声明：该公众号大部分文章来自作者日常学习笔记，也有部分文章是经过作者授权和其他公众号白名单转载，未经授权，严禁转载，如需转载，联系开白。请勿利用文章内的相关技术从事非法测试，如因此产生的一切不良后果与文章作者和本公众号无关。 |
|---|
0x01 简介
sunflower是当时研究某款远程控制软件时写的一个可用于渗透测试的辅助小工具，利用这个工具我们可获取目标主机的向日葵版本（新/旧版、安装/绿色/简约版），以及读取对应版本的配置文件或注册表中存储的识别码、验证码和历史连接记录等信息，支持自定义安装路径。可参考之前写的这篇文章：3.10 向日葵远控提权
11.1.0.37237：
代码语言：javascript复制绿色版：C:ProgramDataOraySunloginClientconfig.ini
安装版：C:Program FilesOraySunLoginSunloginClientconfig.ini12.0.1.40571：
代码语言：javascript复制安装版：reg query HKEY_USERS.DEFAULTSoftwareOraySunLoginSunloginClientSunloginInfo
绿色版：reg query HKEY_USERS.DEFAULTSoftwareOraySunLoginSunloginClientSunloginGreenInfo
简约版：reg query HKEY_USERS.DEFAULTSoftwareOraySunLoginSunloginClientSunloginLiteInfo0x02 工具下载
向日葵这个渗透辅助工具和测试所用各版本客户端可通过关注【Hack分享吧】公众号回复【0715】获取。
0x03 工具参数
代码语言：javascript复制Options：
-get Get the running sunflower version //获取运行向日葵版本
-new Query the new Sunflower ID and Pass //查询新版ID、Pass
-old Query the old Sunflower ID and Pass //查询旧版ID、Pass
-lite Query the lite Sunflower ID and Pass //查询精简版ID、Pass
0x04 应用场景
假设我们手上有一个低权限Webshell，发现目标主机上安装并运行的有向日葵软件，这时就可以利用这个工具直接读取他的识别码和验证码。
也可以将这个工具集成至cobaltstrike插件中使用，通过execute-assembly命令加载到内存中执行，这样也能绕过一部分安全防护软件的拦截。
如果已经读取到目标主机向日葵的识别码和验证码，这时就可以使用@wafinfo师傅写的解密脚本进行解密得到明文，然后直接连接过去即可。
0x05 注意事项
12.5.0.43486及之后版本的识别码和验证码既没有保存在config.ini配置文件，也没有写进注册表中，而且听说也换了新的算法，即使找到了也无法解密，官方也开始强制升级，以后可能就没得玩了。
