PCredz 2.1.0

PCredz extrait les mots de passe et les jetons d'authentification à partir du trafic réseau (fichiers PCAP ou capture en direct).

Fonctionnalités

Protocoles pris en charge

Extraction de mots de passe du trafic IPv4 et IPv6 :

• NTLM : Hachages NTLMv1/v2 depuis HTTP, SMB, LDAP, MSSQL, DCE-RPC, etc.
• Kerberos : Hachages AS-REQ Pre-Auth (etype 23)
• HTTP : Authentification de base, champs de formulaire (mots de passe, clés API, jetons)
• FTP : Commandes USER/PASS
• IRC : Authentification NICK/USER/PASS
• SMTP : AUTH PLAIN et AUTH LOGIN
• IMAP : Authentification LOGIN
• POP3 : Commandes USER/PASS
• LDAP : Liaison simple (mots de passe en clair)
• SNMP : Chaînes de communauté (v1/v2c)
• MSSQL : Authentification via le protocole TDS
• Cartes de crédit : Extraction des numéros de carte (optionnelle)

Formats de sortie

• Compatible Hashcat : Tous les hachages formatés pour une utilisation directe avec hashcat
  • NTLMv1 : -m 5500
  • NTLMv2 : -m 5600
  • Kerberos : -m 7500
• Journaux organisés : Fichiers séparés pour chaque type de mot de passe dans le répertoire logs/
• Journal de session : Chronologie complète dans CredentialDump-Session.log
• Déduplication : Les mêmes mots de passe ne sont enregistrés qu'une seule fois (sauf avec l'option -v)

Prise en charge des couches de liaison

• Ethernet (DLT_EN10MB)
• Linux Cooked Capture (DLT_LINUX_SLL)
• IP brute (DLT_RAW)
• Détection automatique du type de couche de liaison

Installation

Docker (Recommandé)

# Construire le conteneur
docker build -t pcredz .

# Exécuter avec le répertoire courant monté
docker run --rm -v $(pwd):/data pcredz -f /data/capture.pcap

# Pour la capture en direct (nécessite --net=host)
docker run --rm --net=host -v $(pwd):/data pcredz -i eth0 -v

Linux

Debian/Ubuntu :

sudo apt-get install python3-pip libpcap-dev
pip3 install pcapy-ng

Fedora/RHEL :

sudo dnf install python3-pip libpcap-devel
pip3 install pcapy-ng

Arch Linux :

sudo pacman -S python-pip libpcap
pip3 install pcapy-ng

Utilisation

Exemples de base

# Analyser un seul fichier PCAP
./Pcredz -f capture.pcap

# Analyser tous les fichiers PCAP d'un répertoire (récursif)
./Pcredz -d /chemin/vers/repertoire/pcap/

# Capture en direct sur une interface (nécessite les droits root)
sudo ./Pcredz -i eth0

# Mode verbeux (afficher les mots de passe en double)
./Pcredz -f capture.pcap -v

# Répertoire de sortie personnalisé
./Pcredz -f capture.pcap -o /tmp/pcredz-output/

Options

Requis (choisissez-en un) :
  -f FICHIER      Fichier PCAP à analyser
  -d REPERTOIRE   Répertoire à analyser récursivement
  -i INTERFACE    Interface pour la capture en direct

Optionnel :
  -v              Mode verbeux (afficher les mots de passe en double)
  -t              Afficher les horodatages
  -o REPERTOIRE   Répertoire de sortie pour les journaux (défaut : ./)
  -c              Désactiver l'analyse des cartes de crédit
  --disable PROTO Désactiver un protocole (peut être utilisé plusieurs fois)
                  Options : NTLM, HTTP, FTP, IRC, LDAP, SMTP, Kerberos, SNMP, MSSQL
  --exclude-host IP  Exclure une adresse IP hôte de la capture (peut être utilisé plusieurs fois)
  -h              Afficher l'aide

Fichiers de sortie

Tous les mots de passe sont sauvegardés dans le répertoire logs/ :

logs/
├── NTLMv1.txt              # Hachages NTLMv1 (hashcat -m 5500)
├── NTLMv2.txt              # Hachages NTLMv2 (hashcat -m 5600)
├── MSKerb.txt              # Hachages Kerberos (hashcat -m 7500)
├── HTTP-Basic.txt          # Identifiants HTTP Basic
├── HTTP-PasswordFields.txt # Champs de formulaire HTTP et clés API
├── FTP-Plaintext.txt       # Identifiants FTP
├── IRC-Plaintext.txt       # Identifiants IRC
├── SMTP-Plaintext.txt      # Identifiants SMTP
├── LDAP-Simple.txt         # Identifiants LDAP Simple Bind
├── MSSQL-Plaintext.txt     # Identifiants MSSQL
└── SNMPv1.txt              # Chaînes de communauté SNMP

Plus un journal de session :

CredentialDump-Session.log  # Session complète avec horodatages

Exemples

Extraire des hachages NTLM

./Pcredz -f capture.pcap

# Sortie :
# 192.168.1.10:445 > 192.168.1.20:1024
# Le hachage NTLMv2 complet est : admin::DOMAIN:1122334455667788:ABC123...

# Utilisation avec hashcat :
hashcat -m 5600 logs/NTLMv2.txt wordlist.txt

Capture en direct

sudo ./Pcredz -i eth0 -v

# Capture et affiche les mots de passe en temps réel
# Appuyez sur Ctrl+C pour arrêter

Traitement par lots

# Traiter tous les PCAP d'une arborescence de répertoires
./Pcredz -d /forensics/network-captures/

# Analyse de /forensics/network-captures/day1/morning.pcap...
# Analyse de /forensics/network-captures/day1/afternoon.pcap...
# ...

Filtrage des protocoles

# Désactiver des protocoles spécifiques (réduire le bruit)
./Pcredz -f capture.pcap --disable HTTP --disable SNMP

# Capturer uniquement les hachages NTLM
./Pcredz -f capture.pcap --disable HTTP --disable FTP --disable IRC \
  --disable LDAP --disable SMTP --disable Kerberos --disable SNMP --disable MSSQL

# Se concentrer uniquement sur les mots de passe en clair
./Pcredz -f capture.pcap --disable NTLM --disable Kerberos

Exclusion d'hôte

# Exclure votre propre IP pendant la capture en direct (cas d'usage courant)
sudo ./Pcredz -i eth0 --exclude-host 192.168.1.50 -v

# Exclure plusieurs hôtes
./Pcredz -f capture.pcap --exclude-host 192.168.1.100 --exclude-host 10.0.0.5

# Test d'intrusion : capturer les mots de passe de la cible, pas les vôtres
sudo ./Pcredz -i eth0 --exclude-host $(hostname -I | awk '{print $1}') -v

Performances

Optimisations

• Cache d'entrée/sortie fichier : Évite les lectures redondantes de fichiers (accélération de 10 à 100x)
• Précompilation des expressions régulières : Modèles compilés mis en cache (accélération de 2 à 5x)
• Déduplication intelligente : Suivi en mémoire des mots de passe déjà vus
• Détection de couche de liaison : Détection automatique et mise en cache du décalage (surcharge minimale)

Repères

Performances typiques sur du matériel moderne :

• Petits fichiers (<10 Mo) : <1 seconde
• Moyens fichiers (100 Mo) : 5-10 secondes
• Gros fichiers (1 Go+) : 1-2 minutes
• Capture en direct : 5 000-10 000 paquets/seconde

Dépannage

pcapy-ng introuvable

pip3 install pcapy-ng
# Si cela échoue :
pip3 install --break-system-packages pcapy-ng

Permission refusée (capture en direct)

La capture en direct nécessite les droits root :

sudo ./Pcredz -i eth0

Aucun mot de passe trouvé

• Vérifiez que le PCAP contient les protocoles attendus (utilisez Wireshark)
• Assurez-vous que le trafic n'est pas chiffré (HTTPS, SSH, etc.)
• Essayez le mode verbeux (-v) pour voir toute l'activité
• Vérifiez que le type de couche de liaison est pris en charge

Contribution

Vous avez trouvé un bug ou souhaitez ajouter une fonctionnalité ? Les contributions sont les bienvenues !

1. Testez soigneusement vos modifications
2. Suivez le style de code existant
3. Ajoutez des exemples pour les nouvelles fonctionnalités
4. Mettez à jour la documentation

Licence

GNU General Public License v3.0

Auteur

Laurent Gaffie

• Email : [email protected]
• X/Twitter : @secorizon
• GitHub : lgandx/PCredz