الأبحاث المرتبطة بـ NLA Honeypot

• FreeRDP-ResearchServer/: خادم FreeRDP معدّل (الإصدار 2.2.0) يُكمل مصافحة RDP، ويطرد المستخدم (نظرًا لعدم وجود حسابات مُعدّة)، ويُفرغ الرسائل الست في /tmp
• FreeRDP-Pot-Patches/: تصحيحات لخادم FreeRDP موجّهة للإنتاج، تُكمل مصافحة RDP، وتطرد المستخدم (نظرًا لعدم وجود حسابات مُعدّة)، وتُفرغ الرسائل الست في /tmp
• dump/: تفريغات رسائل Negotiate/Challenge/Authenticate Out/In الملتقطة
• NCC-FreeRDP-pyparser/nccfreerdppyparser.py: يستخرج تفريغات الرسائل من dump/ ويطبع الهاشات بالتنسيق username:workstation:domain:$NLA$UserDomain$ntlm_v2_temp_chal$msg$EncryptedRandomSessionKey$MessageIntegrityCheck
• hashes.txt: هاشات مولّدة بواسطة nccfreerdppyparser.py
• NCC-FreeRDP-pyparser/crack.py: يكسر الهاشات الناتجة من nccfreerdppyparser.py
• docker/build.sh: يبني FreeRDP-ResearchServer/
• docker/dump.sh: يصل عميل FreeRDP بخادم FreeRDP لتفريغ رسائل اتصال RDP

الهدف هو نشر فخاخ شبكات (honeypots) قادرة على التقاط مصافحات RDP، ثم كسرها دون اتصال (offline) في محاولة لفهم كلمات المرور التي يتم استخدامها في هجمات رشّ كلمات المرور ضد فخاخ RDP التي ننشرها، وهل هي خاصة بمؤسسة معينة، وما إلى ذلك. حاليًا ننجح في التقاط المصافحات (انظر FreeRDP-ResearchServer/)، واستخراج البيانات ذات الصلة (انظر nccfreerdppyparser.py)، وكسرها (انظر crack.py).

الخطوات التالية:

• إعادة كتابة crack.py كإضافة لبرنامج hashcat
• تنظيف FreeRDP-ResearchServer/ ليكون جاهزًا للإنتاج
• هل توجد طرق مصادقة تتطلب قواعد بيانات SAM؟