Invoke-CleverSpray

Script di Password Spraying per rilevare password correnti e precedenti di un utente di Active Directory di @flelievre

Opzioni:

-Password: Password da provare.
-PasswordFile: Percorso del file contenente un elenco di password da provare.
-Username: samAccountName dell'utente da targetizzare.
-UsernamesFile: Percorso del file contenente un elenco di samAccountNames da targetizzare.
-Domain: Il dominio su cui interrogare gli utenti, di default il dominio corrente.
-Limit: Solo gli utenti con 'badPwdCount' inferiore o uguale al Limite verranno presi di mira (predefinito 1 per evitare di bloccare gli account).
-Delay: Ritardo tra i tentativi di autenticazione (in secondi).
-Jitter: Jitter per il ritardo dei tentativi di autenticazione.
-HideOld: Nascondi le vecchie password scoperte (predefinito falso).

Utilizzo: Importare Invoke-CleverSpray:

Import-Module .\Invoke-CleverSpray.ps1

Prova una password unica:

Invoke-CleverSpray -Password "Passw0rd"

Prova più password:

Invoke-CleverSpray -PasswordFile ".\pwd_list.txt"

Comportamento:

• Recupera il dominio predefinito o specificato (per specificare un dominio, usare il parametro -Domain) usando Get-NetDomain di PowerView (@harmj0y) e identifica il PDCe per inviare richieste di autenticazione (poiché il PDCe di dominio centralizza gli attributi "badPwdCount" per gli utenti del dominio)
• Recupera tutti gli account utente del dominio usando Get-NetUser di PowerView (@harmj0y) o da un file specificato (-UsernamesFile)
• Per ogni utente, verifica se l'attributo "badPwdCount" è inferiore alla soglia impostata tramite argomento (-Limit), in caso affermativo:
  • Tenta di autenticarsi usando la password fornita (-Password) o una password da un file di elenco password specificato (-PasswordFile) per ogni account utente
    • Se l'autenticazione ha successo, la password corrente dell'utente è stata scoperta
    • Se l'autenticazione non ha successo:
      • controlla se l'attributo "badPwdCount" dell'utente è stato incrementato: in caso contrario, la password fornita è una password precedente dell'account utente (sii creativo, rileva lo schema di creazione delle password dell'utente per indovinare la password attuale ;)
      • se l'attributo "badPwdCount" dell'utente è stato incrementato, non è stata trovata alcuna password precedente o corrente per quell'utente specifico
  • Se è impostato un ritardo (-Delay), attendere Delay +/- Jitter (-Jitter) o procedere direttamente al prossimo utente del dominio.

ATTENZIONE: Il -Limit predefinito è 1 (cioè solo gli account utente con "badPwdCount" inferiore o uguale a 1 verranno presi di mira). Puoi aumentare questo valore a tuo rischio per colpire più utenti. Non posso garantire che nessun utente venga bloccato.

**Ringraziamenti: ** Grazie a @harmj0y per PowerView!