Domain-Passwort-Audit-Tool (DPAT)

DPAT ist ein Python-basiertes Sicherheitstool, das aus Active Directory-Domänencontrollern extrahierte Passwort-Hashes analysiert. Es erzeugt umfassende HTML-Berichte, die Passwortnutzungsstatistiken, Richtlinienverstöße und Sicherheitseinblicke aus NTDS-Dumps und Passwort-Cracking-Ergebnissen zeigen.

Beispielberichte

Funktionen

• Umfassende Passwortanalyse: Analysiert Passwortlängenverteilungen, Wiederverwendungsmuster und Richtlinienverstöße
• Interaktive HTML-Berichte: Erzeugt detaillierte, anklickbare HTML-Berichte mit Drill-Down-Funktionen
• Passwortverlaufsunterstützung: Analysiert Passwortverlaufsdaten, sofern verfügbar
• Gruppenbasierte Analyse: Enthält Gruppenmitgliedschaftsstatistiken für privilegierte Konten
• Analyse kerberoastbarer Konten: Identifiziert und analysiert geknackte kerberoastbare Dienstkonten
• LM-Hash-Cracking: Versucht automatisch, NT-Hashes aus teilweise geknackten LM-Hashes zu knacken
• Datenbereinigung: Option zum Bereinigen sensibler Daten in Berichten zur Weitergabe
• Mehrere Eingabeformate: Unterstützung für Hashcat, John the Ripper und andere Passwort-Cracking-Tools

Voraussetzungen

• Python 3.8 oder höher
• pycryptodome (für MD4-Hash-Unterstützung)

Installation

Grundinstallation

Kernabhängigkeiten installieren:

pip install -r requirements.txt

Für Entwicklung und Tests:

pip install -r requirements-dev.txt

Manuelle Installation

Wenn Sie Abhängigkeiten einzeln installieren möchten:

pip install pycryptodome

Mit Poetry

poetry install

Schnellstart

1. NTDS-Daten extrahieren mit secretsdump.py von Ihrem Domänencontroller
2. Passwörter knacken mit Hashcat, John the Ripper oder ähnlichen Tools
3. DPAT ausführen, um den Analysebericht zu generieren

python dpat.py -n customer.ntds -c hashcat.potfile -p 8

Verwendung

Grundbefehl

python dpat.py -n <ntds_file> -c <cracked_file> -p <min_password_length>

Erforderliche Parameter

• -n, --ntdsfile: NTDS-Datei (Ausgabe von secretsdump.py)
• -c, --crackfile: Ausgabedatei des Passwort-Crackings (hashcat.potfile, john.pot, etc.)
• -p, --minpasslen: Minimale Passwortlänge aus der Domänenrichtlinie

Optionale Parameter

• -o, --outputfile: HTML-Berichtsdateiname (Standard: _DomainPasswordAuditReport.html)
• -d, --reportdirectory: Ausgabeverzeichnis (Standard: "DPAT Report")
• -s, --sanitize: Passwörter und Hashes in Berichten bereinigen
• -g, --groupsdirectory: Verzeichnis mit Gruppenmitgliedschaftsdateien
• -m, --machineaccts: Maschinenkonten in die Analyse einbeziehen
• -k, --krbtgt: krbtgt-Konto in die Analyse einbeziehen
• -kz, --kerbfile: Datei mit kerberoastbaren Konten
• -w, --writedb: SQLite-Datenbank zur Überprüfung auf die Festplatte schreiben
• --no-prompt: Browseraufforderung überspringen (nützlich für Automatisierung)
• -dbg, --debug: Debug-Ausgabe aktivieren

Beispielbefehle

Einfache Analyse:

python dpat.py -n customer.ntds -c hashcat.potfile -p 8

Mit Gruppenanalyse:

python dpat.py -n customer.ntds -c hashcat.potfile -p 8 -g /path/to/groups

Bereinigter Bericht:

python dpat.py -n customer.ntds -c hashcat.potfile -p 8 -s

Mit kerberoastbaren Konten:

python dpat.py -n customer.ntds -c hashcat.potfile -p 8 -kz kerberoastable.txt

Eingabedateiformate

NTDS-Dateiformat

Die NTDS-Datei sollte im von secretsdump.py ausgegebenen Format vorliegen:

domain\username:RID:lmhash:nthash:::

Formate für geknackte Passwortdateien

Hashcat-Format:

nthash:password
lmhash:password

John the Ripper-Format:

$NT$nthash:password
$LM$lmhash:password

Hex-kodierte Passwörter:

nthash:$HEX[68656c6c6f]

Gruppen-Dateiformat

Gruppenmitgliedschaftsdateien sollten einen Benutzernamen pro Zeile enthalten:

domain\username

Datenextraktion

Schritt 1: NTDS-Daten extrahieren

Erstellen Sie auf einem Domänencontroller ein IFM-Backup (Install From Media):

ntdsutil "ac in ntds" "ifm" "cr fu c:\temp" q q

Dies erstellt:

• c:\temp\Active Directory\ntds.dit
• c:\temp\registry\SYSTEM

Schritt 2: In DPAT-Format konvertieren

Verwenden Sie secretsdump.py, um das Backup zu konvertieren:

secretsdump.py -system registry/SYSTEM -ntds "Active Directory/ntds.dit" LOCAL -outputfile customer

Für Passwortverlauf (falls verfügbar):

secretsdump.py -system registry/SYSTEM -ntds "Active Directory/ntds.dit" LOCAL -outputfile customer -history

Schritt 3: Passwörter knacken

Mit Hashcat:

hashcat -m 1000 customer.ntds /path/to/wordlist

Mit John the Ripper:

john --format=NT customer.ntds

Berichtsabschnitte

DPAT erzeugt umfassende Berichte, die Folgendes enthalten:

• Passwortstatistiken: Gesamtzahl der Hashes, eindeutige Hashes, geknackte Passwörter
• Richtlinienverstöße bei Passwörtern: Passwörter, die kürzer als das Richtlinienminimum sind
• Benutzername/Passwort-Übereinstimmungen: Konten, die den Benutzernamen als Passwort verwenden
• LM-Hash-Analyse: Nicht-leere LM-Hashes und Cracking-Statistiken
• Passwortlängenverteilung: Detaillierte Längenanalyse mit Drill-Down
• Passwortwiederverwendung: Gemeinsame Passwörter über mehrere Konten hinweg
• Top-Passwörter: Am häufigsten verwendete Passwörter
• Passwortverlauf: Historische Passwortanalyse (falls verfügbar)
• Gruppenstatistiken: Analyse privilegierter Gruppen (falls Gruppendateien bereitgestellt)
• Kerberoastbare Konten: Dienstkontoanalyse (falls bereitgestellt)

Beispieldaten

Das Repository enthält Beispieldaten im Verzeichnis sample_data/ zum Testen:

• customer.ntds: Beispiel-NTDS-Datei
• oclHashcat.pot: Beispiel für geknackte Passwörter
• history/: Beispieldaten mit Passwortverlauf

Test mit Beispieldaten:

python dpat.py -n sample_data/customer.ntds -c sample_data/oclHashcat.pot -p 8

Erweiterte Funktionen

Gruppenanalyse

Erstellen Sie Gruppenmitgliedschaftsdateien mit PowerShell:

Get-NetGroupMember -Recurse -GroupName "Domain Admins" > "Domain Admins.txt"

Analyse kerberoastbarer Konten

Verwenden Sie das Skript parse-kerberoastable.py von CypherHound, um Dateien mit kerberoastbaren Konten für eine erweiterte Analyse zu generieren.

CypherHound-Integration

Sie können von CypherHound generierte Dateien in DPAT einbinden, um den DPAT-Berichten weitere Statistiken hinzuzufügen. Derzeit sind die zusätzlichen Statistiken:

• Gruppen-Cracking-Statistiken für jede Gruppe in einer bestimmten Domäne
• Geknackte kerberoastbare Konten

Wenn Sie dies zur Bereitstellung dieser zusätzlichen Statistiken nutzen möchten, müssen Sie die folgenden Skripte verwenden:

• parse-memberships.py. Übergeben Sie das Ausgabeverzeichnis mit dem Flag -g an DPAT.
• parse-kerberoastable.py. Übergeben Sie die Ausgabedatei mit dem Flag -kz an DPAT.

Es handelt sich um einfache Skripte, deren Verwendung oben verlinkt ist und die unkompliziert sein sollten.

Datenbereinigung

Verwenden Sie das Flag -s, um bereinigte Berichte zu erstellen, die zur Weitergabe geeignet sind:

python dpat.py -n customer.ntds -c hashcat.potfile -p 8 -s

Fehlerbehebung

Häufige Probleme

"No module named 'distutils'"

• Dies ist bei Python 3.12+ zu erwarten. DPAT behandelt dies automatisch.

Leere Berichte

• Überprüfen Sie, ob Ihr NTDS-Dateiformat dem erwarteten Format entspricht
• Stellen Sie sicher, dass Ihre Datei mit geknackten Passwörtern übereinstimmende Hashes enthält
• Stellen Sie sicher, dass der Parameter für die minimale Passwortlänge korrekt ist

Fehlende Detail-Links

• Einige Berichtsabschnitte haben möglicherweise keine Detailseiten, wenn keine Daten gefunden werden
• Dies ist normales Verhalten für leere Kategorien

Debug-Modus

Debug-Ausgabe zur Fehlerbehebung aktivieren:

python dpat.py -n customer.ntds -c hashcat.potfile -p 8 -dbg

Testen

Test-Suite ausführen:

python -m unittest tests.unit.test_core -v
python -m unittest tests.integration.test_integration -v

Mitwirken

1. Repository forken
2. Einen Feature-Branch erstellen
3. Änderungen vornehmen
4. Tests für neue Funktionalität hinzufügen
5. Pull-Request einreichen

Lizenz

Dieses Projekt ist unter der MIT-Lizenz lizenziert – siehe die LICENSE-Datei für Details.

Danksagungen

• Carrie Roberts - Ursprüngliche Autorin
• Dylan Evans - Mitwirkender

Ursprünglich gesponsert von:

Unterstützung

Bei Problemen, Fragen oder Beiträgen nutzen Sie bitte den GitHub-Issue-Tracker.