डोमेन पासवर्ड ऑडिट टूल (DPAT)

DPAT एक Python-आधारित सुरक्षा उपकरण है जो सक्रिय निर्देशिका डोमेन नियंत्रकों से निकाले गए पासवर्ड हैश का विश्लेषण करता है। यह NTDS डंप और पासवर्ड क्रैकिंग परिणामों दोनों से पासवर्ड उपयोग आँकड़े, नीति उल्लंघन और सुरक्षा अंतर्दृष्टि दिखाने वाली व्यापक HTML रिपोर्ट तैयार करता है।

नमूना रिपोर्ट

विशेषताएँ

• व्यापक पासवर्ड विश्लेषण: पासवर्ड लंबाई वितरण, पुन: उपयोग पैटर्न और नीति उल्लंघन का विश्लेषण करें
• इंटरैक्टिव HTML रिपोर्ट: ड्रिल-डाउन क्षमताओं के साथ विस्तृत, क्लिक करने योग्य HTML रिपोर्ट तैयार करें
• पासवर्ड इतिहास समर्थन: उपलब्ध होने पर पासवर्ड इतिहास डेटा का विश्लेषण करें
• समूह-आधारित विश्लेषण: विशेषाधिकार प्राप्त खातों के लिए समूह सदस्यता आँकड़े शामिल करें
• Kerberoastable खाता विश्लेषण: क्रैक किए गए Kerberoastable सेवा खातों की पहचान करें और उनका विश्लेषण करें
• LM हैश क्रैकिंग: आंशिक रूप से क्रैक किए गए LM हैश से NT हैश को स्वचालित रूप से क्रैक करने का प्रयास करें
• डेटा स्वच्छीकरण: रिपोर्ट साझा करने के लिए संवेदनशील डेटा को स्वच्छ करने का विकल्प
• एकाधिक इनपुट स्वरूप: Hashcat, John the Ripper और अन्य पासवर्ड क्रैकिंग टूल के लिए समर्थन

आवश्यकताएँ

• Python 3.8 या उच्चतर
• pycryptodome (MD4 हैश समर्थन के लिए)

स्थापना

मूल स्थापना

कोर निर्भरताएँ स्थापित करें:

pip install -r requirements.txt

विकास और परीक्षण के लिए:

pip install -r requirements-dev.txt

मैन्युअल स्थापना

यदि आप निर्भरताएँ अलग-अलग स्थापित करना पसंद करते हैं:

pip install pycryptodome

Poetry का उपयोग करना

poetry install

त्वरित आरंभ

1. secretsdump.py का उपयोग करके अपने डोमेन नियंत्रक से NTDS डेटा निकालें
2. Hashcat, John the Ripper या समान टूल का उपयोग करके पासवर्ड क्रैक करें
3. विश्लेषण रिपोर्ट तैयार करने के लिए DPAT चलाएँ

python dpat.py -n customer.ntds -c hashcat.potfile -p 8

उपयोग

मूल कमांड

python dpat.py -n <ntds_file> -c <cracked_file> -p <min_password_length>

आवश्यक पैरामीटर

• -n, --ntdsfile: NTDS फ़ाइल (secretsdump.py से आउटपुट)
• -c, --crackfile: पासवर्ड क्रैकिंग आउटपुट फ़ाइल (hashcat.potfile, john.pot, आदि)
• -p, --minpasslen: डोमेन नीति से न्यूनतम पासवर्ड लंबाई

वैकल्पिक पैरामीटर

• -o, --outputfile: HTML रिपोर्ट फ़ाइल नाम (डिफ़ॉल्ट: _DomainPasswordAuditReport.html)
• -d, --reportdirectory: आउटपुट निर्देशिका (डिफ़ॉल्ट: "DPAT Report")
• -s, --sanitize: रिपोर्ट में पासवर्ड और हैश को स्वच्छ करें
• -g, --groupsdirectory: समूह सदस्यता फ़ाइलों वाली निर्देशिका
• -m, --machineaccts: विश्लेषण में मशीन खाते शामिल करें
• -k, --krbtgt: विश्लेषण में krbtgt खाता शामिल करें
• -kz, --kerbfile: Kerberoastable खातों वाली फ़ाइल
• -w, --writedb: निरीक्षण के लिए SQLite डेटाबेस डिस्क पर लिखें
• --no-prompt: ब्राउज़र प्रॉम्प्ट को छोड़ें (स्वचालन के लिए उपयोगी)
• -dbg, --debug: डीबग आउटपुट सक्षम करें

उदाहरण कमांड

मूल विश्लेषण:

python dpat.py -n customer.ntds -c hashcat.potfile -p 8

समूह विश्लेषण के साथ:

python dpat.py -n customer.ntds -c hashcat.potfile -p 8 -g /path/to/groups

स्वच्छ की गई रिपोर्ट:

python dpat.py -n customer.ntds -c hashcat.potfile -p 8 -s

Kerberoastable खातों के साथ:

python dpat.py -n customer.ntds -c hashcat.potfile -p 8 -kz kerberoastable.txt

इनपुट फ़ाइल स्वरूप

NTDS फ़ाइल स्वरूप

NTDS फ़ाइल secretsdump.py द्वारा आउटपुट स्वरूप में होनी चाहिए:

domain\username:RID:lmhash:nthash:::

क्रैक किए गए पासवर्ड फ़ाइल स्वरूप

Hashcat स्वरूप:

nthash:password
lmhash:password

John the Ripper स्वरूप:

$NT$nthash:password
$LM$lmhash:password

हेक्स एन्कोडेड पासवर्ड:

nthash:$HEX[68656c6c6f]

समूह फ़ाइल स्वरूप

समूह सदस्यता फ़ाइलों में प्रति पंक्ति एक उपयोगकर्ता नाम होना चाहिए:

domain\username

डेटा निष्कर्षण

चरण 1: NTDS डेटा निकालें

एक डोमेन नियंत्रक पर, एक IFM (Install From Media) बैकअप बनाएँ:

ntdsutil "ac in ntds" "ifm" "cr fu c:\temp" q q

यह बनाता है:

• c:\temp\Active Directory\ntds.dit
• c:\temp\registry\SYSTEM

चरण 2: DPAT स्वरूप में रूपांतरित करें

बैकअप को बदलने के लिए secretsdump.py का उपयोग करें:

secretsdump.py -system registry/SYSTEM -ntds "Active Directory/ntds.dit" LOCAL -outputfile customer

पासवर्ड इतिहास के लिए (यदि उपलब्ध हो):

secretsdump.py -system registry/SYSTEM -ntds "Active Directory/ntds.dit" LOCAL -outputfile customer -history

चरण 3: पासवर्ड क्रैक करें

Hashcat का उपयोग करना:

hashcat -m 1000 customer.ntds /path/to/wordlist

John the Ripper का उपयोग करना:

john --format=NT customer.ntds

रिपोर्ट अनुभाग

DPAT व्यापक रिपोर्ट तैयार करता है जिनमें शामिल हैं:

• पासवर्ड सांख्यिकी: कुल हैश, अद्वितीय हैश, क्रैक किए गए पासवर्ड
• पासवर्ड नीति उल्लंघन: नीति न्यूनतम से छोटे पासवर्ड
• उपयोगकर्ता नाम/पासवर्ड मिलान: खाते जो उपयोगकर्ता नाम को पासवर्ड के रूप में उपयोग करते हैं
• LM हैश विश्लेषण: गैर-रिक्त LM हैश और क्रैकिंग सांख्यिकी
• पासवर्ड लंबाई वितरण: ड्रिल-डाउन के साथ विस्तृत लंबाई विश्लेषण
• पासवर्ड पुन: उपयोग: एकाधिक खातों में साझा पासवर्ड
• शीर्ष पासवर्ड: सबसे अधिक उपयोग किए जाने वाले पासवर्ड
• पासवर्ड इतिहास: ऐतिहासिक पासवर्ड विश्लेषण (जब उपलब्ध हो)
• समूह सांख्यिकी: विशेषाधिकार प्राप्त समूह विश्लेषण (जब समूह फ़ाइलें प्रदान की गई हों)
• Kerberoastable खाते: सेवा खाता विश्लेषण (जब प्रदान किया गया हो)

नमूना डेटा

रिपॉजिटरी में परीक्षण के लिए sample_data/ निर्देशिका में नमूना डेटा शामिल है:

• customer.ntds: नमूना NTDS फ़ाइल
• oclHashcat.pot: नमूना क्रैक किए गए पासवर्ड
• history/: पासवर्ड इतिहास के साथ नमूना डेटा

नमूना डेटा के साथ परीक्षण करें:

python dpat.py -n sample_data/customer.ntds -c sample_data/oclHashcat.pot -p 8

उन्नत सुविधाएँ

समूह विश्लेषण

PowerShell का उपयोग करके समूह सदस्यता फ़ाइलें बनाएँ:

Get-NetGroupMember -Recurse -GroupName "Domain Admins" > "Domain Admins.txt"

Kerberoastable खाता विश्लेषण

बेहतर विश्लेषण के लिए Kerberoastable खाता फ़ाइलें उत्पन्न करने हेतु CypherHound के parse-kerberoastable.py स्क्रिप्ट का उपयोग करें।

CypherHound एकीकरण

आप CypherHound द्वारा उत्पन्न फ़ाइलों को DPAT में प्लग कर सकते हैं ताकि DPAT रिपोर्टों में अधिक आँकड़े प्रदान किए जा सकें। वर्तमान में, अतिरिक्त आँकड़े हैं:

• किसी दिए गए डोमेन में प्रत्येक समूह के लिए समूह क्रैकिंग सांख्यिकी
• क्रैक किए गए Kerberoastable खाते

यदि आप इन अतिरिक्त आँकड़ों को प्रदान करने के लिए इसका उपयोग करना चाहते हैं तो आपको यहाँ स्क्रिप्ट का उपयोग करना होगा:

• parse-memberships.py. आउटपुट निर्देशिका को -g फ्लैग के साथ DPAT को पास करें।
• parse-kerberoastable.py. आउटपुट फ़ाइल को -kz फ्लैग के साथ DPAT को पास करें।

ये सरल स्क्रिप्ट हैं जिनका उपयोग ऊपर लिंक किए गए उपयोग के साथ है और इनका उपयोग सीधा होना चाहिए।

डेटा स्वच्छीकरण

साझा करने के लिए उपयुक्त स्वच्छ की गई रिपोर्ट बनाने के लिए -s फ्लैग का उपयोग करें:

python dpat.py -n customer.ntds -c hashcat.potfile -p 8 -s

समस्या निवारण

सामान्य समस्याएँ

"'distutils' नाम का कोई मॉड्यूल नहीं"

• Python 3.12+ पर यह अपेक्षित है। DPAT इसे स्वचालित रूप से संभाल लेता है।

खाली रिपोर्ट

• सत्यापित करें कि आपकी NTDS फ़ाइल का स्वरूप अपेक्षित स्वरूप से मेल खाता है
• जाँचें कि आपकी क्रैक की गई पासवर्ड फ़ाइल में मेल खाने वाले हैश हैं
• सुनिश्चित करें कि न्यूनतम पासवर्ड लंबाई पैरामीटर सही है

गुम विवरण लिंक

• कुछ रिपोर्ट अनुभागों में विवरण पृष्ठ नहीं हो सकते हैं यदि कोई डेटा नहीं मिला
• यह खाली श्रेणियों के लिए सामान्य व्यवहार है

डीबग मोड

समस्या निवारण के लिए डीबग आउटपुट सक्षम करें:

python dpat.py -n customer.ntds -c hashcat.potfile -p 8 -dbg

परीक्षण

परीक्षण सूट चलाएँ:

python -m unittest tests.unit.test_core -v
python -m unittest tests.integration.test_integration -v

योगदान

1. रिपॉजिटरी को फोर्क करें
2. एक सुविधा शाखा बनाएँ
3. अपने परिवर्तन करें
4. नई कार्यक्षमता के लिए परीक्षण जोड़ें
5. एक पुल अनुरोध सबमिट करें

लाइसेंस

यह प्रोजेक्ट MIT लाइसेंस के अंतर्गत लाइसेंस प्राप्त है - विवरण के लिए LICENSE फ़ाइल देखें।

क्रेडिट

• Carrie Roberts - मूल लेखक
• Dylan Evans - योगदानकर्ता

मूल रूप से प्रायोजित:

समर्थन

समस्याओं, प्रश्नों या योगदान के लिए, कृपया GitHub मुद्दा ट्रैकर का उपयोग करें।