Krbrelayx - مجموعة أدوات إساءة استخدام إعادة توجيه Kerberos والتفويض غير المقيد

مجموعة أدوات لإساءة استخدام Kerberos. تتطلب impacket وldap3 وldap3-ad-auth وdnspython لكي تعمل.

يمكن تثبيت المتطلبات باستخدام pip install -r requirements.txt

تتوفر مزيد من المعلومات حول مجموعة الأدوات هذه في مدونتي https://dirkjanm.io/krbrelayx-unconstrained-delegation-abuse-toolkit/. معلومات حول إعادة توجيه Kerberos في المدونة التالية https://dirkjanm.io/relaying-kerberos-over-dns-with-krbrelayx-and-mitm6/.

الأدوات المضمنة

addspn.py

تستطيع هذه الأداة إضافة/إزالة/تعديل أسماء الخدمات الرئيسية (Service Principal Names) على الحسابات في AD عبر LDAP.

usage: addspn.py [-h] [-u USERNAME] [-p PASSWORD] [-t TARGET] -s SPN [-r] [-q]
                 [-a]
                 HOSTNAME

Add an SPN to a user/computer account

Required options:
  HOSTNAME              Hostname/ip or ldap://host:port connection string to
                        connect to

Main options:
  -h, --help            show this help message and exit
  -u USERNAME, --user USERNAME
                        DOMAIN\username for authentication
  -p PASSWORD, --password PASSWORD
                        Password or LM:NTLM hash, will prompt if not specified
  -t TARGET, --target TARGET
                        Computername or username to target (FQDN or COMPUTER$
                        name, if unspecified user with -u is target)
  -s SPN, --spn SPN     servicePrincipalName to add (for example:
                        http/host.domain.local or cifs/host.domain.local)
  -r, --remove          Remove the SPN instead of add it
  -q, --query           Show the current target SPNs instead of modifying
                        anything
  -a, --additional      Add the SPN via the msDS-AdditionalDnsHostName
                        attribute

dnstool.py

إضافة/تعديل/حذف سجلات DNS المدمجة في Active Directory عبر LDAP.

usage: dnstool.py [-h] [-u USERNAME] [-p PASSWORD] [--forest] [--legacy] [--zone ZONE]
                  [--print-zones] [--tcp] [-k] [-dc-ip ip address] [-dns-ip ip address]
                  [-aesKey hex key] [-r TARGETRECORD]
                  [-a {add,modify,query,remove,resurrect,ldapdelete}] [-t {A}] [-d RECORDDATA]
                  [--allow-multiple] [--ttl TTL]
                  HOSTNAME

Query/modify DNS records for Active Directory integrated DNS via LDAP

Required options:
  HOSTNAME              Hostname/ip or ldap://host:port connection string to
                        connect to

Main options:
  -h, --help            show this help message and exit
  -u USERNAME, --user USERNAME
                        DOMAIN\username for authentication.
  -p PASSWORD, --password PASSWORD
                        Password or LM:NTLM hash, will prompt if not specified
  --forest              Search the ForestDnsZones instead of DomainDnsZones
  --zone ZONE           Zone to search in (if different than the current
                        domain)
  --print-zones         Only query all zones on the DNS server, no other
                        modifications are made

Record options:
  -r TARGETRECORD, --record TARGETRECORD
                        Record to target (FQDN)
  -a {add,modify,query,remove,ldapdelete}, --action {add,modify,query,remove,ldapdelete}
                        Action to perform. Options: add (add a new record),
                        modify (modify an existing record), query (show
                        existing), remove (mark record for cleanup from DNS
                        cache), delete (delete from LDAP). Default: query
  -t {A}, --type {A}    Record type to add (Currently only A records
                        supported)
  -d RECORDDATA, --data RECORDDATA
                        Record data (IP address)
  --allow-multiple      Allow multiple A records for the same name
  --ttl TTL             TTL for record (default: 180)

printerbug.py

أداة بسيطة لتفعيل ثغرة SpoolService عبر الاتصال العكسي RPC. مشابهة لـ dementor.py. شكرًا لـ @agsolino على تنفيذ استدعاءات RPC هذه.

usage: printerbug.py [-h] [-target-file file] [-port [destination port]]
                     [-hashes LMHASH:NTHASH] [-no-pass]
                     target attackerhost

positional arguments:
  target                [[domain/]username[:password]@]<targetName or address>
  attackerhost          hostname to connect to

optional arguments:
  -h, --help            show this help message and exit

connection:
  -target-file file     Use the targets in the specified file instead of the
                        one on the command line (you must still specify
                        something as target name)
  -port [destination port]
                        Destination port to connect to SMB Server

authentication:
  -hashes LMHASH:NTHASH
                        NTLM hashes, format is LMHASH:NTHASH
  -no-pass              don't ask for password (useful when proxying through
                        ntlmrelayx)
  -k                    Use Kerberos authentication. Grabs credentials from ccache file (KRB5CCNAME) based on target parameters.
                        If valid credentials cannot be found, it will use the ones specified in the command line
  -dc-ip ip address     IP Address of the domain controller. If omitted it will use the domain part (FQDN) specified in the target
                        parameter
  -target-ip ip address
                        IP Address of the target machine. If omitted it will use whatever was specified as target. This is useful
                        when target is the NetBIOS name or Kerberos name and you cannot resolve it

krbrelayx.py

تتعدد خيارات استخدام هذه الأداة:

• تمرير Kerberos (Kerberos relaying): عند عدم توفير أي بيانات اعتماد، ولكن مع تحديد هدف واحد على الأقل، ستقوم krbrelayx بتمرير مصادقة Kerberos إلى اسم مضيف هدف مطابق، مما يؤدي فعليًا إلى تمرير المصادقة. تعود إليك طريقة الحصول على مصادقة Kerberos الواردة باستخدام SPN صالح، لكن يمكنك استخدام mitm6 لهذا الغرض.
• إساءة استخدام التفويض غير المقيّد (Unconstrained delegation abuse): في هذا الوضع، ستقوم krbrelayx إما بفك تشفير واستخراج تذاكر TGT الواردة المضمّنة في المصادقة مع التفويض غير المقيّد، أو استخدام تذاكر TGT فورًا للمصادقة على خدمة هدف. يتطلب ذلك تحديد بيانات اعتماد لحساب ذي تفويض غير مقيّد.

usage: krbrelayx.py [-h] [-debug] [-t TARGET] [-tf TARGETSFILE] [-w] [-ip INTERFACE_IP] [-r SMBSERVER] [-l LOOTDIR]
                    [-f {ccache,kirbi}] [-codec CODEC] [-no-smb2support] [-wh WPAD_HOST] [-wa WPAD_AUTH_NUM] [-6] [-p PASSWORD]
                    [-hp HEXPASSWORD] [-s USERNAME] [-hashes LMHASH:NTHASH] [-aesKey hex key] [-dc-ip ip address] [-e FILE]
                    [-c COMMAND] [--enum-local-admins] [--no-dump] [--no-da] [--no-acl] [--no-validate-privs]
                    [--escalate-user ESCALATE_USER] [--add-computer] [--delegate-access] [--adcs] [--template TEMPLATE]
                    [-v TARGET]

Kerberos relay and unconstrained delegation abuse tool. By @_dirkjan / dirkjanm.io