linWinPwn - Couteau suisse pour le pentest Active Directory sous Linux

Description

linWinPwn est un script bash qui encapsule un certain nombre d'outils Active Directory pour l'énumération (LDAP, RPC, ADCS, MSSQL, Kerberos, SCCM), les vérifications de vulnérabilités (noPac, ZeroLogon, MS17-010, MS14-068), les modifications d'objets (changement de mot de passe, ajout d'utilisateur à un groupe, RBCD, Shadow Credentials) et l'extraction de mots de passe (secretsdump, lsassy, nanodump, DonPAPI). Le script simplifie l'utilisation d'un grand nombre d'outils : impacket, bloodhound, netexec, enum4linux-ng, ldapdomaindump, lsassy, smbmap, kerbrute, certipy, silenthound, bloodyAD, DonPAPI et bien d'autres.

Installation

Clonez le dépôt Git et installez les dépendances avec le script install.sh

git clone https://github.com/lefayjey/linWinPwn
cd linWinPwn
chmod +x install.sh
./install.sh

Sinon, utilisez l'image Docker pré-construite depuis Docker Hub

docker pull lefayjey/linwinpwn:latest

# Add linWinPwn_docker to PATH
echo -e "docker run --rm --init -it --net=host -v \$(pwd):/opt/lwp-output lefayjey/linwinpwn:latest \$@" | sudo tee "/usr/local/sbin/linWinPwn_docker"
sudo chmod 755 /usr/local/sbin/linWinPwn_docker
# Run linWinPwn_docker (output to host's current directory)
linWinPwn_docker -t <DC_IP>
linWinPwn_docker -t <DC_IP> -d <domain> -u <user> -p <password> --auto

Ou construisez à partir des sources

docker build -t linwinpwn .
docker run --rm --init -it --net=host -v $(pwd):/opt/lwp-output linwinpwn -t <DC_IP>

Utilisation

Mode

Le script linWinPwn peut être exécuté en mode interactif (par défaut) ou en mode automatisé (énumération uniquement).

1. Mode interactif (par défaut) - Ouvrir un menu interactif pour exécuter les vérifications séparément

linWinPwn -t <Domain_Controller_IP> [-d <AD_domain> -u <AD_user> -p <AD_password> -H <hash[LM:NT]> -K <kerbticket[./krb5cc_ticket]> -A <AES_key> -C <cert[./cert.pfx]> -o <output_dir>]

2. Mode automatisé - En utilisant le paramètre --auto, exécute les outils d'énumération (pas d'exploitation, de modifications ou d'extraction de mots de passe)

Lors de l'utilisation du mode automatisé, différentes vérifications sont effectuées en fonction de la méthode d'authentification.

Non authentifié (aucune information d'identification fournie)
- Énumération anonyme avec netexec, enum4linux-ng, ldapdomaindump, ldeep
- Bruteforce RID avec netexec
- Kerbrute user spray
- Vérification de l'authentification Pre2k sur la liste collectée des ordinateurs
- ASREPRoast en utilisant la liste collectée des utilisateurs (et cassage de hash avec john-the-ripper et la wordlist rockyou)
- Blind Kerberoast
- Exploitation CVE-2022-33679
- Vérification des mises à jour DNS non sécurisées pour l'abus AS-REQ avec krbjack
- Énumération anonyme des partages SMB sur les serveurs identifiés
- Énumération des services WebDav, dfscoerce, shadowcoerce et Spooler sur les serveurs identifiés
- Vérification des faiblesses ms17-010, zerologon, petitpotam, nopac, smb-sigining, ntlmv1, runasppl

linWinPwn -t <Domain_Controller_IP> --auto [-o <output_dir>]

Authentifié (avec mot de passe, hash NTLM, ticket Kerberos, clé AES ou certificat pfx)
- Extraction DNS avec netexec
- Collecte de données BloodHound
- Énumération avec netexec, enum4linux-ng, ldapdomaindump, bloodyAD, sccmhunter, rdwatool, sccmhunter, GPOParser
- Génération d'une wordlist pour le cassage de mots de passe
- netexec recherche de comptes avec user=pass
- Vérification de l'authentification Pre2k sur les ordinateurs du domaine
- Extraction des informations ADCS avec certipy et certi.py
- kerbrute recherche de comptes avec user=pass
- ASREPRoasting (et cassage de hash avec john-the-ripper et la wordlist rockyou)
- Kerberoasting (et cassage de hash avec john-the-ripper et la wordlist rockyou)
- Targeted Kerberoasting (et cassage de hash avec john-the-ripper et la wordlist rockyou)
- Énumération des partages SMB sur tous les serveurs du domaine avec smbmap, FindUncommonShares et spider_plus de cme
- Énumération des services WebDav, dfscoerce, shadowcoerce et Spooler sur tous les serveurs du domaine (avec cme, Coercer et RPC Dump)
- Vérification des faiblesses ms17-010, ms14-068, zerologon, petitpotam, nopac, smb-signing, ntlmv1, runasppl, certifried, ldapnightmare, badsuccessor
- Vérification des chemins d'élévation de privilèges MSSQL
- Vérification des possibilités de relais MSSQL

linWinPwn -t <Domain_Controller_IP>  -d <AD_domain> -u <AD_user> [-p <AD_password> -H <hash[LM:NT]> -K <kerbticket[./krb5cc_ticket]> -A <AES_key> -C <cert[./cert.pfx]>] [-o <output_dir>] --auto

Paramètres

Auto config - Effectuer une synchronisation NTP avec le contrôleur de domaine cible et ajouter une entrée dans /etc/hosts avant d'exécuter les modules

linWinPwn -t <Domain_Controller_IP> --auto-config

LDAPS - Utiliser LDAPS au lieu de LDAP (port 636)

linWinPwn -t <Domain_Controller_IP> --ldaps

Forcer l'authentification Kerberos - Forcer l'utilisation de l'authentification Kerberos au lieu de NTLM (lorsque possible)

linWinPwn -t <Domain_Controller_IP> --force-kerb

Verbose - Activer toutes les sorties verbeuses et de débogage

linWinPwn -t <Domain_Controller_IP> --verbose

Interface - Choisir l'interface réseau de l'attaquant

linWinPwn -t <Domain_Controller_IP> -I tun0
linWinPwn -t <Domain_Controller_IP> --interface eth0

Cibles - Choisir les cibles à analyser (DC, All, IP=IP_ou_nom_hôte, File=./chemin_vers_fichier)

linWinPwn -t <Domain_Controller_IP> --targets All
linWinPwn -t <Domain_Controller_IP> --targets DC
linWinPwn -t <Domain_Controller_IP> -T IP=192.168.0.1
linWinPwn -t <Domain_Controller_IP> -T File=./list_servers.txt

Wordlists personnalisées - Choisir des wordlists personnalisées d'utilisateurs et de mots de passe

linWinPwn -t <Domain_Controller_IP> -U /usr/share/seclists/Usernames/xato-net-10-million-usernames.txt
linWinPwn -t <Domain_Controller_IP> -P /usr/share/seclists/Passwords/xato-net-10-million-passwords.txt

Tunnel

linWinPwn peut être particulièrement utile lorsque vous avez accès à un environnement Active Directory pour une durée limitée et que vous souhaitez être plus efficace dans le processus d'énumération et la collecte de preuves. De plus, linWinPwn peut remplacer l'utilisation d'outils d'énumération sur Windows dans le but de réduire le nombre d'artefacts créés (par exemple, commandes PowerShell, événements Windows, fichiers créés sur le disque) et de contourner certains antivirus ou EDR. Cela peut être réalisé en effectuant un redirection de port dynamique à distance via la création d'un tunnel SSH depuis l'hôte Windows (par exemple, machine VDI, poste de travail ou ordinateur portable) vers une machine Linux distante (par exemple, ordinateur portable de pentest ou VPS), et en exécutant linWinPwn avec proxychains.

Sur l'hôte Windows, exécutez avec PowerShell :

ssh.exe kali@<linux_machine> -R 1080 -NCqf

Sur la machine Linux, mettez d'abord à jour /etc/proxychains4.conf pour inclure socks5 127.0.0.1 1080, puis exécutez :

linWinPwn_proxychains -t <Domain_Controller_IP>  -d <AD_domain> -u <AD_user> [-p <AD_password> -H <hash[LM:NT]> -K <kerbticket[./krb5cc_ticket]> -A <AES_key> -C <cert[./cert.pfx]>] [-o <output_dir>] [--auto]

Authentifications actuellement supportées

Support de la liaison de canal LDAP

ldap3: netexec, ldapdomaindump (NTLM), Certipy, pre2k, bloodhound, ldeep, GroupPolicyBackdoor, relayking

msldap: bloodyAD

Support du port personnalisé LDAP

netexec, ldapdomaindump, ldeep, windapsearch, godap, pre2k, ldapnomnom

Démonstrations

HackTheBox Forest

Mode interactif :

Mode automatisé :

TryHackme AttacktiveDirectory

À FAIRE

Ajouter plus d'outils d'énumération et d'exploitation...

Crédits

Inspiration : S3cur3Th1sSh1t - WinPwn
Outils :
- fortra - impacket
- NeffIsBack, Marshall-Hallenbeck, zblurx, mpgn, byt3bl33d3r and all contributors - crackmapexec/netexec
- Fox-IT - bloodhound-python
- dirkjanm - ldapdomaindump, privexchange
- zer1t0 - certi.py
- ly4k - Certipy
- ShawnDEvans - smbmap
- ropnop - windapsearch, kerbrute
- login-securite - DonPAPI
- Processus-Thief - HEKATOMB
- layer8secure - SilentHound
- ShutdownRepo - TargetedKerberoast
- franc-pentest - ldeep
- garrettfoster13 - pre2k, aced, sccmhunter
- zblurx - certsync
- p0dalirius - Coercer, FindUncommonShares, ExtractBitlockerKeys, LDAPWordlistHarvester, ldapconsole, pyLDAPmonitor, RDWAtool, smbclient-ng, FindUnusualSessions, ShareHound
- blacklanternsecurity - MANSPIDER
- CravateRouge - bloodyAD
- shellster - LDAPPER
- TrustedSec - orpheus
- lkarlslund - Adalanche

Pour les développeurs

Intégrateur d'outil

lwp_tool_integrator.py automatise l'intégration de nouveaux outils. Il patche linWinPwn.sh, install.sh et README.md en une seule étape :

Ajoute la définition de variable de l'outil et la fonction wrapper
Patche authenticate() avec les options appropriées
Ajoute l'outil au menu interactif
Met à jour install.sh pour une installation automatique
Ajoute une référence et une ligne dans le tableau d'authentification dans README.md

Utilisation :

python3 lwp_tool_integrator.py <tool_config.json>

Voir lwp_tool_template.json pour un exemple de configuration.

Avertissement légal

L'utilisation de linWinPwn pour attaquer des cibles sans consentement mutuel préalable est illégale. Il est de la responsabilité de l'utilisateur final de respecter toutes les lois locales, étatiques et fédérales applicables. Les développeurs déclinent toute responsabilité et ne sont pas responsables des mauvais usages ou dommages causés par ce programme. À utiliser uniquement à des fins éducatives.

`netexec`	✅	✅	✅	✅	✅	✅
`Impacket`	✅	✅	✅	✅	✅	❌
`bloodhound-python`	❌	✅	✅	✅	✅	❌
`ldapdomaindump`	✅	✅	✅	❌	❌	❌
`enum4linux-ng`	✅	✅	✅	✅	❌	❌
`bloodyAD`	❌	✅	✅	✅	❌	✅
`SilentHound`	✅	✅	✅	❌	❌	❌
`ldeep`	✅	✅	✅	✅	❌	✅
`windapsearch`	✅	✅	✅	❌	❌	❌
`LDAPWordlistHarvester`	❌	✅	✅	✅	✅	❌
`LDAPConsole`	❌	✅	✅	✅	✅	❌
`pyLDAPmonitor`	❌	✅	✅	✅	✅	❌
`sccmhunter`	❌	✅	✅	✅	✅	❌
`ldapper`	❌	✅	✅	❌	❌	❌
`Adalanche`	❌	✅	✅	✅	❌	❌
`GPOwned`	❌	✅	✅	✅	✅	❌
`ACED`	❌	✅	✅	✅	✅	❌
`breads`	✅	✅	✅	❌	❌	❌
`godap`	✅	✅	✅	✅	❌	❌
`adcheck`	❌	✅	✅	❌	❌	❌
`certi.py`	❌	✅	✅	✅	✅	✅
`Certipy`	❌	✅	✅	✅	✅	✅
`certsync`	❌	✅	✅	✅	✅	❌
`pre2k`	❌	✅	✅	✅	✅	❌
`orpheus`	❌	✅	✅	✅	✅	❌
`smbmap`	✅	✅	✅	❌	❌	❌
`FindUncommonShares`	❌	✅	✅	✅	✅	❌
`smbclient-ng`	❌	✅	✅	✅	✅	❌
`manspider`	✅	✅	✅	❌	❌	❌
`coercer`	✅	✅	✅	❌	❌	❌
`privexchange`	✅	✅	✅	❌	❌	❌
`RunFinger.py`	✅	✅	✅	✅	✅	❌
`mssqlrelay`	❌	✅	✅	✅	✅	❌
`targetedKerberoast`	❌	✅	✅	✅	✅	❌
`pygpoabuse`	❌	✅	✅	✅	❌	❌
`DonPAPI`	❌	✅	✅	✅	✅	❌
`hekatomb`	❌	✅	✅	❌	❌	❌
`ExtractBitlockerKeys`	❌	✅	✅	✅	✅	❌
`evilwinrm`	❌	✅	✅	✅	✅	✅
`mssqlpwner`	❌	✅	✅	✅	✅	❌
`SoaPy`	❌	✅	✅	❌	❌	❌
`SCCMSecrets`	✅	✅	✅	❌	❌	❌
`Soaphound`	❌	✅	✅	❌	❌	❌
`gpoParser`	❌	✅	✅	❌	❌	❌
`spearspray`	❌	✅	❌	❌	❌	❌
`GroupPolicyBackdoor`	✅	✅	✅	✅	❌	❌
`NetworkHound`	❌	✅	✅	✅	❌	❌
`ShareHound`	✅	✅	✅	❌	❌	❌
`DACLSearch`	❌	✅	✅	✅	✅	❌
`ScriptScout`	❌	✅	❌	❌	❌	❌
`relayking`	✅	✅	✅	✅	✅	❌
`ADWS Domain Dump`	❌	✅	✅	❌	❌	❌
`PyADRecon`	❌	✅	❌	✅	❌	❌
`PyADRecon-ADWS`	❌	✅	❌	✅	❌	❌
`ADPulse`	❌	✅	✅	❌	❌	❌
`PowerView.py`	✅	✅	✅	✅	✅	✅
`evil-winrm-py`	❌	✅	✅	❌	❌	✅

linWinPwn

Populaires