CredMaster

Lancez une attaque par pulvérisation de mots de passe / brute force via les proxys de passage AWS, en changeant l'adresse IP de la requête à chaque tentative d'authentification. Cela crée dynamiquement des API FireProx pour des pulvérisations de mots de passe plus furtives.

Merci à @ustayready pour ses outils CredKing et FireProx, qui forment la base de cette suite.

Voir toutes les notes complètes sur le Wiki, l'outil a été publié avec des détails dans ce billet de blog.

Pour des conseils de détection, voir le billet de blog et la section détection.

Faites attention aux blocages de comptes, connaissez les politiques de réinitialisation de votre cible

TL;DR

1. Clonez le dépôt avec git clone
2. Si vous ne savez pas comment créer les clés correctes, voir ce blog.
3. pip install -r requirements.txt
4. Remplissez le fichier de configuration (wiki) avec les options souhaitées, ou fournissez-les via la CLI

Avantages et fonctionnalités

• Change l'adresse IP de la requête à chaque demande
• Génère automatiquement des API pour le proxy de passage
• Usurpe les numéros de suivi des API, les adresses IP transmises et autres en-têtes de suivi des proxy = totalement anonyme
• Configuration facile via fichier de configuration
• Traitement multi-threadé
• Compteurs de délai de mot de passe et configuration pour éviter le verrouillage de compte
• Ajout facile de nouveaux plugins
• Sortie colorisée
• Systèmes de notification pour Keybase, Slack, Discord, Teams et Pushover
• Paramètre WeekdayWarrior pour une pulvérisation programmée et une évasion des SOC

Utilisation rapide

Les plugins suivants sont actuellement pris en charge :

• OWA - Outlook Web Access
  • --plugin owa
• EWS - Exchange Web Services
  • --plugin ews
• O365 - Office365 - DÉPRÉCIÉ
  • plugin removed
• ADFS - Services de fédération Active Directory
  • --plugin adfs
• O365Enum - Énumération des utilisateurs Office365 (pas de requête d'authentification)
  • --plugin o365enum
• MSOL - Microsoft Online
  • --plugin msol
• MSGraph - Module MSGraph, point de pulvérisation msgraph pour les identifiants Azure et MSOL
  • --plugin msgraph
• AzureSSO - Point de terminaison SSO transparent Azure AD

Exemple d'utilisation :

python3 credmaster.py --plugin {nomduplugin} --access_key {clé} --secret_access_key {clé} -u fichierutilisateurs -p fichierdemotdepasse -a fichieragentutilisateur {autresarguments}

ou

python3 credmaster.py --config config.json

Cet outil nécessite des clés d'accès API AWS. Un tutoriel sur la façon d'acquérir ces clés se trouve ici : https://bond-o.medium.com/aws-pass-through-proxy-84f1f7fa4b4b

Tous les autres détails d'utilisation se trouvent sur le wiki

À FAIRE

Les PRs sont les bienvenues :)

• Nouveau plugin : Méthode Go365 d'Optiv - Inclut l'authentification Office365 et les capacités d'énumération des utilisateurs via SOAP
• Fonctionnalité de "reprise" pour les analyses mises en pause/annulées. Idéalement, stocker les données pour les API utilisées, savoir si elles ont été détruites et sur quel utilisateur/mot de passe l'analyse était en cours
• Méthode pour déterminer de manière fiable si une tentative d'authentification a été limitée, afin que le nom d'utilisateur puisse être remis en file d'attente et réessayé plus tard pour une couverture complète (devrait être par plugin, renvoyer une valeur booléenne "limité" dans le script du plugin, remettre en file d'attente si limité)
• Système de notification pour les webhooks (Teams À FAIRE)
• Drapeau d'arrêt sur succès
• Refonte du profil de pulvérisation
• Notes de développement
• Pulvérisation nom d'utilisateur==mot de passe

Crédits

• Mike Felch (ustayready) - CredKing & FireProx
• Beau Bullock (dafthack) - Outil MSOLSpray
• Martin Ingesen (mrtn9) - Outil MSOLSpray Python
• Oliver Morton (grimhacker) - Outil Office365UserEnum
• Marcello (byt3bl33d3r) - SprayingToolkit
• Erforschr - Outil de brute force HTTP
• Florian Hauser (frycos de codewhitesec) - Plugin ADFS
• nyxgeek - Implémentation Python du SSO transparent Azure AD
• Joe Helle (joehelle) - Oh365UserFinder
• Cameron Geehr (BarrelTit0r) - Outil o365enum
• Max Gruenberg (Max_Gruenberg) - Plugin o365enum
• x0rz - Technique GmailEnum
• Kole Swesey (0xPanic_) - Diverses PR
• Logan (TheToddLuci0) - Divers correctifs de bugs, authentification AWS et notifications Keybase
• Andy Gill (ZephrFish) - Fonctions de couleur + Réglages/Notifications, aide à la réécriture du développement, module AzVault
• Hugo VINCENT (@hugow) - Taille de lot / délai
• Dennis Herrmann (dhn_ de CODE WHITE GmbH) - Support de notification Ntfy
• Jason Juntunen (missing0x00) - Plugin PingFed
• Gustavo Penna (moreirapenna2) - Plugin HTTP POST

N'hésitez pas à me contacter

• @knave sur Keybase
• Twitter - knavesec