pyWhisker

pyWhisker est un équivalent Python de l'outil original Whisker créé par Elad Shamir et écrit en C#. Cet outil permet aux utilisateurs de manipuler l'attribut msDS-KeyCredentialLink d'un utilisateur/ordinateur cible afin d'obtenir un contrôle total sur cet objet. Il est basé sur Impacket et sur un équivalent Python de DSInternals de Michael Grafnetter appelé PyDSInternals et créé par podalirius. Cet outil, avec PKINITtools de Dirk-jan, permet une exploitation complète de la primitive sur des systèmes basés sur UNIX uniquement.

Prérequis pour cette attaque :

1. Le niveau fonctionnel du domaine cible doit être Windows Server 2016 ou supérieur.
2. Le domaine cible doit avoir au moins un contrôleur de domaine fonctionnant sous Windows Server 2016 ou supérieur.
3. Le contrôleur de domaine utilisé lors de l'attaque doit posséder son propre certificat et ses propres clés (cela signifie que l'organisation doit disposer d'AD CS, d'une PKI, d'une AC ou équivalent).
4. L'attaquant doit contrôler un compte capable d'écrire l'attribut msDs-KeyCredentialLink de l'utilisateur ou du compte ordinateur cible.

Pourquoi certains prérequis ?

• Prérequis 1 et 2 car les fonctionnalités PKINIT ont été introduites avec Windows Server 2016.
• Prérequis 3 car le contrôleur de domaine a besoin de son propre certificat et de ses propres clés pour l'échange de clés de session lors de la transaction AS_REQ <-> AS_REP.

Une KRB-ERROR (16) : KDC_ERR_PADATA_TYPE_NOSUPP sera levée si le prérequis 3 n'est pas satisfait.

Plus d'informations sur cette primitive « Shadow Credentials » :

• Shadow Credentials : Abus du mappage de comptes Key Trust pour la prise de contrôle
• The Hacker Recipes - ACEs et abus DACL
• The Hacker Recipes - Shadow Credentials

Utilisation

pyWhisker peut être utilisé pour effectuer diverses actions sur l'attribut msDs-KeyCredentialLink d'une cible :

• list : lister tous les ID et dates de création des KeyCredentials actuels
• add : ajouter un nouveau KeyCredential à msDs-KeyCredentialLink
• spray : pulvériser (spray) l'ajout d'un nouveau KeyCredential à msDs-KeyCredentialLink
• remove : supprimer un KeyCredential de msDs-KeyCredentialLink
• clear : supprimer tous les KeyCredentials de msDs-KeyCredentialLink
• info : afficher toutes les informations contenues dans une structure KeyCredential
• export : exporter tous les KeyCredentials de msDs-KeyCredentialLink au format JSON
• import : écraser msDs-KeyCredentialLink avec les KeyCredentials d'un fichier JSON

pyWhisker prend en charge les authentifications suivantes :

• (NTLM) Mot de passe en clair
• (NTLM) Pass-the-hash
• (Kerberos) Mot de passe en clair
• (Kerberos) Pass-the-key / Overpass-the-hash
• (Kerberos) Pass-the-cache (type de Pass-the-ticket)
• (LDAP sur Schannel) Pass-the-cert

Entre autres, pyWhisker prend en charge la verbosité multi-niveaux, il suffit d'ajouter -v, -vv, ... à la commande :)

pyWhisker peut également fonctionner entre domaines, voir l'argument -td/--target-domain.

usage: pywhisker [-h] (-t TARGET_SAMNAME | -tl TARGET_SAMNAME_LIST) [-a [{list,add,spray,remove,clear,info,export,import}]] [--use-ldaps] [--use-schannel] [-v] [-q]
                 [--dc-ip ip address] [-d DOMAIN] [-u USER] [-crt CERTFILE] [-key KEYFILE] [-td TARGET_DOMAIN] [--no-pass | -p PASSWORD | -H [LMHASH:]NTHASH | --aes-key hex key]
                 [-k] [-P PFX_PASSWORD] [-f FILENAME] [-e {PEM,PFX}] [-D DEVICE_ID]

Python (re)setter for property msDS-KeyCredentialLink for Shadow Credentials attacks.

optional arguments:
  -h, --help            show this help message and exit
  -t TARGET_SAMNAME, --target TARGET_SAMNAME
                        Target account
  -tl TARGET_SAMNAME_LIST, --target-list TARGET_SAMNAME_LIST
                        Path to a file with target accounts names (one per line)
  -a [{list,add,spray,remove,clear,info,export,import}], --action [{list,add,spray,remove,clear,info,export,import}]
                        Action to operate on msDS-KeyCredentialLink
  --use-ldaps           Use LDAPS instead of LDAP
  --use-schannel        Use LDAP Schannel (TLS) for certificate-based authentication
  -v, --verbose         verbosity level (-v for verbose, -vv for debug)
  -q, --quiet           show no information at all

authentication & connection:
  --dc-ip ip address    IP Address of the domain controller or KDC (Key Distribution Center) for Kerberos. If omitted it will use the domain part (FQDN) specified in the identity parameter
  -d DOMAIN, --domain DOMAIN
                        (FQDN) domain to authenticate to
  -u USER, --user USER  user to authenticate with
  -crt, --certfile CERTFILE
                        Path to the user certificate (PEM format) for Schannel authentication
  -key, --keyfile KEYFILE
                        Path to the user private key (PEM format) for Schannel authentication
  -td TARGET_DOMAIN, --target-domain TARGET_DOMAIN
                        Target domain (if different than the domain of the authenticating user)

  --no-pass             don't ask for password (useful for -k)
  -p PASSWORD, --password PASSWORD
                        password to authenticate with
  -H [LMHASH:]NTHASH, --hashes [LMHASH:]NTHASH
                        NT/LM hashes, format is LMhash:NThash
  --aes-key hex key     AES key to use for Kerberos Authentication (128 or 256 bits)
  -k, --kerberos        Use Kerberos authentication. Grabs credentials from .ccache file (KRB5CCNAME) based on target parameters. If valid credentials cannot be found, it will use the ones
                        specified in the command line

arguments when setting -action to add:
  -P PFX_PASSWORD, --pfx-password PFX_PASSWORD
                        password for the PFX stored self-signed certificate (will be random if not set, not needed when exporting to PEM)
  -f FILENAME, --filename FILENAME
                        filename to store the generated self-signed PEM or PFX certificate and key, or filename for the "import"/"export" actions
  -e {PEM,PFX}, --export {PEM,PFX}
                        choose to export cert+private key in PEM or PFX (i.e. #PKCS12) (default: PFX))

arguments when setting -action to remove:
  -D DEVICE_ID, --device-id DEVICE_ID
                        device ID of the KeyCredentialLink to remove when setting -action to remove

Voici des exemples et captures d'écran de ce que pyWhisker peut faire.

Lister et obtenir des informations