ドメインパスワード監査ツール (DPAT)

DPATは、Active Directoryドメインコントローラーから抽出されたパスワードハッシュを分析するPythonベースのセキュリティツールです。NTDSダンプとパスワードクラッキング結果の両方から、パスワード使用統計、ポリシー違反、セキュリティインサイトを示す包括的なHTMLレポートを生成します。

サンプルレポート

機能

• 包括的なパスワード分析: パスワードの長さ分布、再利用パターン、ポリシー違反を分析
• インタラクティブなHTMLレポート: ドリルダウン機能を備えた詳細でクリック可能なHTMLレポートを生成
• パスワード履歴サポート: 利用可能な場合のパスワード履歴データを分析
• グループベースの分析: 特権アカウントのグループメンバーシップ統計を含める
• Kerberoastableアカウント分析: クラックされたKerberoastableサービスアカウントの特定と分析
• LMハッシュクラッキング: 部分的にクラックされたLMハッシュからNTハッシュを自動的にクラック
• データサニタイゼーション: レポート内の機密データを共有用にサニタイズするオプション
• 複数の入力形式: Hashcat、John the Ripper、その他のパスワードクラッキングツールをサポート

必要条件

• Python 3.8以上
• pycryptodome (MD4ハッシュサポート用)

インストール

基本インストール

コア依存関係のインストール:

pip install -r requirements.txt

開発およびテスト用:

pip install -r requirements-dev.txt

手動インストール

依存関係を個別にインストールする場合:

pip install pycryptodome

Poetryを使用

poetry install

クイックスタート

1. secretsdump.pyを使用してドメインコントローラーからNTDSデータを抽出
2. Hashcat、John the Ripper、または類似ツールを使用してパスワードをクラック
3. DPATを実行して分析レポートを生成

python dpat.py -n customer.ntds -c hashcat.potfile -p 8

使用方法

基本コマンド

python dpat.py -n <ntds_file> -c <cracked_file> -p <min_password_length>

必須パラメータ

• -n, --ntdsfile: NTDSファイル（secretsdump.pyの出力）
• -c, --crackfile: パスワードクラッキング出力ファイル（hashcat.potfile、john.potなど）
• -p, --minpasslen: ドメインポリシーの最小パスワード長

オプションパラメータ

• -o, --outputfile: HTMLレポートのファイル名（デフォルト: _DomainPasswordAuditReport.html）
• -d, --reportdirectory: 出力ディレクトリ（デフォルト: "DPAT Report"）
• -s, --sanitize: レポート内のパスワードとハッシュをサニタイズ
• -g, --groupsdirectory: グループメンバーシップファイルを含むディレクトリ
• -m, --machineaccts: 分析にマシンアカウントを含める
• -k, --krbtgt: 分析にkrbtgtアカウントを含める
• -kz, --kerbfile: Kerberoastableアカウントを含むファイル
• -w, --writedb: SQLiteデータベースをディスクに書き込んで検査
• --no-prompt: ブラウザのプロンプトをスキップ（自動化に便利）
• -dbg, --debug: デバッグ出力を有効化

コマンド例

基本分析:

python dpat.py -n customer.ntds -c hashcat.potfile -p 8

グループ分析を含める:

python dpat.py -n customer.ntds -c hashcat.potfile -p 8 -g /path/to/groups

サニタイズされたレポート:

python dpat.py -n customer.ntds -c hashcat.potfile -p 8 -s

Kerberoastableアカウントを含める:

python dpat.py -n customer.ntds -c hashcat.potfile -p 8 -kz kerberoastable.txt

入力ファイル形式

NTDSファイル形式

NTDSファイルはsecretsdump.pyの出力形式である必要があります:

domain\username:RID:lmhash:nthash:::

クラックされたパスワードファイル形式

Hashcat形式:

nthash:password
lmhash:password

John the Ripper形式:

$NT$nthash:password
$LM$lmhash:password

16進数エンコードされたパスワード:

nthash:$HEX[68656c6c6f]

グループファイル形式

グループメンバーシップファイルは1行に1ユーザー名を含む必要があります:

domain\username

データ抽出

ステップ1: NTDSデータの抽出

ドメインコントローラーで、IFM（インストールメディアから）バックアップを作成:

ntdsutil "ac in ntds" "ifm" "cr fu c:\temp" q q

これにより作成されるもの:

• c:\temp\Active Directory\ntds.dit
• c:\temp\registry\SYSTEM

ステップ2: DPAT形式に変換

secretsdump.pyを使用してバックアップを変換:

secretsdump.py -system registry/SYSTEM -ntds "Active Directory/ntds.dit" LOCAL -outputfile customer

パスワード履歴の場合（利用可能な場合）:

secretsdump.py -system registry/SYSTEM -ntds "Active Directory/ntds.dit" LOCAL -outputfile customer -history

ステップ3: パスワードのクラック

Hashcatを使用:

hashcat -m 1000 customer.ntds /path/to/wordlist

John the Ripperを使用:

john --format=NT customer.ntds

レポートセクション

DPATは以下を含む包括的なレポートを生成します:

• パスワード統計: 総ハッシュ数、ユニークハッシュ数、クラックされたパスワード
• パスワードポリシー違反: ポリシーの最小値より短いパスワード
• ユーザー名/パスワード一致: ユーザー名をパスワードとして使用しているアカウント
• LMハッシュ分析: 非空白LMハッシュとクラッキング統計
• パスワード長分布: ドリルダウン付きの詳細な長さ分析
• パスワード再利用: 複数のアカウント間で共有されているパスワード
• トップパスワード: 最も一般的に使用されているパスワード
• パスワード履歴: 履歴パスワード分析（利用可能な場合）
• グループ統計: 特権グループ分析（グループファイルが提供された場合）
• Kerberoastableアカウント: サービスアカウント分析（提供された場合）

サンプルデータ

リポジトリにはテスト用のサンプルデータがsample_data/ディレクトリに含まれています:

• customer.ntds: サンプルNTDSファイル
• oclHashcat.pot: サンプルクラックされたパスワード
• history/: パスワード履歴付きサンプルデータ

サンプルデータでテスト:

python dpat.py -n sample_data/customer.ntds -c sample_data/oclHashcat.pot -p 8

高度な機能

グループ分析

PowerShellを使用してグループメンバーシップファイルを作成:

Get-NetGroupMember -Recurse -GroupName "Domain Admins" > "Domain Admins.txt"

Kerberoastableアカウント分析

CypherHoundのparse-kerberoastable.pyスクリプトを使用して、拡張分析用のKerberoastableアカウントファイルを生成します。

CypherHound統合

CypherHoundが生成したファイルをDPATに組み込むことで、DPATレポートにより多くの統計情報を提供できます。現在、追加の統計情報は次のとおりです:

• 特定のドメイン内のすべてのグループに対するグループクラッキング統計
• クラックされたKerberoastableアカウント

これらの追加統計情報を提供するために利用する場合は、以下のスクリプトを使用する必要があります:

• parse-memberships.py。出力ディレクトリを-gフラグでDPATに渡します。
• parse-kerberoastable.py。出力ファイルを-kzフラグでDPATに渡します。

これらは簡単なスクリプトで、上記にリンクされた使用方法があり、使用は簡単です。

データサニタイゼーション

-sフラグを使用して、共有に適したサニタイズされたレポートを作成:

python dpat.py -n customer.ntds -c hashcat.potfile -p 8 -s

トラブルシューティング

よくある問題

"モジュール 'distutils' が見つかりません"

• これはPython 3.12+では予想される動作です。DPATは自動的に処理します。

空のレポート

• NTDSファイル形式が期待される形式と一致していることを確認
• クラックされたパスワードファイルに一致するハッシュが含まれていることを確認
• 最小パスワード長パラメータが正しいことを確認

詳細リンクの欠落

• データが見つからない場合、一部のレポートセクションに詳細ページがない可能性があります
• これは空のカテゴリでは正常な動作です

デバッグモード

トラブルシューティングのためにデバッグ出力を有効化:

python dpat.py -n customer.ntds -c hashcat.potfile -p 8 -dbg

テスト

テストスイートを実行:

python -m unittest tests.unit.test_core -v
python -m unittest tests.integration.test_integration -v

コントリビューション

1. リポジトリをフォーク
2. 機能ブランチを作成
3. 変更を加える
4. 新しい機能のテストを追加
5. プルリクエストを送信

ライセンス

このプロジェクトはMITライセンスの下でライセンスされています。詳細はLICENSEファイルを参照してください。

クレジット

• Carrie Roberts - 原作者
• Dylan Evans - コントリビューター

当初スポンサー:

サポート

問題、質問、コントリビューションについては、GitHub issueトラッカーをご利用ください。