أداة تدقيق كلمات مرور المجال (DPAT)

DPAT هي أداة أمان مبنية على Python تقوم بتحليل تجزئات كلمات المرور المستخرجة من وحدات تحكم مجال Active Directory. تقوم بإنشاء تقارير HTML شاملة تعرض إحصائيات استخدام كلمات المرور، وانتهاكات السياسات، ورؤى أمنية من كل من تفريغات NTDS ونتائج كسر كلمات المرور.

تقارير عينة

الميزات

• تحليل شامل لكلمات المرور: تحليل توزيعات طول كلمة المرور، وأنماط إعادة الاستخدام، وانتهاكات السياسات
• تقارير HTML تفاعلية: إنشاء تقارير HTML مفصلة وقابلة للنقر مع إمكانيات التعمق
• دعم سجل كلمات المرور: تحليل بيانات سجل كلمات المرور عند توفرها
• تحليل قائم على المجموعة: تضمين إحصائيات العضوية الجماعية للحسابات المميزة
• تحليل الحسابات القابلة للـ Kerberoast: تحديد وتحليل حسابات الخدمة القابلة للـ Kerberoast التي تم كسرها
• كسر تجزئات LM: محاولة كسر تجزئات NT تلقائيًا من تجزئات LM المكسورة جزئيًا
• تعقيم البيانات: خيار تعقيم البيانات الحساسة في التقارير لمشاركتها
• تنسيقات إدخال متعددة: دعم لـ Hashcat و John the Ripper وأدوات كسر كلمات المرور الأخرى

المتطلبات

• Python 3.8 أو أحدث
• pycryptodome (لدعم تجزئات MD4)

التثبيت

التثبيت الأساسي

تثبيت التبعيات الأساسية:

pip install -r requirements.txt

للتطوير والاختبار:

pip install -r requirements-dev.txt

التثبيت اليدوي

إذا كنت تفضل تثبيت التبعيات بشكل فردي:

pip install pycryptodome

باستخدام Poetry

poetry install

بداية سريعة

1. استخراج بيانات NTDS من وحدة تحكم المجال باستخدام secretsdump.py
2. كسر كلمات المرور باستخدام Hashcat أو John the Ripper أو أدوات مماثلة
3. تشغيل DPAT لإنشاء تقرير التحليل

python dpat.py -n customer.ntds -c hashcat.potfile -p 8

الاستخدام

الأمر الأساسي

python dpat.py -n <ntds_file> -c <cracked_file> -p <min_password_length>

المعاملات الإجبارية

• -n, --ntdsfile: ملف NTDS (مخرجات من secretsdump.py)
• -c, --crackfile: ملف مخرجات كسر كلمة المرور (hashcat.potfile, john.pot, إلخ.)
• -p, --minpasslen: الحد الأدنى لطول كلمة المرور من سياسة المجال

المعاملات الاختيارية

• -o, --outputfile: اسم ملف تقرير HTML (الافتراضي: _DomainPasswordAuditReport.html)
• -d, --reportdirectory: دليل الإخراج (الافتراضي: "DPAT Report")
• -s, --sanitize: تعقيم كلمات المرور والتجزئات في التقارير
• -g, --groupsdirectory: دليل يحتوي على ملفات العضوية الجماعية
• -m, --machineaccts: تضمين حسابات الأجهزة في التحليل
• -k, --krbtgt: تضمين حساب krbtgt في التحليل
• -kz, --kerbfile: ملف يحتوي على حسابات قابلة للـ Kerberoast
• -w, --writedb: كتابة قاعدة بيانات SQLite على القرص للفحص
• --no-prompt: تخطي مطالبة المتصفح (مفيد للأتمتة)
• -dbg, --debug: تمكين مخرجات التصحيح

أمثلة الأوامر

تحليل أساسي:

python dpat.py -n customer.ntds -c hashcat.potfile -p 8

مع تحليل المجموعة:

python dpat.py -n customer.ntds -c hashcat.potfile -p 8 -g /path/to/groups

تقرير معقم:

python dpat.py -n customer.ntds -c hashcat.potfile -p 8 -s

مع حسابات قابلة للـ Kerberoast:

python dpat.py -n customer.ntds -c hashcat.potfile -p 8 -kz kerberoastable.txt

تنسيقات ملفات الإدخال

تنسيق ملف NTDS

يجب أن يكون ملف NTDS بالتنسيق الناتج عن secretsdump.py:

domain\username:RID:lmhash:nthash:::

تنسيقات ملفات كلمات المرور المكسورة

تنسيق Hashcat:

nthash:password
lmhash:password

تنسيق John the Ripper:

$NT$nthash:password
$LM$lmhash:password

كلمات المرور المشفرة بالنظام الست عشري:

nthash:$HEX[68656c6c6f]

تنسيق ملفات المجموعة

يجب أن تحتوي ملفات العضوية الجماعية على اسم مستخدم واحد في كل سطر:

domain\username

استخراج البيانات

الخطوة 1: استخراج بيانات NTDS

على وحدة تحكم المجال، قم بإنشاء نسخة احتياطية IFM (التثبيت من الوسائط):

ntdsutil "ac in ntds" "ifm" "cr fu c:\temp" q q

يؤدي ذلك إلى إنشاء:

• c:\temp\Active Directory\ntds.dit
• c:\temp\registry\SYSTEM

الخطوة 2: التحويل إلى تنسيق DPAT

استخدم secretsdump.py لتحويل النسخة الاحتياطية:

secretsdump.py -system registry/SYSTEM -ntds "Active Directory/ntds.dit" LOCAL -outputfile customer

لسجل كلمات المرور (إذا كان متاحًا):

secretsdump.py -system registry/SYSTEM -ntds "Active Directory/ntds.dit" LOCAL -outputfile customer -history

الخطوة 3: كسر كلمات المرور

باستخدام Hashcat:

hashcat -m 1000 customer.ntds /path/to/wordlist

باستخدام John the Ripper:

john --format=NT customer.ntds

أقسام التقرير

يقوم DPAT بإنشاء تقارير شاملة تتضمن:

• إحصائيات كلمات المرور: إجمالي التجزئات، التجزئات الفريدة، كلمات المرور المكسورة
• انتهاكات سياسة كلمات المرور: كلمات مرور أقصر من الحد الأدنى للسياسة
• تطابق اسم المستخدم/كلمة المرور: حسابات تستخدم اسم المستخدم ككلمة مرور
• تحليل تجزئات LM: تجزئات LM غير الفارغة وإحصائيات الكسر
• توزيع طول كلمة المرور: تحليل مفصل للطول مع إمكانية التعمق
• إعادة استخدام كلمة المرور: كلمات مرور مشتركة عبر حسابات متعددة
• أفضل كلمات المرور: كلمات المرور الأكثر استخدامًا
• سجل كلمات المرور: تحليل سجل كلمات المرور (عند توفره)
• إحصائيات المجموعة: تحليل المجموعات المميزة (عند توفير ملفات المجموعة)
• الحسابات القابلة للـ Kerberoast: تحليل حسابات الخدمة (عند توفيرها)

بيانات عينة

يحتوي المستودع على بيانات عينة في دليل sample_data/ للاختبار:

• customer.ntds: ملف NTDS عينة
• oclHashcat.pot: عينة كلمات مرور مكسورة
• history/: بيانات عينة مع سجل كلمات المرور

الاختبار باستخدام بيانات العينة:

python dpat.py -n sample_data/customer.ntds -c sample_data/oclHashcat.pot -p 8

ميزات متقدمة

تحليل المجموعة

قم بإنشاء ملفات العضوية الجماعية باستخدام PowerShell:

Get-NetGroupMember -Recurse -GroupName "Domain Admins" > "Domain Admins.txt"

تحليل الحسابات القابلة للـ Kerberoast

استخدم برنامج parse-kerberoastable.py من CypherHound لإنشاء ملفات حسابات قابلة للـ Kerberoast لتحليل محسّن.

تكامل CypherHound

يمكنك إدخال الملفات التي تم إنشاؤها بواسطة CypherHound في DPAT لتوفير إحصائيات إضافية لتقارير DPAT. حاليًا، الإحصائيات الإضافية هي:

• إحصائيات كسر المجموعة لكل مجموعة في مجال معين
• الحسابات القابلة للـ Kerberoast المكسورة

إذا كنت ترغب في استخدامه لتوفير هذه الإحصائيات الإضافية، فستحتاج إلى استخدام البرامج النصية هنا:

• parse-memberships.py. قم بتمرير دليل الإخراج إلى DPAT باستخدام العلامة -g.
• parse-kerberoastable.py. قم بتمرير ملف الإخراج إلى DPAT باستخدام العلامة -kz.

إنها برامج نصية بسيطة مع تعليمات الاستخدام المذكورة أعلاه، واستخدامها يجب أن يكون مباشرًا.

تعقيم البيانات

استخدم العلامة -s لإنشاء تقارير معقمة مناسبة للمشاركة:

python dpat.py -n customer.ntds -c hashcat.potfile -p 8 -s

استكشاف الأخطاء وإصلاحها

المشكلات الشائعة

"No module named 'distutils'"

• هذا متوقع في Python 3.12+. يقوم DPAT بمعالجة ذلك تلقائيًا.

تقارير فارغة

• تحقق من تطابق تنسيق ملف NTDS مع التنسيق المتوقع
• تحقق من أن ملف كلمات المرور المكسورة يحتوي على تجزئات متطابقة
• تأكد من صحة معامل الحد الأدنى لطول كلمة المرور

روابط التفاصيل المفقودة

• قد لا تحتوي بعض أقسام التقرير على صفحات تفاصيل إذا لم يتم العثور على بيانات
• هذا سلوك طبيعي للفئات الفارغة

وضع التصحيح

قم بتمكين مخرجات التصحيح لاستكشاف الأخطاء وإصلاحها:

python dpat.py -n customer.ntds -c hashcat.potfile -p 8 -dbg

الاختبار

تشغيل مجموعة الاختبار:

python -m unittest tests.unit.test_core -v
python -m unittest tests.integration.test_integration -v

المساهمة

1. قم بعمل Fork للمستودع
2. أنشئ فرع ميزة
3. قم بإجراء التغييرات
4. أضف اختبارات للوظائف الجديدة
5. قدم طلب سحب

الترخيص

هذا المشروع مرخص بموجب رخصة MIT - راجع ملف LICENSE للحصول على التفاصيل.

الاعتمادات

• Carrie Roberts - المؤلف الأصلي
• Dylan Evans - مساهم

برعاية أصلية من:

الدعم

للمشكلات أو الأسئلة أو المساهمات، يرجى استخدام متتبع المشكلات في GitHub.