dploot

dploot es una reescritura en Python de SharpDPAPI, escrito en C# por Harmj0y, que a su vez es un port de DPAPI de Mimikatz de gentilkiwi. Implementa toda la lógica de DPAPI de estas herramientas, pero esta vez es utilizable con un intérprete de Python y desde un entorno Linux.

Si no sabes qué es DPAPI, consulta esta publicación.

Tabla de contenidos

• dploot
  • Tabla de contenidos
  • Instalación
  • Uso
    • Protocolos
    • Kerberos
  • Cómo usar
    • Acceso remoto vía SMB
    • Acceso remoto vía WMI
    • Acceso remoto vía WinRM
    • Acceso remoto vía MSSQL
    • Acceso al sistema de archivos local
    • Acceso remoto vía Cobalt Strike
    • Como administrador de dominio
    • Como no administrador de dominio
  • Comandos
    • Triaje de usuario
      • masterkeys
      • credentials
      • vaults
      • rdg
      • certificates
      • browser
      • cng
      • wam
      • mobaxterm
      • triage
    • Triaje de máquina
      • machinemasterkeys
      • machinecredentials
      • machinevaults
      • machinecertificates
      • machinecng
      • machinetriage
    • Varios
      • wifi
      • sccm
      • backupkey
      • blob
  • Créditos

Instalación

Puedes instalar dploot directamente desde PyPI con pipx:

pipx install git+https://github.com/zblurx/dploot.git

O

pipx install dploot

En Kali Linux, puedes instalar dploot desde los repositorios:

sudo apt install python3-dploot

Uso

dploot (https://github.com/zblurx/dploot) v4.0.0 by @_zblurx
usage: dploot [-h]
              {backupkey,blob,browser,certificates,cng,credentials,machinecertificates,machinecng,machinecredentials,machinemasterkeys,machinetriage,machinevaults,masterkeys,mobaxterm,rdg,sccm,triage,vaults,wam,wifi}
              ...

DPAPI looting in Python

positional arguments:
  {backupkey,blob,browser,certificates,cng,credentials,machinecertificates,machinecng,machinecredentials,machinemasterkeys,machinetriage,machinevaults,masterkeys,mobaxterm,rdg,sccm,triage,vaults,wam,wifi}
                        Action
    backupkey           Backup Keys from domain controller
    blob                Decrypt DPAPI blob. Can fetch masterkeys on target
    browser             Dump users credentials and cookies saved in browser from local or remote target
    certificates        Dump users certificates from local or remote target
    cng                 Dump users CNG files blob from local or remote target
    credentials         Dump users Credential Manager blob from local or remote target
    machinecertificates
                        Dump system certificates from local or remote target
    machinecng          Dump system CNG files from local or remote target
    machinecredentials  Dump system credentials from local or remote target
    machinemasterkeys   Dump system masterkey from local or remote target
    machinetriage       Loot SYSTEM Masterkeys (if not set), SYSTEM credentials, SYSTEM certificates and SYSTEM vaults from local or remote target
    machinevaults       Dump system vaults from local or remote target
    masterkeys          Dump users masterkey from local or remote target
    mobaxterm           Dump Passwords and Credentials from MobaXterm
    rdg                 Dump users saved password information for RDCMan.settings from local or remote target
    sccm                Dump SCCM secrets (NAA, Collection variables, tasks sequences credentials) from local or remote target
    triage              Loot Masterkeys (if not set), credentials, rdg, certificates, browser and vaults from local or remote target
    vaults              Dump users Vaults blob from local or remote target
    wam                 Dump users cached azure tokens from local or remote target
    wifi                Dump wifi profiles from local or remote target

options:
  -h, --help            show this help message and exit

Protocolos

dploot v4.0.0+ admite múltiples protocolos de red para acceso remoto. El protocolo se selecciona mediante --protocol <protocol_name>. Cada protocolo tiene capacidades y requisitos diferentes:

• smb (predeterminado): Utiliza SMB/RPC para el acceso remoto a archivos y operaciones de registro. Funciona con la mayoría de los objetivos Windows. Admite autenticación Kerberos. Funciona con impacket
• wmi: Utiliza Windows Management Instrumentation (DCOM) para la ejecución remota y las operaciones de registro. Alternativa útil a SMB. Admite autenticación Kerberos. Funciona con impacket
• winrm: Utiliza Windows Remote Management para operaciones basadas en PowerShell. Común en entornos modernos. Funciona con pypsrp
• mssql: Se conecta a través de MSSQL Server. Admite autenticación de base de datos tanto de dominio como local. Admite autenticación Kerberos. Funciona con impacket
• local: Accede directamente a un sistema de archivos Windows montado o copiado (no se necesita conexión de red). Útil para el análisis offline de unidades físicas o imágenes de disco.
• cobaltstrike: Ejecuta operaciones a través de una API REST de beacon de Cobalt Strike. Útil para operaciones de red team con infraestructura de Cobalt Strike.

Ejemplo usando el protocolo WMI:

$ dploot masterkeys --protocol wmi -d waza.local -u Administrator -p 'Password!123' -t 192.168.57.5

Ejemplo usando protocolo local (sistema de archivos sin conexión):

$ dploot masterkeys --protocol local --root /mnt/c_drive -u bob -p Password

Notas importantes sobre el soporte de comandos:

• La mayoría de los comandos admiten todos los protocolos. Sin embargo, backupkey solo funciona con el protocolo SMB (requiere acceso al controlador de dominio).
• Solo el protocolo smb admite el volcado LSA para volcar automáticamente la clave de máquina DPAPI. Para los demás protocolos, tendrás que proporcionarla tú mismo con --dpapi-system-key.

Kerberos

dploot puede autenticarse con Kerberos para los protocolos smb, wmi y mssql. Usa -k para habilitar Kerberos con fallback a NTLM. Si quieres usar un ticket en caché, usa --use-kcache. Para usar una clave AES, usa --aesKey.

$ dploot masterkeys -d waza.local -u Administrator -k -t 192.168.57.5

Cómo usar

El objetivo de dploot es simplificar el loot relacionado con DPAPI desde una máquina Linux. Cómo uses esta herramienta depende de tu nivel de acceso y de la configuración del objetivo.

Acceso remoto vía SMB

El protocolo predeterminado es SMB. Este es el enfoque más común para el loot de DPAPI y funciona con el uso compartido de archivos estándar de Windows:

$ dploot masterkeys -d waza.local -u Administrator -p 'Password!123' -t 192.168.57.5
[*] Connected to 192.168.57.5 as waza.local\Administrator (admin)

[*] Triage ALL USERS masterkeys