方程式组织DanderSpritz工具测试环境

DanderSpritz是NSA泄露的一款著名的界面化远控工具，由于其功能强大因此也成为了许多安全人员争相研究的对象。但在实际测试过程中，由于缺少说明文档，所以问题也层出不穷。而DanderSpritz lab就是为了解决这些问题而被开发出来的。DanderSpritz lab能够让安全研究人员轻松构建和配置功能齐全的DanderSpritz实验环境，以进行相关的逆向及研究测试工作。
关于DanderSpritz lab的介绍可以阅读这篇文章：https://medium.com/@francisck/introducing-danderspritz-lab-461912313d7c
以及我为DanderSpritz创建的文档网站：https://danderspritz.com
警告：本实验环境未执行任何形式的安全加固，并以默认的vagrant凭据运行。因此，请不要将该实验环境连接/桥接到任何重要的网络当中！
安装环境及软件版本要求：
20GB以上的可用磁盘空间
8GB以上的内存
20GB带宽使用（下载ISO，更新，服务包等）
Packer v1.2.3或更高版本
Vagrant v2.1.1或更高版本
Vagrant-Reload插件
Virtualbox（VMWare Fusion/Workstation）
启动DanderSpritz Lab
DanderSpritz使用Packer，Vagrant和Vagrant-reload插件来安装和配置实验环境。Packer将直接从Microsoft下载Windows ISO并安装该软件的试用版，以供后续的研究测试使用。
1.克隆DanderSpritz lab存储库到你的机器：git clone git@github.com:francisck/DanderSpritz_lab.git
2.确保你已安装Vagrant-reload插件 vagrant plugin install vagrant-reload
3.运行packer build danderspritz_lab.json命令，下载ISO并构建Vagrant box
4.Vagrant box构建完成后，启动虚拟机：vagrant up
创建一个FuzzBunch项目
1.启动cmd并执行命令：D:python fb.py
2.设置默认target地址192.168.40.3
3.设置默认callback地址192.168.40.4
4.不要使用重定向（起初）
5.保留默认日志目录
6.创建一个新项目（选项0）
7.为新项目命名
8.保留默认日志目录

目标利用
1.使用EternalBlue利用目标机器：use eternalblue
2.选择所有选项为默认，除传输机制外(delivery mechanism)。使用“FB”（传统部署）作为传输机制。
3.一旦eternalblue利用成功，配置danderspritz和peddlecheap
配置并启动DanderSpritz
1.另外启动一个cmd并执行命令：D:python configure_lp
2.允许Java通过防火墙
3.选择”Log directory” 旁的browse，并选择你创建的FuzzBunch项目名称

4.点击”go”
PeddleCheap准备（配置implant）
1.在DanderSpritz控制台中，执行命令：pc_prep
2.选择standard x64-winnt level 3 sharedlib payload 5
3.不要选择高级设置
4.选择执行立即回调（immediate callback）
5.使用默认的PC ID (0)
6.选择”Yes”
7.不要更改侦听端口
8.保留默认的 “callback” 地址（127.0.0.1）
9.不要更改exe名称
10.使用默认key（选项2）
11.验证PeddleCheap配置是否有效
12.不要使用FC (felonycrowbar)进行配置
13.复制配置的二进制文件的位置：

通过DoublePulsar后门传输implant (peddlecheap)
1.在Fuzzbunch窗口中输入命令：use doublepulsar
2.当询问你是否希望变量设置提示时选择 “yes”
3.选择所有变量设置为默认，除目标架构外（选项1）1) x64 x64 64-bits
4.选择“RunDLL”（选项2）2）RunDLL使用APC将DLL注入用户模式进程

5.当询问你是否需要执行插件时，将所有其他选项保留为默认值并选择”Yes”
6.你应该能看到 “Doublepulsar succeeded”的提示
使用DanderSpritz连接PeddleCheap implant
1.在DanderSpritz界面的最上方选择“PeddleCheap”
2.从key下拉菜单中选择 “default” key
3.输入目标机器地址（192.168.40.3）
4.选择 “Connect to target”

5.选择你的Fuzzbunch项目名称
6.等待DanderSpritz Survey完成（这里可能需要等待一段时间）
Vagrant基本使用命令
Bring up所有的DanderSprotz Lab主机：vagrant up
Bring up一个特定主机：vagrant up
重启特定主机：vagrant reload
重启特定主机并重新运行provision进程：vagrant reload  –provision
销毁特定主机：vagrant destroy
销毁整个Danderspritz Lab环境：vagrant destroy
客户机快照：vagrant snapshot save 
恢复快照：vagrant snapshot restore 
主机状态检查：vagrant status
暂停实验室环境：vagrant suspend
恢复实验室环境：vagrant resume
许可证过期
在许可证即将过期时，你可以通过在具有管理员权限的命令提示符中用rearm命令后重启电脑。根据微软官方文档中的声明，该命令最多可以重复使用三次，即最多可以再获得90天的windows使用许可。