PCredz 2.1.0

PCredz extrae credenciales y tokens de autenticación del tráfico de red (archivos PCAP o captura en vivo).

Características

Protocolos Soportados

Extrae credenciales del tráfico IPv4 e IPv6:

• NTLM: Hashes NTLMv1/v2 de HTTP, SMB, LDAP, MSSQL, DCE-RPC y más
• Kerberos: Hashes AS-REQ Pre-Auth (etype 23)
• HTTP: Autenticación básica, campos de formulario (contraseñas, claves API, tokens)
• FTP: Comandos USER/PASS
• IRC: Autenticación NICK/USER/PASS
• SMTP: AUTH PLAIN y AUTH LOGIN
• IMAP: Autenticación LOGIN
• POP3: Comandos USER/PASS
• LDAP: Simple Bind (contraseñas en texto plano)
• SNMP: Cadenas de comunidad (v1/v2c)
• MSSQL: Autenticación del protocolo TDS
• Tarjetas de crédito: Extracción de números de tarjeta (opcional)

Formatos de Salida

• Compatible con Hashcat: Todos los hashes formateados para uso directo con hashcat
  • NTLMv1: -m 5500
  • NTLMv2: -m 5600
  • Kerberos: -m 7500
• Registros organizados: Archivos separados para cada tipo de credencial en el directorio logs/
• Registro de sesión: Línea de tiempo completa en CredentialDump-Session.log
• Desduplicación: Las mismas credenciales se registran solo una vez (a menos que se use la opción -v)

Soporte de Capa de Enlace

• Ethernet (DLT_EN10MB)
• Linux Cooked Capture (DLT_LINUX_SLL)
• IP Crudo (DLT_RAW)
• Detección automática del tipo de capa de enlace

Instalación

Docker (Recomendado)

# Construir el contenedor
docker build -t pcredz .

# Ejecutar con el directorio actual montado
docker run --rm -v $(pwd):/data pcredz -f /data/capture.pcap

# Para captura en vivo (requiere --net=host)
docker run --rm --net=host -v $(pwd):/data pcredz -i eth0 -v

Linux

Debian/Ubuntu:

sudo apt-get install python3-pip libpcap-dev
pip3 install pcapy-ng

Fedora/RHEL:

sudo dnf install python3-pip libpcap-devel
pip3 install pcapy-ng

Arch Linux:

sudo pacman -S python-pip libpcap
pip3 install pcapy-ng

Uso

Ejemplos Básicos

# Analizar un solo archivo PCAP
./Pcredz -f capture.pcap

# Analizar todos los archivos PCAP en un directorio (recursivo)
./Pcredz -d /ruta/al/directorio/pcap/

# Captura en vivo en una interfaz (requiere permisos de root)
sudo ./Pcredz -i eth0

# Modo verboso (mostrar credenciales duplicadas)
./Pcredz -f capture.pcap -v

# Directorio de salida personalizado
./Pcredz -f capture.pcap -o /tmp/pcredz-output/

Opciones

Requerido (elegir uno):
  -f ARCHIVO      Archivo PCAP a analizar
  -d DIR           Directorio a analizar recursivamente
  -i INTERFAZ      Interfaz para captura en vivo

Opcional:
  -v              Modo verboso (mostrar credenciales duplicadas)
  -t              Mostrar marcas de tiempo
  -o DIR          Directorio de salida para registros (por defecto: ./)
  -c              Deshabilitar escaneo de tarjetas de crédito
  --disable PROTO Deshabilitar protocolo (se puede usar varias veces)
                  Opciones: NTLM, HTTP, FTP, IRC, LDAP, SMTP, Kerberos, SNMP, MSSQL
  --exclude-host IP  Excluir dirección IP del host de la captura (se puede usar varias veces)
  -h              Mostrar mensaje de ayuda

Archivos de Salida

Todas las credenciales se guardan en el directorio logs/:

logs/
├── NTLMv1.txt              # Hashes NTLMv1 (hashcat -m 5500)
├── NTLMv2.txt              # Hashes NTLMv2 (hashcat -m 5600)
├── MSKerb.txt              # Hashes Kerberos (hashcat -m 7500)
├── HTTP-Basic.txt          # Credenciales HTTP Basic
├── HTTP-PasswordFields.txt # Campos de formulario HTTP y claves API
├── FTP-Plaintext.txt       # Credenciales FTP
├── IRC-Plaintext.txt       # Credenciales IRC
├── SMTP-Plaintext.txt      # Credenciales SMTP
├── LDAP-Simple.txt         # Credenciales LDAP Simple Bind
├── MSSQL-Plaintext.txt     # Credenciales MSSQL
└── SNMPv1.txt              # Cadenas de comunidad SNMP

Además de un registro de sesión:

CredentialDump-Session.log  # Sesión completa con marcas de tiempo

Ejemplos

Extraer Hashes NTLM

./Pcredz -f capture.pcap

# Salida:
# 192.168.1.10:445 > 192.168.1.20:1024
# Hash NTLMv2 completo: admin::DOMINIO:1122334455667788:ABC123...

# Usar con hashcat:
hashcat -m 5600 logs/NTLMv2.txt wordlist.txt

Captura en Vivo

sudo ./Pcredz -i eth0 -v

# Captura y muestra credenciales en tiempo real
# Presiona Ctrl+C para detener

Procesamiento por Lotes

# Procesar todos los PCAP en un árbol de directorios
./Pcredz -d /forense/capturas-red/

# Analizando /forense/capturas-red/dia1/manana.pcap...
# Analizando /forense/capturas-red/dia1/tarde.pcap...
# ...

Filtrado de Protocolos

# Deshabilitar protocolos específicos (reducir ruido)
./Pcredz -f capture.pcap --disable HTTP --disable SNMP

# Capturar solo hashes NTLM
./Pcredz -f capture.pcap --disable HTTP --disable FTP --disable IRC \
  --disable LDAP --disable SMTP --disable Kerberos --disable SNMP --disable MSSQL

# Enfocarse solo en credenciales en texto claro
./Pcredz -f capture.pcap --disable NTLM --disable Kerberos

Exclusión de Host

# Excluir tu propia IP durante la captura en vivo (caso de uso común)
sudo ./Pcredz -i eth0 --exclude-host 192.168.1.50 -v

# Excluir múltiples hosts
./Pcredz -f capture.pcap --exclude-host 192.168.1.100 --exclude-host 10.0.0.5

# Pruebas de penetración: capturar credenciales del objetivo, no las propias
sudo ./Pcredz -i eth0 --exclude-host $(hostname -I | awk '{print $1}') -v

Rendimiento

Optimizaciones

• Caché de E/S de archivos: Evita lecturas redundantes de archivos (aceleración de 10 a 100 veces)
• Precompilación de expresiones regulares: Patrones compilados en caché (aceleración de 2 a 5 veces)
• Desduplicación inteligente: Seguimiento en memoria de credenciales vistas
• Detección de capa de enlace: Detecta y almacena en caché el desplazamiento automáticamente (sobrecarga mínima)

Puntos de Referencia

Rendimiento típico en hardware moderno:

• Archivos pequeños (<10 MB): <1 segundo
• Archivos medianos (100 MB): 5-10 segundos
• Archivos grandes (1 GB+): 1-2 minutos
• Captura en vivo: 5.000-10.000 paquetes/segundo

Solución de Problemas

pcapy-ng No Encontrado

pip3 install pcapy-ng
# Si eso falla:
pip3 install --break-system-packages pcapy-ng

Permiso Denegado (Captura en Vivo)

La captura en vivo requiere privilegios de root:

sudo ./Pcredz -i eth0

No Se Encontraron Credenciales

• Verifique que el PCAP contenga los protocolos esperados (use Wireshark)
• Verifique que el tráfico no esté cifrado (HTTPS, SSH, etc.)
• Intente el modo verboso (-v) para ver toda la actividad
• Verifique que el tipo de capa de enlace sea compatible

Contribuir

¿Encontró un error o desea agregar una función? ¡Las contribuciones son bienvenidas!

1. Pruebe sus cambios a fondo
2. Siga el estilo de código existente
3. Agregue ejemplos para nuevas funciones
4. Actualice la documentación

Licencia

GNU General Public License v3.0

Autor

Laurent Gaffie

• Correo electrónico: [email protected]
• X/Twitter: @secorizon
• GitHub: lgandx/PCredz