker: de uitsmijter die alleen controleert of je naam op de lijst staat, maar niet of het echt jij bent. Als je zegt dat je “MSBuild” heet, mag je naar binnen.

11. Credential Dumping cred_

Wachtwoorden ophalen uit plaatsen waar ze niet hadden moeten liggen. Wat — eerlijk gezegd — overal is. Het is alsof je zoekt naar stof in een huis. Je vindt het overal. Het enige wat varieert is de hoeveelheid.

12. Process Injection inject_

Code uitvoeren in het geheugen van een ander proces. Want als notepad.exe verbinding maakt met het internet, valt dat minder op dan je_payload.exe. Niet veel minder. Maar minder.

13. Lateral Movement lateral_

Van machine A naar machine B. Reizen door een netwerk alsof het een treinnetwerk is, behalve dat niemand je kaartje controleert en er geen vertraging is. Dus eigenlijk helemaal niet als een treinnetwerk.

14. Linux Post-Exploitation linux_

Want niet alles draait op Windows. Soms is het een Linux-machine. En die heeft zijn eigen charmes. En zijn eigen problemen. Vooral zijn eigen problemen.

15. Privilege Escalation privesc_

Van gewone gebruiker naar beheerder. De meeste systemen zijn niet gehackt door de voordeur in te trappen. Ze zijn gehackt door via de achterdeur binnen te komen en dan de trap op te lopen. Met pantoffels. Zonder geluid.

16. Password Attacks passwd_

Wachtwoorden raden. Het klinkt primitief. Het werkt verrassend vaak. Dat zegt meer over wachtwoorden dan over de techniek.

17. Persistence persist_

Je bent binnen. Je wilt er blijven. Want terugkomen is lastiger dan binnenkomen. Net als bij een feestje waar je te laat arriveert — de deur is dan op slot.

18. Reverse Shells shell_

De verbinding terug naar jouw machine. Want een shell is pas een shell als je erin kunt typen. Anders is het gewoon een venster waar je naar kijkt.

19. Tunneling & Pivoting tunnel_

Je hebt een machine. Maar de machines die je écht wilt bereiken zitten achter een firewall. Tijd om een tunnel te graven. Geen schep nodig. Alleen een terminal.

20. Network Evasion net_

Verkeer verstoppen, omleiden, en doen alsof het iets anders is. Het internet-equivalent van een snor opplakken en hopen dat niemand het merkt.

21. MSSQL Attacks mssql_

SQL Server: de database die ook een operating system wil zijn. En dat een beetje is. Genoeg om gevaarlijk te zijn. Niet genoeg om nuttig te zijn. Het slechtste van twee werelden.

22. PowerShell Cradles ps_cradle_

Vijf manieren om een PowerShell-script in-memory te laden. Want diversiteit is belangrijk. Ook — néé, vóóral — in de offensieve beveiliging.

23. PowerShell Payloads, Metasploit & Tool Downloads

PowerShell Payloads ps...

De psmeth*, psmimikatz, pssharphound, psprintspoofer en aanverwante bestanden. Dit zijn kant-en-klare PowerShell one-liners die specifieke tools downloaden en uitvoeren. Selecteer, pas het IP aan, injecteer. Klaar. Geen nadenken nodig. Dat heb je al gedaan toen je koos welke tool je wilde draaien. De rest is automatisch.

Metasploit msf...

msf_tcp, msf_https, msf_https8080, msfshell_tcp, msfshell_tcp8080. Metasploit handler-configuraties en meterpreter/shell payloads. De standaard gereedschapskist. Het equivalent van een hamer en een schroevendraaier: niet spectaculair, altijd nodig, en als je ze niet hebt ben je nergens.

Tool Downloads get_

27 bestanden die stuk voor stuk een specifiek hulpmiddel downloaden naar de doelmachine. Van get_mimikatz tot get_winpeasx64, van get_rubeus tot get_pingcastle. Elk bestand is een one-liner: een certutil, PowerShell WebClient, of vergelijkbaar commando dat de tool ophaalt van jouw HTTP-server en op de doelmachine neerzet.

Het zijn er 27. Ze zijn allemaal een variatie op hetzelfde thema. Ze werken. Ze stellen geen vragen. Ze downloaden. Het is het minst ingewikkelde deel van deze hele operatie, en soms is eenvoud precies wat je nodig hebt na een uur lang Kerberos-tickets vervalsen.

24. Web Attacks web_*

Het internet is gebouwd op vertrouwen. Dat is het probleem. Het hele probleem. In één zin.

Dit is de grootste groep, onderverdeeld in subcategorieën. Elke subcategorie is een manier waarop het internet je teleurstelt. Of waarop je het internet teleurstelt, afhankelijk van je perspectief.

25. Exploits, Proof & Overig

Exploits exploit_

Proof / Flags proof_

Het bewijs dat je er was. Omdat “geloof me nou maar” geen geldige rapportagemethode is.

Overig

De bestanden die niet in een categorie passen: mimikatz (directe Mimikatz-commando’s), sharphound (SharpHound invocatie), handler_https (Metasploit HTTPS handler), certutilmeth (certutil download methode), cpassword (Group Policy Preferences wachtwoorden), add_user_windows, run_as, set_creds, vuurmuur, en meer. De miscellanea. De losse sokken in de la. Je hebt ze niet elke dag nodig. Maar als je ze nodig hebt, zijn ze er. En dat is het verschil tussen een complete toolkit en een bijna-complete toolkit, en “bijna” is in de beveiliging het gevaarlijkste woord dat er is.

26. Hoe gebruik je dit?

In de Command Library pagina

1. Open de webapp
2. Ga naar Command Library
3. Blader door de categorieën of gebruik de zoekbalk
4. Klik op een commando om het te zien
5. Pas de placeholders aan (ATTACKER_IP, TARGET_IP, etc.)
6. Klik op Copy of Inject om het in je terminal te plakken

Zes stappen. Je kunt ze uit je hoofd leren. Of je kunt deze lijst nog een keer lezen. Ik oordeel niet. Ik oordeel een klein beetje. Maar niet hardop.

In de Screen Terminal

1. Open Screen in de webapp
2. De sidebar rechts toont dezelfde Command Library
3. Klik op een commando en het wordt direct in je screen-sessie geïnjecteerd
4. De find/replace-functie vervangt automatisch placeholders als je je IP hebt ingesteld

Vier stappen. Twee minder dan de vorige methode. Dat is een besparing van 33%. Als iemand je vraagt wat je vandaag hebt bereikt, kun je zeggen dat je je workflow met een derde hebt geoptimaliseerd. Dat klinkt indrukwekkend in elke vergadering.

Via het Field Manual — Ctrl+K

Beschikbaar op elke pagina. Typ, zoek, vind, vervang, kopieer. Zonder de pagina te verlaten. Zonder context te verliezen. Zonder dat gevoel van “waar was ik ook alweer” dat je krijgt als je naar een andere pagina navigeert en vergeet waarom je dat deed.

Zelf commands toevoegen

Maak een nieuw tekstbestand aan in http/commands/. Geen extensie. Zet er commando’s in met #-commentaar erboven. De bestandsnaam bepaalt de categorie via het prefix.

# Mijn custom techniek - wat het doet
# Vereiste: local admin
commando_hier --target TARGET_IP
# Tip: dit werkt alleen op dinsdag

Sla op. Ververs de pagina. Het staat er. Geen configuratie. Geen herstart. Geen YAML. Gewoon een bestand. Het is de meest ontwapenend simpele manier om een kennisbank uit te breiden, en je zult je afvragen waarom niet alle software zo werkt. Het antwoord is: omdat de meeste software wordt gebouwd door comités, en comités houden van YAML.

27. Placeholders

Overal in de command files staan placeholders in HOOFDLETTERS. Vervang ze door de werkelijke waarden. Of vergeet het en stuur een reverse shell naar 10.0.0.1. Dat is ook een optie. Geen goede optie. Maar een optie.

---

Slotwoord

Dit zijn tekstbestanden met technieken die netwerken kunnen compromitteren, wachtwoorden kunnen stelen en systemen kunnen overnemen. Ze bestaan niet omdat dit leuk is (het is ook leuk — wie zegt dat werk niet leuk mag zijn?), maar omdat verdedigers moeten begrijpen hoe aanvallers werken. Je kunt geen muur bouwen als je niet weet waar de ladder staat. En je kunt geen ladder verplaatsen als je niet weet dat hij er staat. En je kunt niet weten dat hij er staat als je niet kijkt. En kijken — dat is wat deze bestanden je leren.

Gebruik dit uitsluitend in geautoriseerde omgevingen. Als je geen schriftelijke toestemming hebt, heb je geen toestemming. Punt. Geen “maar.” Geen “eigenlijk.” Geen “het was maar een test.” Schriftelijk. Ondertekend. Door iemand die bevoegd is.

En vergeet niet je IP-adressen aan te passen. Er is niets gênanter dan een reverse shell die verbinding maakt met 10.0.0.1. Behalve misschien een reverse shell die verbinding maakt met 127.0.0.1. Dan hack je jezelf. En dat is een niveau van incompetentie waar zelfs deze applicatie geen naam voor heeft.