关于Suborner

Suborner是一款功能强大的隐形账号生成工具，该工具可以帮助广大研究人员创建一个隐形Windows账号，而这个账号就只有你一个人会知道。

工具特性

1、在没有网络用户或Windows操作系统用户管理应用程序的情况下创建不可见的本地帐户（例如netapi32::netuseradd）；

2、适用于所有Windows NT计算机，从Windows XP到11，从Windows Server 2003到2022；

3、通过RID劫持成功身份验证后的任何现有帐户（无论启用或禁用状态），并进行账号伪造；

4、支持创建一个具有管理权限的不可见计算机帐户，并且不会触发Windows Event Logger事件记录器；

工具要求

.NET 4.0

Visual Studio 2019

工具下载

我们可以直接访问该项目的【Releases页面】下载预编译的Suborner。

除此之外，广大研究人员页可以使用下列命令将该项目源码克隆至本地：

git clone https://github.com/r4wd3r/Suborner/

下载完成后，我们可以使用Visual Studio打开.sln文件，并构建x86和x64两个版本。

此时，我们就可以开始使用Suborner了。

工具使用

_ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _

 

      88

  .d88888b.                  S U B O R N E R

 d88P 88"88b

 Y88b.88        The Invisible Account Forger

 "Y88888b.                        by @r4wd3r

      88"88b                          v1.0.1

 Y88b 88.88P

  "Y88888P"               https://r4wsec.com

      88

 _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _

 

Description:

 

    A stealthy tool to create invisible accounts on Windows systems.

 

Parameters:

 

    USERNAME: Username for the new suborner account. Default = <HOSTNAME>$

    Syntax: /username:[string]

 

    PASSWORD: Password for the new suborner account. Default = Password.1

    Syntax: /password:[string]

 

    RID: RID for the new suborner account. Default = Next RID available

    Syntax: /rid:[decimal int]

 

    RIDHIJACK: RID of the account to impersonate. Default = 500 (Administrator)

    Syntax: /ridhijack:[decimal int]

 

    TEMPLATE: RID of the account to use as template for the new account creation. Default = 500 (Administrator)

    Syntax: /template:[decimal int]

 

    MACHINEACCOUNT: Forge as machine account for extra stealthiness. Default = yes

    Syntax: /machineaccount:[yes/no]

 

    DEBUG: Enable debug mode for verbose logging. Default = disabled

    Syntax: /debug

参数解释

USERNAME：设置Suborner要创建账号的用户名，默认为<HOSTNAME>$；

语句：/username:[string]

PASSWORD：设置Suborner要创建账号的密码，默认为Password.1；

语句：/password:[string]

RID：设置Suborner要创建账号的RID；

语句：/rid:[decimal int]

RIDHIJACK：要模拟伪造的目标账号的RID，默认为500（Administrator）；

语句：/ridhijack:[decimal int]

TEMPLATE：创建新帐户模板的帐户RID；

语句：/template:[decimal int]

MACHINEACCOUNT：设置为机器账号以提升隐蔽性，默认为yes；

语句：/machineaccount:[yes/no]

DEBUG：启用调试模式和Verbose输出，默认为disabled；

语句：/debug

工具使用演示

演示视频：【点我观看】

许可证协议

本项目的开发与发布遵循MIT开源许可证协议。

项目地址

Suborner：【GitHub传送门】

参考资料

https://www.blackhat.com/us-22/arsenal/schedule/index.html#suborner-a-windows-bribery-for-invisible-persistence-27976

https://r4wsec.com/notes/the_suborner_attack/index.html

https://youtu.be/TKIHRhaO5tk

https://conference.hitb.org/hitbsecconf2022sin/materials/D2T1%20-%20Suborner%20-%20Windows%20Bribery%20for%20Invisible%20Persistence%20-%20Sebastian%20Castro.pdf