NLA-Honeypot-bezogene Forschung

• FreeRDP-ResearchServer/: eine modifizierte Version von FreeRDP 2.2.0, die einen RDP-Handshake abschließt, den Benutzer abweist (da keine Konten eingerichtet sind) und die sechs Nachrichten nach /tmp schreibt
• FreeRDP-Pot-Patches/: Patches für den für die Produktion vorgesehenen FreeRDP-Server, der einen RDP-Handshake abschließt, den Benutzer abweist (da keine Konten eingerichtet sind) und die sechs Nachrichten nach /tmp schreibt
• dump/: aufgezeichnete Negotiate/Challenge/Authenticate Out/In-Nachrichten-Dumps
• NCC-FreeRDP-pyparser/nccfreerdppyparser.py: extrahiert Nachrichten-Dumps aus dump/ und gibt Hashes im Format username:workstation:domain:$NLA$UserDomain$ntlm_v2_temp_chal$msg$EncryptedRandomSessionKey$MessageIntegrityCheck aus
• hashes.txt: von nccfreerdppyparser.py generierte Hashes
• NCC-FreeRDP-pyparser/crack.py: knackt Hashes von nccfreerdppyparser.py
• docker/build.sh: baut FreeRDP-ResearchServer/
• docker/dump.sh: verbindet einen FreeRDP-Client mit einem FreeRDP-Server, um RDP-Verbindungsnachrichten zu erfassen

Das Ziel ist es, Honeypots einzusetzen, die RDP-Handshakes erfassen können, und diese dann offline zu knacken, um zu verstehen, welche Passwörter gegen die von uns eingesetzten RDP-Honeypots verwendet werden – ob sie organisationsspezifisch sind usw. Derzeit können wir die Handshakes erfolgreich erfassen (siehe FreeRDP-ResearchServer/), die relevanten Daten extrahieren (siehe nccfreerdppyparser.py) und sie knacken (siehe crack.py).

Nächste Schritte:

• crack.py als hashcat-Plugin neu schreiben
• FreeRDP-ResearchServer/ für die Produktion bereinigen
• Gibt es Authentifizierungsmethoden, die SAM-Datenbanken erfordern?