关于KnockOutlook
KnockOutlook是一款基于C#可以跟踪开发的工具Outlook的COM交互对象可以帮助红队安全研究人员进行各种安全操作。
工具下载
大多数研究人员可以使用以下命令将项目源代码克隆到当地：
gitclonehttps://github.com/eksperience/KnockOutlook.git命令行使用
________________///_/_____________//__/__\____//_//_______//__/,</__\/__\/___///_////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////__//__\/__\///_///||/////_///__/,<//_///_///_///_///_//,</_/|_/_//_/\____/\___/_/\_\\____/\__,_/\__/_/\____/\____/_/\_\Parameters:--operation:指定要执行的操作--keyword:指定搜索操作的关键词--id:指定存储操作的目标--bypass:绕过编程访问安全设置(需要管理员权限)Operations:check:实施各种检测，确保操作安全contacts:提取每个账户的所有联系人mails:提取每个账户的邮箱元数据search:根据关键字搜索每个邮箱save:保存指定EntryID的邮件Examples:KnockOutlook.exe--operationcheckKnockOutlook.exe--operationcontactsKnockOutlook.exe--operationmails--bypassKnockOutlook.exe--operationsearch--keywordpasswordKnockOutlook.exe--operationsave--id{EntryID}--bypass功能操作
(1) 安全检测(check)
枚举Outlook为构建正确的注册表项，检索编程访问安全设置，安装详细信息。
若此值设置为“Warn when antivirus is inactive or out-of-date”，它将会查询WMI找出任何已安装的防病毒产品，并分析其现状。
(2) 联系人信息枚举(contacts)
列取以下信息：
(3) 电子邮件枚举(mails)
提取以下元数据：
(4) 搜索查询(search)
使用Outlook内置搜索引擎在每个配置帐户的电子邮件中搜索，并返回电子邮件文本中包含的关键字EntryID。
(5) 数据保存(save)
使用Outlook由其内置的另存机制导出EntryID引用邮件。
绕过对象模型的保护
该工具提供的当前过程是由高级完整权限运行的“--bypass”选项可与联系人信息列举(contacts)、电子邮件枚举(mails)、搜索查询(search)数据保存(save)结合使用这些功能。
KnockOutlook试着获得现在Outlook安全策略的快照被自动允许编程访问安全提示篡改，并在操作完成后恢复到初始状态。
数据输出
KnockOutlook所有操作将直接在屏幕上输出基本数据。
联系人信息枚举(contacts)枚举电子邮件(mails)操作将输出数据JSON格式保存至gzip在压缩文件中。
数据保存(save)操作将输出数据.msg格式导出。
运行时随机生成所有文件名。
默认配置下，Outlook临时安全目录将用于存储所有导出文件。
项目地址
KnockOutlook：【GitHub传送门】