🚩 Sponsoren

Wenn Ihnen dieses Projekt gefällt, erwägen Sie den Kauf von Lizenzen von OctoPwn, unserer vollständigen Pentesting-Suite, die in Ihrem Browser läuft!
Für Benachrichtigungen über neue Builds/Releases und andere Informationen besuchen Sie unseren Discord

pypykatz

Mimikatz-Implementierung in reinem Python. Zumindest ein Teil davon :)
Läuft auf allen Betriebssystemen, die Python>=3.6 unterstützen

🚩 Läuft im Browser

Dieses Projekt läuft zusammen mit vielen anderen Pentester-Tools im Browser mit der Kraft von OctoPwn!
Schauen Sie sich die Community-Version unter OctoPwn - Live an.

WIKI

Seit Version 0.1.1 hat sich die Kommandozeile ein wenig geändert. Keine Sorge, ich habe ein großartiges WIKI für Sie.

Installation

Installieren Sie es per pip oder indem Sie es von Github klonen.
Der Installer erstellt eine pypykatz-Ausführungsdatei im Python Scripts-Verzeichnis. Sie können es von dort aus ausführen, es sollte in Ihrem PATH sein.
Beachten Sie, dass die Github-Master-Version möglicherweise fehlschlägt, weil ich zu faul bin, einen richtigen Branch für die neuen Versionen zu erstellen. Ich werde jedoch versuchen, einen Branch der stabilen Version zu erstellen.

Über PIP

pip3 install pypykatz

Über Github

Voraussetzungen installieren

pip3 install minidump minikerberos aiowinreg msldap winacl

Klonen Sie dieses Repo

git clone https://github.com/skelsec/pypykatz.git
cd pypykatz

Installieren Sie es

python3 setup.py install

Funktionen

Allgemein

Plattformunabhängig – alle Befehle haben eine „Live“- und eine normale Version, wo zutreffend. Die „Live“-Version verwendet das aktuelle System und funktioniert nur unter Windows. Die normalen Befehle sind plattformunabhängig.
Kann als Bibliothek für Ihre Projekte verwendet werden.

LSASS-Verarbeitung

Kann die im LSASS-Prozess versteckten Geheimnisse analysieren. Dies ist ähnlich wie mimikatzs sekurlsa::, jedoch mit anderen Befehlen.
Der Hauptunterschied besteht darin, dass die gesamte Parsing-Logik von der Datenquelle getrennt ist. Wenn Sie also ein neues Reader-Objekt definieren, können Sie das Parsing von LSASS im Grunde von überall aus durchführen.

Derzeit unterstützte Datenquellen:

1. live – liest den Speicher des LSASS-Prozesses direkt
2. minidump – verarbeitet eine Minidump-Datei, die durch Dumping des LSASS-Prozesses erstellt wurde
3. rekall (Volatility-Fork) – verarbeitet grundsätzlich JEGLICHE Windows-Speicherabbilder, die rekall parsen kann
4. pcileech – wird nicht mehr unterstützt
5. remote – dies ist ein anderes Projekt. TBD :)
6. your project here im Ernst, es ist super einfach zu integrieren.

Registry-Verarbeitung

Analysiert die Registry-Hives, um gespeicherte Anmeldeinformationen wie NT- und LM-Hashes, zwischengespeicherte Domänenanmeldeinformationen (DCC/DCC2) und LSA-Geheimnisse zu erhalten.

Derzeit unterstützte Datenquellen:

1. live – hat zwei Techniken zum Parsen der Live-Registry. Die erste erfolgt im Speicher und berührt keine Festplatte, die zweite ist das Dumping der Hives und deren Analyse mit dem Offline-Parser
2. offline (Hive-Dateien)
3. your project here im Ernst, es ist super einfach zu integrieren.

DPAPI-Funktionen - MASTERKEY/BLOB/VAULT/CREDENTIAL

DPAPI ist der Beschützer lokaler Geheimnisse vieler Art. Derzeit unterstützt das Projekt die Entschlüsselung von Masterkeys, DPAPI-Blobs, Credential-Dateien, Vault-Dateien.
Die Ergebnisse sind nicht 100% korrekt, da es zu den meisten dieser Dinge nicht viel Dokumentation gibt. PRs sind immer willkommen!

Derzeit unterstützte Datenquellen:

1. live – holt Masterkeys direkt von LSASS ODER die Benutzer-/Maschinenschlüssel aus der Live-Registry und entschlüsselt die Masterkey-Datei.
2. Hive-Dateien (offline) – die Benutzer-/Maschinenschlüssel aus der Live-Registry und entschlüsselt die Masterkey-Datei
3. gültige Anmeldeinformationen (offline) – kann Masterkey-Dateien entschlüsseln, indem Sie die korrekte SID und das Passwort eingeben.
4. pls don't integrate this part to your project, it's beta

Benutzerimitation

Kann einen neuen Prozess als beliebigen Benutzer starten, der einen Prozess auf der Maschine ausführt.
Kann jedem verfügbaren Token Ihrer Wahl Ihrem Thread zuweisen
Dies ist wirklich nur eine grundlegende Sache. Der Grund dafür ist, dass ich es hasse, ständig psexec zu verwenden, um eine System-Shell von Admin zu bekommen...

andere Sachen

ja... sehen Sie sich den Code an. Er hat Kommentare und so...

Rekall-Befehlsoptionen

Timestamp-Überschreibung

Grund für die Existenz dieses Parameters: Um die richtige Struktur zum Parsen auszuwählen, benötigen wir die Zeitstempelinformationen der msv-DLL-Datei. Rekall hat diese Informationen leider aus irgendeinem Grund nicht immer, daher kann das Parsen fehlschlagen.
Wenn das Parsen fehlschlägt, könnte dies das Problem lösen.

Parameter: -t
Werte: 0 oder 1
Beispiel:

pypykatz.py rekall <momeory_dump_file> -t 0

Rekall-Verwendung

Es gibt zwei Möglichkeiten, rekall-basiertes Memory-Parsing zu verwenden.

Über den pypykatz rekall Befehl

Sie müssen die zu parsende Speicherdatei angeben.

Über die rekall-Kommandozeile

WICHTIGE HINWEISE:

1. Wenn Sie sich gerade erst entscheiden, rekall zu installieren, beachten Sie bitte: Es MUSS in einer virtualenv ausgeführt werden, und Sie müssen pypykatz in derselben virtualenv installieren!
2. Die rekall-Kommandozeile ist nicht geeignet, um alle aus dem Speicher gewonnenen Informationen anzuzeigen. Sie sollten die Befehlsoptionen out_file und kerberos_dir verwenden!

Sie finden eine rekall-Plugin-Datei namens pypykatz_rekall.py im plugins-Ordner von pypykatz.
Sie müssen sie in rekalls plugins/windows-Ordner kopieren und in pypykatz.py umbenennen.
Danach ändern Sie die __init__.py-Datei im selben Ordner und fügen am Ende die folgende Zeile hinzu: from rekall.plugins.windows import pypykatz
Wenn alles in Ordnung ist, können Sie den pypykatz-Befehl direkt von der rekall-Kommandozeile aus verwenden.