Lil Pwny

Auditing offline veloce delle password di Active Directory usando Python.

Informazioni su Lil Pwny

Lil Pwny è un'applicazione Python per eseguire un audit offline degli hash NTLM delle password degli utenti, recuperati da Active Directory, confrontandoli con password compromesse note di Have I Been Pwned. I risultati verranno prodotti in formato JSON contenenti il nome utente, l'hash corrispondente (può essere offuscato) e il numero di volte che la password corrispondente è stata vista in HIBP.

Maggiori informazioni su Lil Pwny si trovano sul mio blog

Caratteristiche

• Auditing personalizzato delle password: Possibilità di fornire una lista di password personalizzate per controllare gli utenti AD. Questo ti permette di verificare le password degli utenti rispetto a password rilevanti per la tua organizzazione che sospetti possano essere in uso.
  • Passa un file .txt con le password in chiaro da cercare; queste vengono poi hashate in NTLM e gli hash AD vengono confrontati con queste oltre che con gli hash HIBP.
• Rilevamento duplicati: Restituisce una lista di account che usano le stesse password. Utile per trovare utenti che usano la stessa password per account amministrativi e standard.
• Username come password: Rileva gli utenti che usano il loro nome utente, o sue varianti, come password.
• Output offuscato: Offusca gli hash nell'output, per quando non si vuole gestire o memorizzare hash NTLM reali degli utenti.

Miglioramento della lista password personalizzate

Lil Pwny fornisce la funzionalità per migliorare la tua lista di password personalizzate aggiungendo varianti comunemente usate. Queste includono:

• Password con sostituzioni 'leetspeak' comuni (es. P@ssw0rd)
• Versioni in maiuscolo della password, e primo carattere maiuscolo (es. PASSWORD, Password)
• Password con caratteri speciali comuni aggiunti all'inizio o alla fine (es. password!, !password)
• Password riempite con caratteri alfanumerici comuni, caratteri speciali e ripetizioni di se stesse per raggiungere una lunghezza minima data (es. password123!, !passwordabc, passwordpassword)
  • Si passa la lunghezza minima desiderata della password a Lil Pwny quando si seleziona l'opzione di miglioramento della lista personalizzata
• Password con date aggiunte a partire dall'anno 1950 fino a 10 anni dalla data odierna (es. password1950, password2034)

Una lista di 100 password in chiaro genera 49848660 varianti.

Username nelle password

Lil Pwny cerca utenti che stanno usando varianti del loro nome utente come password.

Converte il nome utente nei seguenti formati:

• Tutto maiuscolo
• Tutto minuscolo
• Rimozione del punto "."
• camelCase (Es. johnSmith)
• PascalCase (Es. JohnSmith)

Questi vengono poi convertiti in hash NTLM e controllati rispetto agli hash AD.

Risorse

Questa applicazione è stata sviluppata per sfruttare al massimo il multiprocessing in Python, con l'obiettivo di funzionare il più velocemente possibile su hardware consumer.

Poiché utilizza il multiprocessing, più core hai a disposizione, più velocemente Lil Pwny dovrebbe funzionare. Ho comunque ottenuto ottimi risultati con un numero ridotto di core logici:

• Ambiente di test con ~8500 account AD e lista HIBP di 613.584.246 hash:
  • 6 core logici - 0:05:57.640813
  • 12 core logici - 0:04:28.579201

Output

Lil Pwny produrrà i risultati su stdout:

o JSON:

{"localtime": "2021-00-00 00:00:00,000", "level": "NOTIFY", "source": "Lil Pwny", "match_type": "hibp", "detection_data": {"username": "RICKON.STARK", "hash": "32ED87BDB5FDC5E9CBA88547376818D4", "matches_in_hibp": "24230577", "obfuscated": "True"}}

Puoi reindirizzare l'output JSON di Lil Pwny su file:

lil-pwny -ad ... > lil-pwny-results.json 

Questo logging in formato JSON può essere facilmente inserito in un SIEM o altro strumento di analisi dei log, e può essere inviato ad altri script o piattaforme per azioni di risoluzione automatizzate.

Installazione

Installa tramite pip

pip install lil-pwny

Utilizzo

Lil-pwny verrà installato come comando globale, usalo come segue:

usage: lil-pwny [-h] -hibp HIBP [-v] [-c CUSTOM] [-custom-enhance CUSTOM_ENHANCE] -ad AD_HASHES [-d] [-output {file,stdout,json}] [-o] [--verbose]

Fast offline auditing of Active Directory passwords using Python

opzioni:
  -h, --help            mostra questo messaggio di aiuto ed esci
  -hibp HIBP, --hibp HIBP
                        Il file .txt contenente gli hash NTLM HIBP
  -v, --version         mostra il numero di versione ed esci
  -c CUSTOM, --custom CUSTOM
                        file .txt contenente password personalizzate aggiuntive da controllare
  -custom-enhance CUSTOM_ENHANCE, --custom-enhance CUSTOM_ENHANCE
                        genera una lista di password personalizzate avanzata basata sulla lista fornita. Deve essere usato con il flag -c/--custom. La lista avanzata verrà memorizzata in memoria e non scritta su disco. Fornisci la lunghezza minima delle password desiderata. Il valore predefinito è 8
  -ad AD_HASHES, --ad-hashes AD_HASHES
                        Il file .txt contenente gli hash NTLM degli utenti AD
  -d, --duplicates      Mostra una lista di utenti con password duplicate
  -output {file,stdout,json}, --output {file,stdout,json}
                        Dove inviare i risultati
  -o, --obfuscate       Offusca gli hash delle corrispondenze trovate tramite hash con un sale casuale
  --verbose             Attiva logging dettagliato

Esempio:

lil-pwny -hibp ~/hibp_hashes.txt -ad ~/ad_user_hashes.txt -c ~/custom_passwords.txt -output stdout -do

Ottenere i file di input

Passo 1: Ottenere un dump del database AD IFM

Su un controller di dominio usa ntdsutil per generare un dump IFM del tuo dominio AD. Esegui il seguente comando in una finestra PowerShell con privilegi elevati:

ntdsutil
activate instance ntds
ifm
create full **output path**

Passo 2: Recuperare gli hash NTLM da questo output

Per recuperare gli hash NTLM dai dati IFM AD, è necessario il modulo PowerShell DSInternals.

Una volta installato, usa il hive SYSTEM nei dati IFM per recuperare gli hash nel formato usernme:hash e salvali nel file ad_ntlm_hashes.txt

$bootKey = Get-BootKey -SystemHivePath '.\registry\SYSTEM'
Get-ADDBAccount -All -DBPath '.\Active Directory\ntds.dit' -BootKey $bootKey | Format-Custom -View HashcatNT | Out-File ad_ntlm_hashes.txt -Encoding ASCII

Passo 3: Scaricare l'ultimo file di hash HIBP

Il file può essere scaricato dall'API HIBP usando un'utility .NET qui

Passo opzionale: Filtrare account AD indesiderati

Lo script PowerShell nella directory scripts può essere usato per rimuovere account indesiderati dall'output IFM prima dell'elaborazione. Questi includono:

• Account disabilitati
• Account computer

Risorse

• ntdsutil & IFM