linWinPwn - سكين الجيش السويسري لاختبار اختراق Active Directory باستخدام لينكس

الوصف

linWinPwn هو سكريبت bash يغلف عددًا من أدوات Active Directory للاستكشاف (LDAP، RPC، ADCS، MSSQL، Kerberos، SCCM)، وفحص الثغرات (noPac، ZeroLogon، MS17-010، MS14-068)، وتعديل الكائنات (تغيير كلمة المرور، إضافة مستخدم إلى مجموعة، RBCD، Shadow Credentials) واستخراج كلمات المرور (secretsdump، lsassy، nanodump، DonPAPI). يقوم السكريبت بتبسيط استخدام عدد كبير من الأدوات: impacket، bloodhound، netexec، enum4linux-ng، ldapdomaindump، lsassy، smbmap، kerbrute، certipy، silenthound، bloodyAD، DonPAPI وغيرها الكثير.

الإعداد

قم باستنساخ المستودع وتثبيت المتطلبات باستخدام سكريبت install.sh

git clone https://github.com/lefayjey/linWinPwn
cd linWinPwn
chmod +x install.sh
./install.sh

بدلاً من ذلك، استخدم صورة Docker المجمعة مسبقًا من Docker Hub

docker pull lefayjey/linwinpwn:latest

# إضافة linWinPwn_docker إلى PATH
echo -e "docker run --rm --init -it --net=host -v \$(pwd):/opt/lwp-output lefayjey/linwinpwn:latest \$@" | sudo tee "/usr/local/sbin/linWinPwn_docker"
sudo chmod 755 /usr/local/sbin/linWinPwn_docker
# تشغيل linWinPwn_docker (الإخراج إلى الدليل الحالي للمضيف)
linWinPwn_docker -t <DC_IP>
linWinPwn_docker -t <DC_IP> -d <domain> -u <user> -p <password> --auto

أو البناء من المصدر

docker build -t linwinpwn .
docker run --rm --init -it --net=host -v $(pwd):/opt/lwp-output linwinpwn -t <DC_IP>

الاستخدام

الوضع

يمكن تشغيل سكريبت linWinPwn في الوضع التفاعلي (الافتراضي)، أو في الوضع الآلي (الاستكشاف فقط).

1. الوضع التفاعلي (الافتراضي) - فتح قائمة تفاعلية لتشغيل الفحوصات بشكل منفصل

linWinPwn -t <Domain_Controller_IP> [-d <AD_domain> -u <AD_user> -p <AD_password> -H <hash[LM:NT]> -K <kerbticket[./krb5cc_ticket]> -A <AES_key> -C <cert[./cert.pfx]> -o <output_dir>]

2. الوضع الآلي - باستخدام الوسيط --auto، تشغيل أدوات الاستكشاف (بدون استغلال أو تعديلات أو استخراج كلمات مرور)

عند استخدام الوضع الآلي، يتم إجراء فحوصات مختلفة بناءً على طريقة المصادقة.

غير مصادق (بدون تقديم بيانات اعتماد)
- الاستكشاف المجهول باستخدام netexec، enum4linux-ng، ldapdomaindump، ldeep
- هجوم القوة الغاشمة لـ RID باستخدام netexec
- اختبار انتشار المستخدمين باستخدام kerbrute
- فحص مصادقة Pre2k على قائمة الأجهزة المجمعة
- ASREPRoast باستخدام قائمة المستخدمين المجمعة (وكسر التجزئات باستخدام john-the-ripper وقائمة rockyou)
- Kerberoast أعمى
- استغلال CVE-2022-33679
- فحص تحديثات DNS غير الآمنة لإساءة استخدام AS-REQ باستخدام krbjack
- استكشاف مشاركات SMB مجهولة على الخوادم المحددة
- فحص خدمات WebDav، dfscoerce، shadowcoerce و Spooler على الخوادم المحددة
- فحص الثغرات ms17-010، zerologon، petitpotam، nopac، smb-sigining، ntlmv1، runasppl

linWinPwn -t <Domain_Controller_IP> --auto [-o <output_dir>]

مصادق (باستخدام كلمة مرور، تجزئة NTLM، تذكرة Kerberos، مفتاح AES أو شهادة pfx)
- استخراج DNS باستخدام netexec
- جمع بيانات BloodHound
- الاستكشاف باستخدام netexec، enum4linux-ng، ldapdomaindump، bloodyAD، sccmhunter، rdwatool، sccmhunter، GPOParser
- إنشاء قائمة كلمات مرور لكسر التجزئات
- netexec يبحث عن حسابات حيث user=pass
- فحص مصادقة Pre2k على أجهزة المجال
- استخراج معلومات ADCS باستخدام certipy و certi.py
- kerbrute يبحث عن حسابات حيث user=pass
- ASREPRoasting (وكسر التجزئات باستخدام john-the-ripper وقائمة rockyou)
- Kerberoasting (وكسر التجزئات باستخدام john-the-ripper وقائمة rockyou)
- Kerberoasting مستهدف (وكسر التجزئات باستخدام john-the-ripper وقائمة rockyou)
- استكشاف مشاركات SMB على جميع خوادم المجال باستخدام smbmap، FindUncommonShares و cme's spider_plus
- فحص خدمات WebDav، dfscoerce، shadowcoerce و Spooler على جميع خوادم المجال (باستخدام cme، Coercer و RPC Dump)
- فحص الثغرات ms17-010، ms14-068، zerologon، petitpotam، nopac، smb-signing، ntlmv1، runasppl، certifried، ldapnightmare، badsuccessor
- فحص مسارات تصعيد الامتيازات في mssql
- فحص إمكانيات ترحيل mssql

linWinPwn -t <Domain_Controller_IP>  -d <AD_domain> -u <AD_user> [-p <AD_password> -H <hash[LM:NT]> -K <kerbticket[./krb5cc_ticket]> -A <AES_key> -C <cert[./cert.pfx]>] [-o <output_dir>] --auto

الوسائط

Auto config - تشغيل مزامنة NTP مع وحدة التحكم بالمجال وإضافة إدخال إلى /etc/hosts قبل تشغيل الوحدات

linWinPwn -t <Domain_Controller_IP> --auto-config

LDAPS - استخدام LDAPS بدلاً من LDAP (المنفذ 636)

linWinPwn -t <Domain_Controller_IP> --ldaps

Force Kerberos Auth - فرض استخدام مصادقة Kerberos بدلاً من NTLM (عند الإمكان)

linWinPwn -t <Domain_Controller_IP> --force-kerb

Verbose - تفعيل جميع مخرجات التفصيل والتصحيح

linWinPwn -t <Domain_Controller_IP> --verbose

Interface - اختيار واجهة الشبكة الخاصة بالمهاجم

linWinPwn -t <Domain_Controller_IP> -I tun0
linWinPwn -t <Domain_Controller_IP> --interface eth0

Targets - اختيار الأهداف المراد فحصها (DC، All، IP=IP_or_hostname، File=./path_to_file)

linWinPwn -t <Domain_Controller_IP> --targets All
linWinPwn -t <Domain_Controller_IP> --targets DC
linWinPwn -t <Domain_Controller_IP> -T IP=192.168.0.1
linWinPwn -t <Domain_Controller_IP> -T File=./list_servers.txt

Custom wordlists - اختيار قوائم كلمات مرور ومستخدمين مخصصة

linWinPwn -t <Domain_Controller_IP> -U /usr/share/seclists/Usernames/xato-net-10-million-usernames.txt
linWinPwn -t <Domain_Controller_IP> -P /usr/share/seclists/Passwords/xato-net-10-million-passwords.txt

النفق

يمكن أن يكون linWinPwn مفيدًا بشكل خاص عندما يكون لديك وصول إلى بيئة Active Directory لفترة زمنية محدودة فقط، وترغب في أن تكون أكثر كفاءة في عملية الاستكشاف وجمع الأدلة. بالإضافة إلى ذلك، يمكن لـ linWinPwn استبدال استخدام أدوات الاستكشاف على Windows بهدف تقليل عدد الآثار التي يتم إنشاؤها (مثل أوامر PowerShell، أحداث Windows، الملفات التي تم إنشاؤها على القرص)، وتجاوز بعض برامج مكافحة الفيروسات أو EDRs. يمكن تحقيق ذلك عن طريق إجراء إعادة توجيه منفذ ديناميكية عن بُعد من خلال إنشاء نفق SSH من مضيف Windows (مثل جهاز VDI أو محطة عمل أو كمبيوتر محمول) إلى جهاز Linux عن بُعد (مثل كمبيوتر Pentest المحمول أو VPS)، وتشغيل linWinPwn مع proxychains.

على مضيف Windows، قم بتشغيل باستخدام PowerShell:

ssh.exe kali@<linux_machine> -R 1080 -NCqf

على جهاز Linux، قم أولاً بتحديث /etc/proxychains4.conf ليشمل socks5 127.0.0.1 1080، ثم قم بتشغيل:

linWinPwn_proxychains -t <Domain_Controller_IP>  -d <AD_domain> -u <AD_user> [-p <AD_password> -H <hash[LM:NT]> -K <kerbticket[./krb5cc_ticket]> -A <AES_key> -C <cert[./cert.pfx]>] [-o <output_dir>] [--auto]

أنواع المصادقة المدعومة حالياً

دعم LDAP Channel Binding

ldap3: netexec، ldapdomaindump (NTLM)، Certipy، pre2k، bloodhound، ldeep، GroupPolicyBackdoor، relayking

msldap: bloodyAD

دعم منفذ LDAP مخصص

netexec، ldapdomaindump، ldeep، windapsearch، godap، pre2k، ldapnomnom

العروض التوضيحية

HackTheBox Forest

الوضع التفاعلي:

الوضع الآلي:

TryHackme AttacktiveDirectory

المهام المتبقية

إضافة المزيد من أدوات الاستكشاف والاستغلال...

الإسناد

الإلهام: S3cur3Th1sSh1t - WinPwn
الأدوات:
- fortra - impacket
- NeffIsBack, Marshall-Hallenbeck, zblurx, mpgn, byt3bl33d3r and all contributors - crackmapexec/netexec
- Fox-IT - bloodhound-python
- dirkjanm - ldapdomaindump, privexchange
- zer1t0 - certi.py
- ly4k - Certipy
- ShawnDEvans - smbmap
- ropnop - windapsearch, kerbrute
- login-securite - DonPAPI
- Processus-Thief - HEKATOMB
- layer8secure - SilentHound
- ShutdownRepo - TargetedKerberoast
- franc-pentest - ldeep
- garrettfoster13 - pre2k, aced, sccmhunter
- zblurx - certsync
- p0dalirius - Coercer, FindUncommonShares, ExtractBitlockerKeys, LDAPWordlistHarvester, ldapconsole, pyLDAPmonitor, RDWAtool, smbclient-ng, FindUnusualSessions, ShareHound
- blacklanternsecurity - MANSPIDER
- CravateRouge - bloodyAD
- shellster - LDAPPER
- TrustedSec - orpheus
- lkarlslund - Adalanche

للمطورين

أداة التكامل

lwp_tool_integrator.py يقوم بأتمتة تكامل الأدوات الجديدة. يقوم بتصحيح ملفات linWinPwn.sh و install.sh و README.md في خطوة واحدة:

إضافة تعريف متغير الأداة ووظيفة الغلاف
تصحيح authenticate() مع العلامات المناسبة
إضافة الأداة إلى القائمة التفاعلية
تحديث install.sh للتثبيت التلقائي
إضافة مرجع وصف في جدول المصادقة إلى README.md

الاستخدام:

python3 lwp_tool_integrator.py <tool_config.json>

انظر lwp_tool_template.json للحصول على مثال للتكوين.

إخلاء المسؤولية القانوني

استخدام linWinPwn لمهاجمة أهداف دون موافقة متبادلة مسبقة غير قانوني. تقع على عاتق المستخدم النهائي مسؤولية الامتثال لجميع القوانين المحلية والولائية والاتحادية المعمول بها. يخل المطورون مسؤوليتهم ولا يتحملون أي مسؤولية عن أي إساءة استخدام أو ضرر ناتج عن هذا البرنامج. يُستخدم فقط للأغراض التعليمية.

`netexec`	✅	✅	✅	✅	✅	✅
`Impacket`	✅	✅	✅	✅	✅	❌
`bloodhound-python`	❌	✅	✅	✅	✅	❌
`ldapdomaindump`	✅	✅	✅	❌	❌	❌
`enum4linux-ng`	✅	✅	✅	✅	❌	❌
`bloodyAD`	❌	✅	✅	✅	❌	✅
`SilentHound`	✅	✅	✅	❌	❌	❌
`ldeep`	✅	✅	✅	✅	❌	✅
`windapsearch`	✅	✅	✅	❌	❌	❌
`LDAPWordlistHarvester`	❌	✅	✅	✅	✅	❌
`LDAPConsole`	❌	✅	✅	✅	✅	❌
`pyLDAPmonitor`	❌	✅	✅	✅	✅	❌
`sccmhunter`	❌	✅	✅	✅	✅	❌
`ldapper`	❌	✅	✅	❌	❌	❌
`Adalanche`	❌	✅	✅	✅	❌	❌
`GPOwned`	❌	✅	✅	✅	✅	❌
`ACED`	❌	✅	✅	✅	✅	❌
`breads`	✅	✅	✅	❌	❌	❌
`godap`	✅	✅	✅	✅	❌	❌
`adcheck`	❌	✅	✅	❌	❌	❌
`certi.py`	❌	✅	✅	✅	✅	✅
`Certipy`	❌	✅	✅	✅	✅	✅
`certsync`	❌	✅	✅	✅	✅	❌
`pre2k`	❌	✅	✅	✅	✅	❌
`orpheus`	❌	✅	✅	✅	✅	❌
`smbmap`	✅	✅	✅	❌	❌	❌
`FindUncommonShares`	❌	✅	✅	✅	✅	❌
`smbclient-ng`	❌	✅	✅	✅	✅	❌
`manspider`	✅	✅	✅	❌	❌	❌
`coercer`	✅	✅	✅	❌	❌	❌
`privexchange`	✅	✅	✅	❌	❌	❌
`RunFinger.py`	✅	✅	✅	✅	✅	❌
`mssqlrelay`	❌	✅	✅	✅	✅	❌
`targetedKerberoast`	❌	✅	✅	✅	✅	❌
`pygpoabuse`	❌	✅	✅	✅	❌	❌
`DonPAPI`	❌	✅	✅	✅	✅	❌
`hekatomb`	❌	✅	✅	❌	❌	❌
`ExtractBitlockerKeys`	❌	✅	✅	✅	✅	❌
`evilwinrm`	❌	✅	✅	✅	✅	✅
`mssqlpwner`	❌	✅	✅	✅	✅	❌
`SoaPy`	❌	✅	✅	❌	❌	❌
`SCCMSecrets`	✅	✅	✅	❌	❌	❌
`Soaphound`	❌	✅	✅	❌	❌	❌
`gpoParser`	❌	✅	✅	❌	❌	❌
`spearspray`	❌	✅	❌	❌	❌	❌
`GroupPolicyBackdoor`	✅	✅	✅	✅	❌	❌
`NetworkHound`	❌	✅	✅	✅	❌	❌
`ShareHound`	✅	✅	✅	❌	❌	❌
`DACLSearch`	❌	✅	✅	✅	✅	❌
`ScriptScout`	❌	✅	❌	❌	❌	❌
`relayking`	✅	✅	✅	✅	✅	❌
`ADWS Domain Dump`	❌	✅	✅	❌	❌	❌
`PyADRecon`	❌	✅	❌	✅	❌	❌
`PyADRecon-ADWS`	❌	✅	❌	✅	❌	❌
`ADPulse`	❌	✅	✅	❌	❌	❌
`PowerView.py`	✅	✅	✅	✅	✅	✅
`evil-winrm-py`	❌	✅	✅	❌	❌	✅

linWinPwn

الأكثر شعبية