Lil Pwny

Audit hors ligne rapide des mots de passe Active Directory avec Python.

À propos de Lil Pwny

Lil Pwny est une application Python qui permet d'auditer hors ligne les hachages NTLM des mots de passe des utilisateurs, récupérés depuis Active Directory, en les comparant aux mots de passe compromis connus de Have I Been Pwned. Les résultats sont fournis au format JSON contenant le nom d'utilisateur, le hachage correspondant (pouvant être obscurci), et le nombre de fois que le mot de passe correspondant est apparu dans HIBP.

Plus d'informations sur Lil Pwny sont disponibles sur mon blog

Fonctionnalités

• Audit personnalisé de mots de passe : Possibilité de fournir une liste de vos propres mots de passe personnalisés pour vérifier les utilisateurs AD. Cela vous permet de vérifier les mots de passe des utilisateurs par rapport à des mots de passe pertinents pour votre organisation que vous suspectez d'être utilisés.
  • Transmettez un fichier .txt avec les mots de passe en clair que vous souhaitez rechercher. Ceux-ci sont ensuite hachés en NTLM et les hachages AD sont comparés à ceux-ci en plus des hachages HIBP.
• Détection des doublons : Renvoie une liste des comptes utilisant les mêmes mots de passe. Utile pour trouver les utilisateurs qui utilisent le même mot de passe pour leurs comptes administratifs et standards.
• Nom d'utilisateur comme mot de passe : Détecte les utilisateurs qui utilisent leur nom d'utilisateur, ou des variantes de celui-ci, comme mot de passe.
• Sortie obscurcie : Obscurcit les hachages dans la sortie, pour éviter de manipuler ou de stocker les hachages NTLM réels des utilisateurs.

Amélioration de la liste de mots de passe personnalisés

Lil Pwny offre la fonctionnalité d'améliorer votre liste de mots de passe personnalisés en ajoutant des variantes couramment utilisées de vos mots de passe personnalisés. Celles-ci incluent :

• Mots de passe avec des substitutions courantes en « leetspeak » (ex. P@ssw0rd)
• Versions en majuscules du mot de passe, et première lettre en majuscule (ex. PASSWORD, Password)
• Mots de passe avec des caractères spéciaux courants ajoutés avant ou après (ex. password!, !password)
• Mots de passe complétés avec des caractères alphanumériques courants, des caractères spéciaux et des répétitions d'eux-mêmes pour atteindre une longueur minimale donnée (ex. password123!, !passwordabc, passwordpassword)
  • Vous transmettez à Lil Pwny la longueur minimale souhaitée pour les mots de passe lors de la sélection de l'option d'amélioration de la liste personnalisée.
• Mots de passe avec des dates ajoutées à partir de l'année 1950 jusqu'à 10 ans après la date d'aujourd'hui (ex. password1950, password2034)

Une liste de mots de passe personnalisés de 100 mots de passe en clair génère 49 848 660 variantes.

Noms d'utilisateur dans les mots de passe

Lil Pwny recherche les utilisateurs qui utilisent des variantes de leur nom d'utilisateur comme mot de passe.

Il convertit le nom d'utilisateur dans les formats suivants :

• Tout en majuscules
• Tout en minuscules
• Supprimer le point "."
• camelCase (Ex. johnSmith)
• PascalCase (Ex. JohnSmith)

Ceux-ci sont ensuite convertis en hachages NTLM et audités par rapport aux hachages AD.

Ressources

Cette application a été développée pour tirer le meilleur parti du multiprocessing en Python, dans le but de fonctionner aussi rapidement que possible sur du matériel grand public.

Comme elle utilise le multiprocessing, plus vous avez de cœurs disponibles, plus Lil Pwny devrait être rapide. J'ai tout de même obtenu de très bons résultats avec un faible nombre de cœurs logiques :

• Environnement de test d'environ 8 500 comptes AD et liste HIBP de 613 584 246 hachages :
  • 6 cœurs logiques - 0:05:57.640813
  • 12 cœurs logiques - 0:04:28.579201

Sortie

Lil Pwny produit les résultats soit vers stdout :

soit au format JSON :

{"localtime": "2021-00-00 00:00:00,000", "level": "NOTIFY", "source": "Lil Pwny", "match_type": "hibp", "detection_data": {"username": "RICKON.STARK", "hash": "32ED87BDB5FDC5E9CBA88547376818D4", "matches_in_hibp": "24230577", "obfuscated": "True"}}

Vous pouvez rediriger la sortie JSON de Lil Pwny vers un fichier :

lil-pwny -ad ... > lil-pwny-results.json 

Ce journal au format JSON peut être facilement ingéré dans un SIEM ou un autre outil d'analyse de logs, et peut être transmis à d'autres scripts ou plateformes pour des actions de résolution automatisées.

Installation

Installez via pip

pip install lil-pwny

Utilisation

Lil-pwny sera installé comme une commande globale, utilisez-le comme suit :

usage: lil-pwny [-h] -hibp HIBP [-v] [-c CUSTOM] [-custom-enhance CUSTOM_ENHANCE] -ad AD_HASHES [-d] [-output {file,stdout,json}] [-o] [--verbose]

Fast offline auditing of Active Directory passwords using Python

options:
  -h, --help            show this help message and exit
  -hibp HIBP, --hibp HIBP
                        The .txt file containing HIBP NTLM hashes
  -v, --version         show program's version number and exit
  -c CUSTOM, --custom CUSTOM
                        .txt file containing additional custom passwords to check for
  -custom-enhance CUSTOM_ENHANCE, --custom-enhance CUSTOM_ENHANCE
                        generate an enhanced custom password list based on the provided custom password list. Must be used with -c/--custom flag. The enhanced list will stored in memory and not
                        written to disk. Provide the minimum length of the passwords you want. Default is 8
  -ad AD_HASHES, --ad-hashes AD_HASHES
                        The .txt file containing NTLM hashes from AD users
  -d, --duplicates      Output a list of duplicate password users
  -output {file,stdout,json}, --output {file,stdout,json}
                        Where to send results
  -o, --obfuscate       Obfuscate hashes from discovered matches by hashing with a random salt
  --verbose             Turn on verbose logging

Exemple :

lil-pwny -hibp ~/hibp_hashes.txt -ad ~/ad_user_hashes.txt -c ~/custom_passwords.txt -output stdout -do

Obtenir les fichiers d'entrée

Étape 1 : Obtenir un dump IFM de la base de données AD

Sur un contrôleur de domaine, utilisez ntdsutil pour générer un dump IFM de votre domaine AD. Exécutez les commandes suivantes dans une fenêtre PowerShell élevée :

ntdsutil
activate instance ntds
ifm
create full **chemin de sortie**

Étape 2 : Récupérer les hachages NTLM à partir de cette sortie

Pour récupérer les hachages NTLM des données IFM AD, le module PowerShell DSInternals est requis.

Une fois installé, utilisez la ruche SYSTEM dans les données IFM pour récupérer les hachages au format utilisateur:hachage et enregistrez-les dans le fichier ad_ntlm_hashes.txt

$bootKey = Get-BootKey -SystemHivePath '.\registry\SYSTEM'
Get-ADDBAccount -All -DBPath '.\Active Directory\ntds.dit' -BootKey $bootKey | Format-Custom -View HashcatNT | Out-File ad_ntlm_hashes.txt -Encoding ASCII

Étape 3 : Télécharger le dernier fichier de hachages HIBP

Le fichier peut être téléchargé depuis l'API HIBP en utilisant un utilitaire .net disponible ici

Étape facultative : Filtrer les comptes AD indésirables

Le script PowerShell dans le dossier scripts peut être utilisé pour supprimer les comptes indésirables de la sortie IFM avant traitement. Ceux-ci incluent :

• Comptes désactivés
• Comptes machines

Ressources

• ntdsutil & IFM