IkeAbuser

Un simple wrapper pour automatiser l'énumération, l'empreinte digitale et l'extraction de la clé PSK d'une passerelle VPN IPSec.

Rien de sophistiqué ici, juste un script que j'ai assemblé pour gagner du temps pendant les CTF et l'étude du CPENT. Il enchaîne ike-scan, nmap et hashcat pour ne pas avoir à taper les mêmes commandes encore et encore.

Avertissement

Pour une utilisation autorisée et éducative uniquement. Exécutez-le uniquement contre des machines que vous possédez ou pour lesquelles vous avez une autorisation explicite (votre lab, des boîtes CTF, etc.). Ce que vous en faites est de votre responsabilité.

Ce qu'il fait

Le script parcourt les étapes habituelles pour tester une passerelle IKE :

1. Vérifie avec nmap si le port UDP 500 ou 4500 est ouvert. Sinon, il s'arrête.
2. Envoie la charge utile par défaut d'ike-scan en mode principal pour trouver une transformation valide. Si les valeurs par défaut ne fonctionnent pas, il force toutes les combinaisons. Si rien ne fonctionne, il s'arrête.
3. Vérifie si la passerelle répond à un ID aléatoire. Si c'est le cas, le brute-force d'ID est inutile, donc il s'arrête.
4. Sinon, il force les ID à partir d'une wordlist en utilisant le mode agressif.
5. Une fois qu'il a un ID valide, il récupère le hachage PSK, le sauvegarde localement et le casse hors ligne avec hashcat.

Si vous connaissez déjà l'ID du groupe (vous l'avez peut-être trouvé ailleurs, comme dans une configuration divulguée), passez-le avec -id et le script passe directement à l'extraction du PSK.

Prérequis

Vous devez avoir installé :

• ike-scan
• nmap
• hashcat
• une wordlist de mots de passe (rockyou fonctionne bien)
• une wordlist pour les ID (celle de seclists est bonne : /usr/share/seclists/Miscellaneous/ike-groupid.txt)

Utilisation

./IkeAbuser.sh -t -pw <wordlist_mots_de_passe> -iw <wordlist_id> [options]

Remarque : -iw est obligatoire sauf si vous passez -id avec un ID de groupe connu, auquel cas le brute-force des ID (et sa wordlist) est ignoré.

Options

• -t, --target : adresse IP cible (obligatoire)
• -pw, --pwd_wordlist : wordlist pour casser le PSK (obligatoire)
• -iw, --id_wordlist : wordlist pour les ID de groupe (nécessaire si vous ne passez pas -id)
• -id, --group_id : ID de groupe, si vous le connaissez déjà. Ignore le brute-force des ID.
• -p, --port : port IKE personnalisé, s'il n'est pas sur 500/4500
• -vi, --vendor : ajoute les informations du fournisseur et l'empreinte digitale à la sortie
• -o, : sauvegarde un rapport des résultats dans un fichier

Exemples

Vous connaissez déjà l'ID : ./IkeAbuser.sh -t 10.10.11.87 -id [email protected] -pw /usr/share/wordlists/rockyou.txt (merci HTB)

Vous ne le connaissez pas, donc forcez-le : ./IkeAbuser.sh -t 10.10.11.87 -iw /usr/share/seclists/Miscellaneous/ike-groupid.txt -pw /usr/share/wordlists/rockyou.txt

Avec les informations du fournisseur et un rapport sauvegardé : ./IkeAbuser.sh -t 10.10.11.87 -id [email protected] -pw /usr/share/wordlists/rockyou.txt -vi -o report.txt

Remarques

• L'empreinte digitale du fournisseur (-vi) utilise la détection de backoff d'ike-scan, ce qui peut prendre jusqu'à une minute. Soyez patient, ce n'est pas bloqué.
• Le hachage PSK est sauvegardé sous ike_psk.hash afin que vous puissiez reprendre le cassage plus tard avec vos propres règles ou wordlists si la première exécution ne le trouve pas.