CredMaster

شنّ هجوم Password Spray / القوة الغاشمة عبر بروكسيات تمرير Amazon AWS، مع تغيير عنوان IP المُرسِل في كل محاولة مصادقة. يعمل هذا على إنشاء واجهات FireProx APIs ديناميكيًا لعمليات Password Spray أكثر مراوغة.

تحية إلى @ustayready على أدوات CredKing وFireProx، التي تشكل أساس هذه المجموعة.

شاهد جميع الملاحظات الكاملة على الويكي، وقد صدرت الأداة مع التفاصيل في هذه التدوينة

للحصول على نصائح الاكتشاف، راجع التدوينة وقسم الاكتشاف.

كن حذرًا من قفل الحسابات، واعرف سياسات إعادة التعيين الخاصة بهدفك

TL;DR

1. قم بعمل git clone للمستودع
2. إذا كنت غير متأكد من كيفية إنشاء المفاتيح الصحيحة، فراجع هذه المدونة.
3. pip install -r requirements.txt
4. املأ ملف الإعدادات (الويكي) بالخيارات المطلوبة، أو وفّرها عبر CLI

المزايا والخصائص

• يبدّل عنوان IP المُرسِل مع كل طلب
• يُنشئ واجهات APIs تلقائيًا لتمرير البروكسي
• يزيّف أرقام تتبع API، وعناوين forwarded-for IP، وترويسات تتبع البروكسي الأخرى = مجهول الهوية تمامًا
• إعداد سهل عبر ملف الإعدادات
• معالجة متعددة الخيوط
• عدّادات تأخير كلمات المرور وإعدادات لتجنّب سياسة قفل الحساب
• إضافة إضافات جديدة بسهولة
• مخرجات ملونة
• أنظمة إشعارات لكل من Keybase وSlack وDiscord وTeams وPushover
• إعداد WeekdayWarrior للهجوم المجدول وتجنّب SOC

الاستخدام السريع

الإضافات التالية مدعومة حاليًا:

• OWA - Outlook Web Access
  • --plugin owa
• EWS - Exchange Web Services
  • --plugin ews
• O365 - Office365 - مُهمَل
  • plugin removed
• ADFS - Active Directory Federation Services
  • --plugin adfs
• O365Enum - تعداد مستخدمي Office365 (بدون طلب مصادقة)
  • --plugin o365enum
• MSOL - Microsoft Online
  • --plugin msol
• MSGraph - وحدة MSGraph، نقطة تخمين كلمات مرور لبيانات اعتماد Azure وMSOL
  • --plugin msgraph
• AzureSSO - نقطة نهاية Azure AD للدخول الموحد السلس SSO
  • --plugin azuresso

مثال استخدام:

python3 credmaster.py --plugin {pluginname} --access_key {key} --secret_access_key {key} -u userfile -p passwordfile -a useragentfile {otherargs}

أو

python3 credmaster.py --config config.json

تتطلب هذه الأداة مفاتيح وصول إلى AWS API، ويمكن العثور على شرح تفصيلي حول كيفية الحصول على هذه المفاتيح هنا: https://bond-o.medium.com/aws-pass-through-proxy-84f1f7fa4b4b

يمكن العثور على جميع تفاصيل الاستخدام الأخرى في الويكي

المهام القادمة

نرحب بطلبات السحب (PRs) :)

• إضافة جديدة: طريقة Go365 من Optiv - تشمل إمكانيات مصادقة Office365 وتعداد المستخدمين عبر SOAP
• وظيفة "استئناف" للفحوصات المتوقفة/الملغاة. من المثالي تخزين بيانات واجهات APIs المستخدمة، وما إذا تم إتلافها، وأي مستخدم/كلمة مرور كان الهجوم عندها
• طريقة لتحديد موثوق لما إذا كانت محاولة المصادقة قد تم تقييدها (throttled)، بحيث يمكن إعادة وضع اسم المستخدم في قائمة الانتظار ومحاولته لاحقًا لتغطية كاملة (يجب أن يكون ذلك لكل إضافة على حدة، وإرجاع قيمة منطقية "throttled" في سكربت الإضافة، وإعادة وضعه في القائمة إذا كان مقيدًا)
• نظام إشعارات للـ webhooks (Teams TODO)
• إيقاف عند النجاح (flag)
• إصلاح شامل لملف تعريف الهجوم (Spray profile)
• ملاحظات التطوير
• تخمين username==password

الاعتمادات

• Mike Felch (ustayready) - CredKing وFireProx
• Beau Bullock (dafthack) - أداة MSOLSpray
• Martin Ingesen (mrtn9) - أداة MSOLSpray بلغة Python
• Oliver Morton (grimhacker) - أداة Office365UserEnum
• Marcello (byt3bl33d3r) - SprayingToolkit
• Erforschr - أداة تخمين HTTP بالقوة الغاشمة
• Florian Hauser (frycos من codewhitesec) - إضافة ADFS
• nyxgeek - تنفيذ Azure AD Seamless SSO بلغة Python
• Joe Helle (joehelle) - Oh365UserFinder
• Cameron Geehr (BarrelTit0r) - أداة o365enum
• Max Gruenberg (Max_Gruenberg) - إضافة o365enum
• x0rz - تقنية GmailEnum
• Kole Swesey (0xPanic_) - مساهمات PR متنوعة
• Logan (TheToddLuci0) - إصلاح أخطاء متنوعة، ومصادقة AWS، وإشعارات Keybase
• Andy Gill (ZephrFish) - دوال الألوان + تعديلات/إشعارات، والمساعدة في إعادة كتابة التطوير، ووحدة AzVault
• Hugo VINCENT (@hugow) - حجم الدفعة / التأخير
• Dennis Herrmann (dhn_ من CODE WHITE GmbH) - دعم إشعارات Ntfy
• Jason Juntunen (missing0x00) - إضافة PingFed
• Gustavo Penna (moreirapenna2) - إضافة HTTP POST

لا تتردد في مراسلتي

• @knave على Keybase
• تويتر - knavesec