🚩 Patrocinadores

Si te gusta este proyecto, considera comprar licencias de OctoPwn, nuestro conjunto completo de herramientas de pentesting que se ejecuta en tu navegador.
Para notificaciones sobre nuevas versiones/lanzamientos y otra información, únete a nuestro Discord

pypykatz

Implementación de Mimikatz en Python puro. Al menos una parte :)
Se ejecuta en todos los SO que soporten python>=3.6

🚩 Se ejecuta en el navegador

Este proyecto, junto con muchas otras herramientas de pentesting, se ejecuta en el navegador con el poder de OctoPwn.
Prueba la versión comunitaria en OctoPwn - Live

WIKI

Desde la versión 0.1.1, la línea de comandos cambió un poco. No te preocupes, tengo una WIKI increíble para ti.

Instalación

Instálalo mediante pip o clonándolo desde GitHub.
El instalador creará un ejecutable de pypykatz en el directorio Script de Python. Puedes ejecutarlo desde allí, debería estar en tu PATH.
Ten cuidado, la versión master de GitHub podría fallar porque soy perezoso para hacer una rama adecuada para las nuevas versiones. Sin embargo, intentaré crear una rama de la versión estable.

Via PIP

pip3 install pypykatz

Via GitHub

Instalar requisitos previos

pip3 install minidump minikerberos aiowinreg msldap winacl

Clonar este repositorio

git clone https://github.com/skelsec/pypykatz.git
cd pypykatz

Instalarlo

python3 setup.py install

Características

General

Independiente de la plataforma: todos los comandos tienen una versión "live" y una normal cuando corresponda. La versión "live" usará el sistema actual y solo funciona en Windows. Los comandos normales son independientes de la plataforma.
Se puede usar como biblioteca para tus proyectos.

Procesamiento de LSASS

Puede analizar los secretos ocultos en el proceso LSASS. Esto es similar a sekurlsa:: de mimikatz pero con diferentes comandos.
La principal diferencia aquí es que toda la lógica de análisis está separada de la fuente de datos, por lo que si defines un nuevo objeto lector, básicamente puedes realizar el análisis de LSASS desde cualquier lugar.

Fuentes de datos actualmente compatibles:

1. live - lee la memoria del proceso LSASS directamente
2. minidump - procesa un archivo minidump creado al volcar el proceso LSASS
3. rekall (fork de volatility) - procesa básicamente cualquier volcado de memoria de Windows que rekall pueda analizar
4. pcileech - ya no es compatible
5. remote - este es otro proyecto. Por determinar :)
6. tu proyecto aquí en serio, es súper sencillo de integrar.

Procesamiento del registro

Analiza las colmenas del registro para obtener credenciales almacenadas, como hashes NT y LM, credenciales en caché del dominio (DCC/DCC2) y secretos LSA.

Fuentes de datos actualmente compatibles:

1. live - tiene dos técnicas para analizar el registro en vivo. La primera es en memoria, no toca el disco; la segunda es volcar las colmenas y analizarlas con el analizador sin conexión
2. offline (archivos de colmena)
3. tu proyecto aquí en serio, es súper sencillo de integrar.

Funciones DPAPI - MASTERKEY/BLOB/VAULT/CREDENTIAL

DPAPI es el protector de secretos locales de muchos tipos. Actualmente, el proyecto admite descifrar claves maestras, blobs DPAPI, archivos de credenciales, archivos de bóveda.
Los resultados no son 100% correctos, ya que no hay mucha documentación sobre la mayoría de estas cosas. ¡Los PR siempre son bienvenidos!

Fuentes de datos actualmente compatibles:

1. live - obtiene claves maestras directamente de LSASS -O- las claves de usuario/máquina del registro en vivo y descifra el archivo de clave maestra.
2. archivos de colmena (offline) - las claves de usuario/máquina del registro en vivo y descifra el archivo de clave maestra
3. credenciales válidas (offline) - puede descifrar archivos de clave maestra permitiéndote escribir el SID y contraseña correctos.
4. por favor no integres esta parte en tu proyecto, está en beta

Suplantación de usuarios

Puede generar un nuevo proceso como cualquier usuario que tenga un proceso ejecutándose en la máquina.
Puede asignar cualquier token disponible de elección a tu hilo
Esto es solo algo básico realmente. La razón es que odio usar constantemente psexec para obtener un shell de sistema desde admin...

otras cosas

sí... revisa el código. tiene comentarios y cosas...

Opciones de comando de Rekall

Anulación de marca de tiempo

Razón de la existencia de este parámetro: para elegir la estructura correcta para el análisis, necesitamos la información de la marca de tiempo del archivo dll msv. Rekall, lamentablemente, no siempre tiene esta información por algún motivo, por lo que el análisis puede fallar.
Si el análisis está fallando, esto podría solucionar el problema.

Parámetro: -t
Valores: 0 o 1
Ejemplo:

pypykatz.py rekall <momeory_dump_file> -t 0

Uso de Rekall

Hay dos formas de usar el análisis de memoria basado en rekall.

Mediante el comando pypykatz rekall

Deberás especificar el archivo de memoria a analizar.

Mediante la línea de comandos de rekall

AVISOS IMPORTANTES:

1. Si estás decidiendo instalar rekall ahora, ten en cuenta: DEBE ejecutarse en un virtualenv, ¡y necesitarás instalar pypykatz en el mismo virtualenv!
2. La línea de comandos de rekall no es adecuada para mostrar toda la información obtenida de la memoria; debes usar los modificadores de comando out_file y kerberos_dir!

Puedes encontrar un archivo de complemento de rekall llamado pypykatz_rekall.py en la carpeta plugins de pypykatz.
Deberás copiarlo en la carpeta plugins/windows de rekall y renombrarlo como pypykatz.py.
Después de esto, modifica el archivo __init__.py ubicado en la misma carpeta y agrega la siguiente línea al final: from rekall.plugins.windows import pypykatz
Si todo está bien, puedes usar el comando pypykatz directamente desde la línea de comandos de rekall.

SE NECESITA AYUDA

Si quieres ayudarme a llevar este proyecto a una versión estable, puedes enviar minivolcados del proceso lsass.exe al siguiente enlace: https://nx5494.your-storageshare.de/s/SJteWj3PPbg8jBA IMPORTANTE: por favor NO envíes volcados del proceso lsass de tu propia máquina. ¡Podré ver tus secretos, incluidos hashes/contraseñas! Envía archivos de volcado de máquinas como sistemas de prueba virtuales en los que no te importe que alguien vea las credenciales. (si tienes un sistema de dominio de prueba donde kerberos esté configurado, sería lo mejor).
También agradecería que no me spammees...

¿Por qué necesito estos archivos de volcado?

Para crear mimikatz en Python, uno tendría que definir las estructuras de una cantidad ingente de estructuras diferentes (revisa el código original) sin la ayuda del analizador incorporado que obtendrías naturalmente al usar un compilador nativo. El problema es que incluso una desalineación de un solo byte hará que el análisis de estas estructuras falle. El problema gira principalmente en torno a las alineaciones de 32-64 bits, ¡así que también se agradecen los volcados de lsass de versiones de Windows de 32 bits!

Resumen

Necesito datos con los que pueda verificar el código y aplicar los cambios necesarios en los analizadores hasta que todo funcione correctamente.
Enviar incidencias en esta página de GitHub no ayudaría en absoluto sin el archivo real, y a GitHub no le gustarían archivos adjuntos de 40-300 MB.

Prerrequisitos

La mayoría de mis grandes proyectos de Python buscan la máxima portabilidad, lo que significa que solo uso paquetes de terceros cuando es absolutamente necesario. Hasta ahora se utilizan tres paquetes adicionales, y tengo la intención de mantenerlo así.

Python>=3.6
minidump
minikerberos
asn1crypto

Agradecimientos

Benjamin DELPY @gentilkiwi por Mimikatz
Francesco Picasso por el plugin mimikatz.py para volatility
Alberto Solino (@agsolino) por impacket

Crypto

Richard Moore por el módulo AES
Todd Whiteman por el módulo DES

Utils

David Buxton por el script de conversión de marcas de tiempo