Invoke-CleverSpray

Script de pulverización de contraseñas que detecta contraseñas actuales y anteriores de usuarios de Active Directory por @flelievre

Opciones:

-Password: Contraseña a pulverizar.
-PasswordFile: Ruta al archivo que contiene una lista de contraseñas a pulverizar.
-Username: samAccountName del usuario objetivo.
-UsernamesFile: Ruta al archivo que contiene una lista de samAccountNames objetivo.
-Domain: El dominio a consultar para usuarios, por defecto el dominio actual.
-Limit: Solo se atacarán usuarios cuyo 'badPwdCount' sea menor o igual a Límite (por defecto 1 para evitar bloquear cuentas).
-Delay: Retardo entre intentos de autenticación (en segundos).
-Jitter: Jitter para el retardo de los intentos de autenticación.
-HideOld: Ocultar contraseñas antiguas descubiertas (por defecto falso).

Uso: Importar Invoke-CleverSpray:

Import-Module .\Invoke-CleverSpray.ps1

Pulverizar una única contraseña:

Invoke-CleverSpray -Password "Passw0rd"

Pulverizar múltiples contraseñas:

Invoke-CleverSpray -PasswordFile ".\pwd_list.txt"

Comportamiento:

• Obtiene el dominio por defecto o especificado (para especificar un dominio, use el parámetro -Domain) usando Get-NetDomain de PowerView (@harmj0y) e identifica el PDCe para enviar solicitudes de autenticación (porque el PDCe del dominio centraliza los atributos "badPwdCount" para los usuarios del dominio)
• Obtiene todas las cuentas de usuario del dominio usando Get-NetUser de PowerView (@harmj0y) o desde un archivo especificado (-UsernamesFile)
• Para cada usuario, verifica si el atributo "badPwdCount" es inferior al umbral establecido pasado como argumento (-Limit), si lo es:
  • Intenta autenticarse usando la contraseña proporcionada (-Password) o una contraseña dentro de un archivo de lista de contraseñas especificado (-PasswordFile) con las cuentas de cada usuario
    • Si la autenticación es exitosa, se ha descubierto la contraseña actual del usuario
    • Si la autenticación no es exitosa:
      • verifica si el atributo "badPwdCount" del usuario se incrementó: si no, la contraseña proporcionada es una contraseña anterior de la cuenta de usuario (sea creativo, detecte el patrón de creación de contraseñas del usuario para adivinar su contraseña real ;)
      • si el atributo "badPwdCount" del usuario se incrementó, no se encontró ninguna contraseña anterior o actual para ese usuario específico
  • Si se establece un retardo (-Delay), espere Delay +/- Jitter (-Jitter) o pase directamente al siguiente usuario del dominio.

ADVERTENCIA: El -Limit predeterminado es 1 (es decir, solo se atacarán cuentas de usuario con un "badPwdCount" menor o igual a 1). Puede aumentar este valor bajo su propio riesgo para atacar a más usuarios. No puedo garantizar que ningún usuario sea bloqueado.

Saludos: Gracias a @harmj0y por PowerView !