NTLMRawUnhide.py

Autore : Mike Gualtieri
Blog : https://www.mike-gualtieri.com
Twitter : https://twitter.com/mlgualtieri
GitHub : https://github.com/mlgualtieri/NTLMRawUnhide
Articolo: https://www.mike-gualtieri.com/posts/live-off-the-land-and-crack-the-ntlmssp-protocol

Introduzione

NTLMRawUnhide.py è uno script Python3 progettato per analizzare file di cattura di pacchetti di rete ed estrarre hash NTLMv2 in un formato craccabile. Lo strumento è stato sviluppato per estrarre hash NTLMv2 da file generati da binari nativi di Windows come NETSH.EXE e PKTMON.EXE senza conversione.

I seguenti formati binari di cattura di pacchetti di rete sono supportati:

*.pcap
*.pcapng
*.cap
*.etl

Utilizzo

Usage: NTLMRawUnhide.py -i <inputfile> [-o <outputfile>] [-f] [-h] [-q] [-v]

Main options:
  -f, --follow               Continuously "follow" (e.g. "read from")
                             input file for new data
  -h, --help
  -i, --input  <inputfile>   Binary packet data input file
                             (.pcap, .pcapng, .cap, .etl, others?)
  -o, --output <outputfile>  Output file to record any found NTLM
                             hashes
  -q, --quiet                Be a lot more quiet and only output
                             found NTLM hashes. --quiet will also
                             disable verbose, if specified.
  -v, --verbose

Esempi

Estrai hash NTLMv2 da examples/capture.pcap:

python3 NTLMRawUnhide.py -i examples/capture.pcap

Stessa cosa, ma con output verbose:

python3 NTLMRawUnhide.py -i examples/capture.pcap -v

Estrai hash NTLMv2 da examples/capture.pcap e continua a monitorare il file per nuovi hash (come tail -f):

python3 NTLMRawUnhide.py -i examples/capture.pcap -f

Estrai hash NTLMv2 da examples/capture.pcap e scrivi gli hash estratti in /tmp/hashes.txt

python3 NTLMRawUnhide.py -i examples/capture.pcap -o /tmp/hashes.txt

Metodi di Cattura dei Pacchetti

Per creare un file di cattura pacchetti compatibile, è possibile utilizzare uno qualsiasi dei seguenti metodi:

Wireshark:

Set capture filter as "tcp port 445"; Save as .pcapng

tcpdump

tcpdump -i eth0 -w capture.pcap "port 445"

NETSH.EXE

netsh.exe trace start persistent=yes capture=yes TCP.AnyPort=445 tracefile=C:\Users\Public\capture.etl
netsh.exe trace stop

PKTMON.EXE

pktmon.exe filter add SMB -p 445
:: List all filters 
pktmon.exe filter list
:: Find id of the network adapter (example > Id: 9)
pktmon.exe comp list
:: pktmon.exe start --etw -p 0 -c [Adapter ID]     
pktmon.exe start --etw -p 0 -c 9 
:: Will create the file PktMon.etl in current directory
pktmon.exe stop
:: Cleanup
pktmon.exe filter remove

Riferimenti

Il seguente URL è stato molto utile durante la creazione di questo strumento: The NTLM Authentication Protocol and Security Support Provider http://davenport.sourceforge.net/ntlm.html

NTLMRawUnHide

Più Popolari