linWinPwn - Coltello svizzero per il Penetration Testing di Active Directory usando Linux

Descrizione

linWinPwn è uno script bash che racchiude numerosi strumenti per Active Directory per enumerazione (LDAP, RPC, ADCS, MSSQL, Kerberos, SCCM), controlli di vulnerabilità (noPac, ZeroLogon, MS17-010, MS14-068), modifiche agli oggetti (cambio password, aggiunta utente a gruppo, RBCD, Shadow Credentials) e dump di password (secretsdump, lsassy, nanodump, DonPAPI). Lo script semplifica l'uso di un gran numero di strumenti: impacket, bloodhound, netexec, enum4linux-ng, ldapdomaindump, lsassy, smbmap, kerbrute, certipy, silenthound, bloodyAD, DonPAPI e molti altri.

Setup

Clona il repository git e installa i requisiti usando lo script install.sh

git clone https://github.com/lefayjey/linWinPwn
cd linWinPwn
chmod +x install.sh
./install.sh

In alternativa, usa l'immagine Docker pre-costruita da Docker Hub

docker pull lefayjey/linwinpwn:latest

# Add linWinPwn_docker to PATH
echo -e "docker run --rm --init -it --net=host -v \$(pwd):/opt/lwp-output lefayjey/linwinpwn:latest \$@" | sudo tee "/usr/local/sbin/linWinPwn_docker"
sudo chmod 755 /usr/local/sbin/linWinPwn_docker
# Run linWinPwn_docker (output to host's current directory)
linWinPwn_docker -t <DC_IP>
linWinPwn_docker -t <DC_IP> -d <domain> -u <user> -p <password> --auto

Oppure compila dal sorgente

docker build -t linwinpwn .
docker run --rm --init -it --net=host -v $(pwd):/opt/lwp-output linwinpwn -t <DC_IP>

Utilizzo

Modalità

Lo script linWinPwn può essere eseguito in modalità interattiva (predefinita) o in modalità automatica (solo enumerazione).

1. Modalità Interattiva (Predefinita) - Apre un menu interattivo per eseguire i controlli separatamente

linWinPwn -t <Domain_Controller_IP> [-d <AD_domain> -u <AD_user> -p <AD_password> -H <hash[LM:NT]> -K <kerbticket[./krb5cc_ticket]> -A <AES_key> -C <cert[./cert.pfx]> -o <output_dir>]

2. Modalità Automatica - Usando il parametro --auto, esegue strumenti di enumerazione (nessuno sfruttamento, modifiche o dump di password)

Quando si utilizza la modalità automatica, vengono eseguiti diversi controlli in base al metodo di autenticazione.

Non autenticato (nessuna credenziale fornita)
- Enumerazione anonima usando netexec, enum4linux-ng, ldapdomaindump, ldeep
- RID bruteforce usando netexec
- kerbrute user spray
- Pre2k authentication check su lista raccolta di computer
- ASREPRoast usando la lista raccolta di utenti (e cracking degli hash tramite john-the-ripper e la wordlist rockyou)
- Blind Kerberoast
- CVE-2022-33679 exploit
- Controllo per aggiornamenti DNS non sicuri per abuso AS-REQ usando krbjack
- Enumerazione delle condivisioni SMB anonime sui server identificati
- Enumerazione dei servizi WebDav, dfscoerce, shadowcoerce e Spooler sui server identificati
- Controllo delle vulnerabilità ms17-010, zerologon, petitpotam, nopac, smb-sigining, ntlmv1, runasppl

linWinPwn -t <Domain_Controller_IP> --auto [-o <output_dir>]

Autenticato (usando password, hash NTLM, ticket Kerberos, chiave AES o certificato pfx)
- Estrazione DNS usando netexec
- Raccolta dati BloodHound
- Enumerazione usando netexec, enum4linux-ng, ldapdomaindump, bloodyAD, sccmhunter, rdwatool, sccmhunter, GPOParser
- Generazione wordlist per cracking password
- netexec trova account con user=pass
- Pre2k authentication check sui computer del dominio
- Estrazione informazioni ADCS usando certipy e certi.py
- kerbrute trova account con user=pass
- ASREPRoasting (e cracking degli hash tramite john-the-ripper e la wordlist rockyou)
- Kerberoasting (e cracking degli hash tramite john-the-ripper e la wordlist rockyou)
- Targeted Kerberoasting (e cracking degli hash tramite john-the-ripper e la wordlist rockyou)
- Enumerazione delle condivisioni SMB su tutti i server del dominio usando smbmap, FindUncommonShares e cme's spider_plus
- Enumerazione dei servizi WebDav, dfscoerce, shadowcoerce e Spooler su tutti i server del dominio (usando cme, Coercer e RPC Dump)
- Controllo delle vulnerabilità ms17-010, ms14-068, zerologon, petitpotam, nopac, smb-signing, ntlmv1, runasppl, certifried, ldapnightmare, badsuccessor
- Controllo dei percorsi di escalation dei privilegi mssql
- Controllo delle possibilità di relay mssql

linWinPwn -t <Domain_Controller_IP>  -d <AD_domain> -u <AD_user> [-p <AD_password> -H <hash[LM:NT]> -K <kerbticket[./krb5cc_ticket]> -A <AES_key> -C <cert[./cert.pfx]>] [-o <output_dir>] --auto

Parametri

Auto config - Esegue la sincronizzazione NTP con il DC target e aggiunge una voce in /etc/hosts prima di eseguire i moduli

linWinPwn -t <Domain_Controller_IP> --auto-config

LDAPS - Usa LDAPS invece di LDAP (porta 636)

linWinPwn -t <Domain_Controller_IP> --ldaps

Forza Autenticazione Kerberos - Forza l'uso dell'autenticazione Kerberos invece di NTLM (quando possibile)

linWinPwn -t <Domain_Controller_IP> --force-kerb

Verbose - Abilita tutti gli output verbose e di debug

linWinPwn -t <Domain_Controller_IP> --verbose

Interfaccia - Scegli l'interfaccia di rete dell'attaccante

linWinPwn -t <Domain_Controller_IP> -I tun0
linWinPwn -t <Domain_Controller_IP> --interface eth0

Target - Scegli i target da scansionare (DC, All, IP=IP_o_hostname, File=./percorso_file)

linWinPwn -t <Domain_Controller_IP> --targets All
linWinPwn -t <Domain_Controller_IP> --targets DC
linWinPwn -t <Domain_Controller_IP> -T IP=192.168.0.1
linWinPwn -t <Domain_Controller_IP> -T File=./list_servers.txt

Wordlist personalizzate - Scegli wordlist personalizzate per utenti e password

linWinPwn -t <Domain_Controller_IP> -U /usr/share/seclists/Usernames/xato-net-10-million-usernames.txt
linWinPwn -t <Domain_Controller_IP> -P /usr/share/seclists/Passwords/xato-net-10-million-passwords.txt

Tunneling

linWinPwn può essere particolarmente utile quando hai accesso a un ambiente Active Directory per un periodo di tempo limitato e desideri essere più efficiente nel processo di enumerazione e nella raccolta di prove. Inoltre, linWinPwn può sostituire l'uso di strumenti di enumerazione su Windows al fine di ridurre il numero di artefatti creati (ad esempio comandi PowerShell, eventi di Windows, file creati su disco) e bypassare alcuni Anti-Virus o EDR. Ciò può essere ottenuto eseguendo un port forwarding dinamico remoto tramite la creazione di un tunnel SSH dall'host Windows (ad esempio macchina VDI o workstation o laptop) a una macchina Linux remota (ad esempio laptop per pentest o VPS) ed eseguendo linWinPwn con proxychains.

Sull'host Windows, esegui usando PowerShell:

ssh.exe kali@<linux_machine> -R 1080 -NCqf

Sulla macchina Linux, aggiorna prima /etc/proxychains4.conf per includere socks5 127.0.0.1 1080, poi esegui:

linWinPwn_proxychains -t <Domain_Controller_IP>  -d <AD_domain> -u <AD_user> [-p <AD_password> -H <hash[LM:NT]> -K <kerbticket[./krb5cc_ticket]> -A <AES_key> -C <cert[./cert.pfx]>] [-o <output_dir>] [--auto]

Autenticazioni attualmente supportate

Supporto LDAP Channel Binding

ldap3: netexec, ldapdomaindump (NTLM), Certipy, pre2k, bloodhound, ldeep, GroupPolicyBackdoor, relayking

msldap: bloodyAD

Supporto porta LDAP personalizzata

netexec, ldapdomaindump, ldeep, windapsearch, godap, pre2k, ldapnomnom

Demo

HackTheBox Forest

Modalità Interattiva:

Modalità Automatica:

TryHackme AttacktiveDirectory

DA FARE

Aggiungi più strumenti di enumerazione e sfruttamento...

Crediti

Ispirazione: S3cur3Th1sSh1t - WinPwn
Strumenti:
- fortra - impacket
- NeffIsBack, Marshall-Hallenbeck, zblurx, mpgn, byt3bl33d3r and all contributors - crackmapexec/netexec
- Fox-IT - bloodhound-python
- dirkjanm - ldapdomaindump, privexchange
- zer1t0 - certi.py
- ly4k - Certipy
- ShawnDEvans - smbmap
- ropnop - windapsearch, kerbrute
- login-securite - DonPAPI
- Processus-Thief - HEKATOMB
- layer8secure - SilentHound
- ShutdownRepo - TargetedKerberoast
- franc-pentest - ldeep
- garrettfoster13 - pre2k, aced, sccmhunter
- zblurx - certsync
- p0dalirius - Coercer, FindUncommonShares, ExtractBitlockerKeys, LDAPWordlistHarvester, ldapconsole, pyLDAPmonitor, RDWAtool, smbclient-ng, FindUnusualSessions, ShareHound
- blacklanternsecurity - MANSPIDER
- CravateRouge - bloodyAD
- shellster - LDAPPER
- TrustedSec - orpheus
- lkarlslund - Adalanche

Per Sviluppatori

Tool Integrator

lwp_tool_integrator.py automatizza l'integrazione di nuovi strumenti. Applica patch a linWinPwn.sh, install.sh e README.md in un unico passaggio:

Aggiunge definizione della variabile dello strumento e funzione wrapper
Applica patch a authenticate() con i flag appropriati
Aggiunge lo strumento al menu interattivo
Aggiorna install.sh per l'installazione automatica
Aggiunge riferimento e riga della tabella di autenticazione a README.md

Utilizzo:

python3 lwp_tool_integrator.py <tool_config.json>

Vedi lwp_tool_template.json per un esempio di configurazione.

Disclaimer Legale

L'uso di linWinPwn per attaccare target senza previo consenso reciproco è illegale. È responsabilità dell'utente finale rispettare tutte le leggi locali, statali e federali applicabili. Gli sviluppatori non si assumono alcuna responsabilità e non sono responsabili per eventuali abusi o danni causati da questo programma. Utilizzare solo a scopo educativo.

`netexec`	✅	✅	✅	✅	✅	✅
`Impacket`	✅	✅	✅	✅	✅	❌
`bloodhound-python`	❌	✅	✅	✅	✅	❌
`ldapdomaindump`	✅	✅	✅	❌	❌	❌
`enum4linux-ng`	✅	✅	✅	✅	❌	❌
`bloodyAD`	❌	✅	✅	✅	❌	✅
`SilentHound`	✅	✅	✅	❌	❌	❌
`ldeep`	✅	✅	✅	✅	❌	✅
`windapsearch`	✅	✅	✅	❌	❌	❌
`LDAPWordlistHarvester`	❌	✅	✅	✅	✅	❌
`LDAPConsole`	❌	✅	✅	✅	✅	❌
`pyLDAPmonitor`	❌	✅	✅	✅	✅	❌
`sccmhunter`	❌	✅	✅	✅	✅	❌
`ldapper`	❌	✅	✅	❌	❌	❌
`Adalanche`	❌	✅	✅	✅	❌	❌
`GPOwned`	❌	✅	✅	✅	✅	❌
`ACED`	❌	✅	✅	✅	✅	❌
`breads`	✅	✅	✅	❌	❌	❌
`godap`	✅	✅	✅	✅	❌	❌
`adcheck`	❌	✅	✅	❌	❌	❌
`certi.py`	❌	✅	✅	✅	✅	✅
`Certipy`	❌	✅	✅	✅	✅	✅
`certsync`	❌	✅	✅	✅	✅	❌
`pre2k`	❌	✅	✅	✅	✅	❌
`orpheus`	❌	✅	✅	✅	✅	❌
`smbmap`	✅	✅	✅	❌	❌	❌
`FindUncommonShares`	❌	✅	✅	✅	✅	❌
`smbclient-ng`	❌	✅	✅	✅	✅	❌
`manspider`	✅	✅	✅	❌	❌	❌
`coercer`	✅	✅	✅	❌	❌	❌
`privexchange`	✅	✅	✅	❌	❌	❌
`RunFinger.py`	✅	✅	✅	✅	✅	❌
`mssqlrelay`	❌	✅	✅	✅	✅	❌
`targetedKerberoast`	❌	✅	✅	✅	✅	❌
`pygpoabuse`	❌	✅	✅	✅	❌	❌
`DonPAPI`	❌	✅	✅	✅	✅	❌
`hekatomb`	❌	✅	✅	❌	❌	❌
`ExtractBitlockerKeys`	❌	✅	✅	✅	✅	❌
`evilwinrm`	❌	✅	✅	✅	✅	✅
`mssqlpwner`	❌	✅	✅	✅	✅	❌
`SoaPy`	❌	✅	✅	❌	❌	❌
`SCCMSecrets`	✅	✅	✅	❌	❌	❌
`Soaphound`	❌	✅	✅	❌	❌	❌
`gpoParser`	❌	✅	✅	❌	❌	❌
`spearspray`	❌	✅	❌	❌	❌	❌
`GroupPolicyBackdoor`	✅	✅	✅	✅	❌	❌
`NetworkHound`	❌	✅	✅	✅	❌	❌
`ShareHound`	✅	✅	✅	❌	❌	❌
`DACLSearch`	❌	✅	✅	✅	✅	❌
`ScriptScout`	❌	✅	❌	❌	❌	❌
`relayking`	✅	✅	✅	✅	✅	❌
`ADWS Domain Dump`	❌	✅	✅	❌	❌	❌
`PyADRecon`	❌	✅	❌	✅	❌	❌
`PyADRecon-ADWS`	❌	✅	❌	✅	❌	❌
`ADPulse`	❌	✅	✅	❌	❌	❌
`PowerView.py`	✅	✅	✅	✅	✅	✅
`evil-winrm-py`	❌	✅	✅	❌	❌	✅

linWinPwn

Più Popolari