Invoke-CleverSpray

Skript zum Password Spraying, das aktuelle und vorherige Passwörter von Active Directory-Benutzern erkennt von @flelievre

Optionen:

-Password: Zu sprayendes Passwort.
-PasswordFile: Pfad zu einer Datei mit einer Liste von zu sprayenden Passwörtern.
-Username: samAccountName des Zielbenutzers.
-UsernamesFile: Pfad zu einer Datei mit einer Liste von Ziel-samAccountNames.
-Domain: Die Domäne, nach der Benutzer abgefragt werden sollen. Standardmäßig wird die aktuelle Domäne verwendet.
-Limit: Nur Benutzer mit einem 'badPwdCount' kleiner oder gleich dem Limit werden angegriffen (Standard ist 1, um Sperren zu vermeiden).
-Delay: Verzögerung zwischen Authentifizierungsversuchen (in Sekunden).
-Jitter: Zufallsstreuung für die Verzögerung der Authentifizierungsversuche.
-HideOld: Entdeckte alte Passwörter ausblenden (Standard ist falsch).

Verwendung: Importiere Invoke-CleverSpray:

Import-Module .\Invoke-CleverSpray.ps1

Ein einzelnes Passwort sprayen:

Invoke-CleverSpray -Password "Passw0rd"

Mehrere Passwörter sprayen:

Invoke-CleverSpray -PasswordFile ".\pwd_list.txt"

Verhalten:

• Ermittelt die Standarddomäne oder eine angegebene Domäne (um eine Domäne anzugeben, verwenden Sie den Parameter -Domain) mithilfe von Get-NetDomain von PowerView (@harmj0y) und identifiziert den PDCe, um Authentifizierungsanfragen zu senden (weil der Domänen-PDCe die Attribute "badPwdCount" für die Domänenbenutzer zentralisiert)
• Ruft alle Domänenbenutzerkonten mit Get-NetUser von PowerView (@harmj0y) oder aus einer angegebenen Datei (-UsernamesFile) ab
• Für jeden Benutzer wird überprüft, ob das Attribut "badPwdCount" unter dem als Argument übergebenen Schwellenwert (-Limit) liegt. Falls ja:
  • Es wird versucht, sich mit dem bereitgestellten Passwort (-Password) oder einem Passwort aus einer angegebenen Passwortliste (-PasswordFile) bei jedem Benutzerkonto zu authentifizieren.
    • Wenn die Authentifizierung erfolgreich ist, wurde das aktuelle Passwort des Benutzers gefunden.
    • Wenn die Authentifizierung fehlschlägt:
      • es wird geprüft, ob das Attribut "badPwdCount" des Benutzers erhöht wurde: wenn nicht, ist das bereitgestellte Passwort ein früheres Passwort des Benutzerkontos (seien Sie kreativ, erkennen Sie das Passworterstellungsmuster des Benutzers, um das tatsächliche Passwort zu erraten ;)
      • Wenn das Attribut "badPwdCount" des Benutzers erhöht wurde, wurde für diesen Benutzer weder ein früheres noch das aktuelle Passwort gefunden.
  • Wenn eine Verzögerung eingestellt ist (-Delay), warte für Delay +/- Jitter (-Jitter) oder spraye direkt zum nächsten Benutzer der Domäne.

WARNUNG: Standardmäßig ist -Limit auf 1 gesetzt (d.h. es werden nur Benutzerkonten mit einem 'badPwdCount' kleiner oder gleich 1 angegriffen). Sie können diesen Wert auf eigenes Risiko erhöhen, um mehr Benutzer anzugreifen. Ich kann nicht garantieren, dass keine Benutzer gesperrt werden.

Grüße: Danke an @harmj0y für PowerView!