🚩 Sponsoren

Wenn Ihnen dieses Projekt gefällt, erwägen Sie den Kauf von Lizenzen von OctoPwn, unserer vollständigen Pentesting-Suite, die in Ihrem Browser läuft!
Für Benachrichtigungen über neue Builds/Releases und andere Informationen besuchen Sie unseren Discord

pypykatz

Mimikatz-Implementierung in reinem Python. Zumindest ein Teil davon :)
Läuft auf allen Betriebssystemen, die Python>=3.6 unterstützen

🚩 Läuft im Browser

Dieses Projekt läuft zusammen mit vielen anderen Pentester-Tools im Browser mit der Kraft von OctoPwn!
Schauen Sie sich die Community-Version unter OctoPwn - Live an.

WIKI

Seit Version 0.1.1 hat sich die Kommandozeile ein wenig geändert. Keine Sorge, ich habe ein großartiges WIKI für Sie.

Installation

Installieren Sie es per pip oder indem Sie es von Github klonen.
Der Installer erstellt eine pypykatz-Ausführungsdatei im Python Scripts-Verzeichnis. Sie können es von dort aus ausführen, es sollte in Ihrem PATH sein.
Beachten Sie, dass die Github-Master-Version möglicherweise fehlschlägt, weil ich zu faul bin, einen richtigen Branch für die neuen Versionen zu erstellen. Ich werde jedoch versuchen, einen Branch der stabilen Version zu erstellen.

Über PIP

pip3 install pypykatz

Über Github

Voraussetzungen installieren

pip3 install minidump minikerberos aiowinreg msldap winacl

Klonen Sie dieses Repo

git clone https://github.com/skelsec/pypykatz.git
cd pypykatz

Installieren Sie es

python3 setup.py install

Funktionen

Allgemein

Plattformunabhängig – alle Befehle haben eine „Live“- und eine normale Version, wo zutreffend. Die „Live“-Version verwendet das aktuelle System und funktioniert nur unter Windows. Die normalen Befehle sind plattformunabhängig.
Kann als Bibliothek für Ihre Projekte verwendet werden.

LSASS-Verarbeitung

Kann die im LSASS-Prozess versteckten Geheimnisse analysieren. Dies ist ähnlich wie mimikatzs sekurlsa::, jedoch mit anderen Befehlen.
Der Hauptunterschied besteht darin, dass die gesamte Parsing-Logik von der Datenquelle getrennt ist. Wenn Sie also ein neues Reader-Objekt definieren, können Sie das Parsing von LSASS im Grunde von überall aus durchführen.

Derzeit unterstützte Datenquellen:

1. live – liest den Speicher des LSASS-Prozesses direkt
2. minidump – verarbeitet eine Minidump-Datei, die durch Dumping des LSASS-Prozesses erstellt wurde
3. rekall (Volatility-Fork) – verarbeitet grundsätzlich JEGLICHE Windows-Speicherabbilder, die rekall parsen kann
4. pcileech – wird nicht mehr unterstützt
5. remote – dies ist ein anderes Projekt. TBD :)
6. your project here im Ernst, es ist super einfach zu integrieren.

Registry-Verarbeitung

Analysiert die Registry-Hives, um gespeicherte Anmeldeinformationen wie NT- und LM-Hashes, zwischengespeicherte Domänenanmeldeinformationen (DCC/DCC2) und LSA-Geheimnisse zu erhalten.

Derzeit unterstützte Datenquellen:

1. live – hat zwei Techniken zum Parsen der Live-Registry. Die erste erfolgt im Speicher und berührt keine Festplatte, die zweite ist das Dumping der Hives und deren Analyse mit dem Offline-Parser
2. offline (Hive-Dateien)
3. your project here im Ernst, es ist super einfach zu integrieren.

DPAPI-Funktionen - MASTERKEY/BLOB/VAULT/CREDENTIAL

DPAPI ist der Beschützer lokaler Geheimnisse vieler Art. Derzeit unterstützt das Projekt die Entschlüsselung von Masterkeys, DPAPI-Blobs, Credential-Dateien, Vault-Dateien.
Die Ergebnisse sind nicht 100% korrekt, da es zu den meisten dieser Dinge nicht viel Dokumentation gibt. PRs sind immer willkommen!

Derzeit unterstützte Datenquellen:

1. live – holt Masterkeys direkt von LSASS ODER die Benutzer-/Maschinenschlüssel aus der Live-Registry und entschlüsselt die Masterkey-Datei.
2. Hive-Dateien (offline) – die Benutzer-/Maschinenschlüssel aus der Live-Registry und entschlüsselt die Masterkey-Datei
3. gültige Anmeldeinformationen (offline) – kann Masterkey-Dateien entschlüsseln, indem Sie die korrekte SID und das Passwort eingeben.
4. pls don't integrate this part to your project, it's beta

Benutzerimitation

Kann einen neuen Prozess als beliebigen Benutzer starten, der einen Prozess auf der Maschine ausführt.
Kann jedem verfügbaren Token Ihrer Wahl Ihrem Thread zuweisen
Dies ist wirklich nur eine grundlegende Sache. Der Grund dafür ist, dass ich es hasse, ständig psexec zu verwenden, um eine System-Shell von Admin zu bekommen...

andere Sachen

ja... sehen Sie sich den Code an. Er hat Kommentare und so...

Rekall-Befehlsoptionen

Timestamp-Überschreibung

Grund für die Existenz dieses Parameters: Um die richtige Struktur zum Parsen auszuwählen, benötigen wir die Zeitstempelinformationen der msv-DLL-Datei. Rekall hat diese Informationen leider aus irgendeinem Grund nicht immer, daher kann das Parsen fehlschlagen.
Wenn das Parsen fehlschlägt, könnte dies das Problem lösen.

Parameter: -t
Werte: 0 oder 1
Beispiel:

pypykatz.py rekall <momeory_dump_file> -t 0

Rekall-Verwendung

Es gibt zwei Möglichkeiten, rekall-basiertes Memory-Parsing zu verwenden.

Über den pypykatz rekall Befehl

Sie müssen die zu parsende Speicherdatei angeben.

Über die rekall-Kommandozeile

WICHTIGE HINWEISE:

1. Wenn Sie sich gerade erst entscheiden, rekall zu installieren, beachten Sie bitte: Es MUSS in einer virtualenv ausgeführt werden, und Sie müssen pypykatz in derselben virtualenv installieren!
2. Die rekall-Kommandozeile ist nicht geeignet, um alle aus dem Speicher gewonnenen Informationen anzuzeigen. Sie sollten die Befehlsoptionen out_file und kerberos_dir verwenden!

Sie finden eine rekall-Plugin-Datei namens pypykatz_rekall.py im plugins-Ordner von pypykatz.
Sie müssen sie in rekalls plugins/windows-Ordner kopieren und in pypykatz.py umbenennen.
Danach ändern Sie die __init__.py-Datei im selben Ordner und fügen am Ende die folgende Zeile hinzu: from rekall.plugins.windows import pypykatz
Wenn alles in Ordnung ist, können Sie den pypykatz-Befehl direkt von der rekall-Kommandozeile aus verwenden.

HILFE GESUCHT

Wenn Sie mir helfen möchten, dieses Projekt in eine stabile Version zu bringen, können Sie Minidumps des lsass.exe-Prozesses an den folgenden Link senden: https://nx5494.your-storageshare.de/s/SJteWj3PPbg8jBA WICHTIG: Bitte senden Sie KEINE Dumps des lsass-Prozesses Ihres eigenen Rechners!!! Ich werde Ihre Geheimnisse einschließlich Hashes/Passwörter sehen können! Senden Sie Dump-Dateien von Maschinen wie virtuellen Testsystemen, bei denen es Ihnen nichts ausmacht, dass jemand die Anmeldeinformationen sieht. (Wenn Sie ein Test-Domänensystem haben, auf dem Kerberos eingerichtet ist, wäre das am besten)
Außerdem würde ich mich freuen, wenn Sie mich nicht zuspammen...

Warum brauche ich diese Dump-Dateien?

Um mimikatz in Python zu erstellen, müsste man Strukturdefinitionen von einer Unmenge verschiedener Strukturen erstellen (siehe den Originalcode), ohne die Hilfe des eingebauten Parsers, den man natürlicherweise durch die Verwendung eines nativen Compilers erhält. Nun besteht das Problem darin, dass selbst eine einzelne Byte-Fehlausrichtung dazu führt, dass das Parsen dieser Strukturen fehlschlägt. Das Problem dreht sich hauptsächlich um 32-64-Bit-Ausrichtungen, daher sind LSASS-Dumps von 32-Bit-Windows-Versionen ebenfalls willkommen!

Zusammenfassung

Ich benötige Daten, anhand derer ich den Code überprüfen und notwendige Änderungen an den Parsern vornehmen kann, bis alles einwandfrei funktioniert.
Das Einreichen von Issues auf dieser Github-Seite würde ohne die tatsächliche Datei überhaupt nicht helfen, und Github würde keine 40-300 MB großen Dateianhänge mögen.

Voraussetzungen

Die meisten meiner großen Python-Projekte zielen auf maximale Portabilität ab, d.h. ich verwende nur dann Drittanbieterpakete, wenn es unbedingt erforderlich ist.
Derzeit werden drei zusätzliche Pakete verwendet, und ich beabsichtige, dies auch so beizubehalten.

Python>=3.6
minidump
minikerberos
asn1crypto

Kudos

Benjamin DELPY @gentilkiwi für Mimikatz
Francesco Picasso für das mimikatz.py-Plugin für volatility
Alberto Solino (@agsolino) für impacket

Crypto

Richard Moore für das AES-Modul
Todd Whiteman für das DES-Modul

Utils

David Buxton für das Timestamp-Konvertierungsskript