DPAPI-toolkit

Windows DPAPI 証跡のためのオフラインツールキット。ファイルを収集し、ツールを アーティファクトに向けると、フォーマットを認識して必要なマスターキーを正確に 示します。キーマテリアルを提供すれば復号します。

ほとんどの DPAPI ツールはフォーマットごとに 1 つのスクリプトであるか、より 大きな攻撃フレームワークに埋め込まれた機能です。これはその全範囲に対応する 単一のツールです — マスターキー、DPAPI ブロブ、Credential Manager、Vault、 CREDHIST、Wi-Fi、RDP/RDCMan、CAPI/CNG キーと証明書、PowerShell SecureString、 KeePass、SCCM、Chromium の os_crypt キー、そして (オプションのプラグインで) DPAPI-NG — 収集したファイルのみから駆動され、コマンドラインインターフェース と、同じコア上に構築されたローカルのドラッグアンドドロップ Web UI を備えて います。

これはレッドチームとペネトレーションテスト、DFIR、セキュリティリサーチ向けに 作られています。ライブホスト、ドメインコントローラー、ネットワーク、BKRP、 LSASS へのアクセスは使用せず、パスワードや PIN のブルートフォースも行いません。 収集したアーティファクトとキーマテリアルを明示的に提供します。

所有している、または調査する明示的な許可を得ているシステムと証跡に対して のみ使用してください。

例

ユーザーの Protect フォルダーと Credential Manager ファイルをオフラインで 収集し、アカウントのパスワードを知っているとします。まず資格情報を検査します — キーは不要です:

python3 dpapi_toolkit.py CREDENTIAL_FILE

埋め込まれた DPAPI ブロブと、それが要求するマスターキー GUID を出力します。 Protect ディレクトリを指定して、そのマスターキーを照合・解除させ、復号します:

python3 dpapi_toolkit.py CREDENTIAL_FILE --type credential \
  --masterkey-dir Protect-S-1-5-21-... \
  --sid S-1-5-21-... \
  --password 'password'

結果はターゲット、ユーザー名、復元された資格情報を含む JSON です。同じ 検査してから復号するフローが、サポートされるすべてのフォーマットに適用され ます。

インストール

Python 3.10 以降。唯一の必須依存関係は cryptography です:

python3 -m pip install cryptography

オプションの依存関係は特定の機能を有効にします:

python3 -m pip install python-registry  # read Outlook data from NTUSER.DAT
python3 -m pip install dpapi-ng          # offline DPAPI-NG plugin
python3 -m pip install impacket          # offline SYSTEM/SECURITY/SAM hive plugin

ライブの Windows ホスト、ドメインコントローラー、ネットワーク接続、LSASS アクセスは不要です。レジストリシークレットとマスターキーはすでに収集されて いる必要があります。

対応範囲

• マスターキー — ユーザーおよび SYSTEM。パスワード、NT ハッシュ、ローカル SHA1 ハッシュ、復元された prekey/credential key、DPAPI_SYSTEM、または AD ドメインバックアップキーで解除。
• クラシック DPAPI ブロブ および PowerShell の ConvertFrom-SecureString / Export-Clixml SecureString。
• Credential Manager、Windows Vault (.vpol/.vcrd)、および CREDHIST パスワード履歴。
• Wi-Fi のパーソナルおよびエンタープライズ/PEAP プロファイル。
• リモートデスクトップ の .rdp ファイルおよび RDCMan の .rdg/.settings。
• CAPI/CNG 秘密キーと証明書。オプションの PKCS#12/PFX バンドル付き。
• KeePass の ProtectedUserKey.bin、SCCM ポリシーシークレット、 Outlook IMAP、ソフトウェアベースの Windows Hello / NGC キー、および Chromium の os_crypt キー。
• クラック可能ハッシュのエクスポート — オフラインパスワードリカバリ用の $DPAPImk$ マスターキー (Hashcat 15300/15310/15900/15910)、 CacheData (モード 33700)、およびローカル SAM NT ハッシュ。 を参照。

キーマテリアルの特定

解除方法は、すでに何を持っているかによって異なります。これを CLI オプションに 対応付けます。同じ選択肢が Web UI の 2. Unlock key の下に表示されます。

40/44 バイトの DPAPI_SYSTEM 値は復号済みマスターキーではありません。これを 使って GUID 名の SYSTEM マスターキーを復号し、その結果得られる 64 バイトの マスターキーを使ってアーティファクトを復号します。

ローカル Web UI

Web UI は同じオフラインコア上の薄いフロントエンドであるため、その結果は コマンドラインと完全に一致します:

python3 dpapi_web.py                 # http://127.0.0.1:8765/

127.0.0.1 のみにバインドし、LAN/パブリックバインドオプションはなく、復号 結果を単一のワンタイムダウンロード用に境界付きメモリに保持し、永続的な復号 出力を書き込むことはありません。完全なワークフロー、フォーマットごとの フロー、およびセキュリティ態勢については docs/web-ui.md を 参照してください。

ドキュメント

クイックヘルプも組み込まれています: python3 dpapi_toolkit.py -h で短い ヘルプ、-hh で詳細なキー/アーティファクト/場所/制限のヘルプ、そして任意の アーティファクトに --structure を付けると、復号せずに解析されたフィールドを 出力します。

レイアウト

スコープと制限

このツールキットは意図的にオフラインです: 外向きの HTTP、RPC、ドメイン コントローラー、BKRP、LSASS、またはライブレジストリへのアクセスはなく、 パスワード/PIN のブルートフォースもありません。それ以外に:

• クラシック DPAPI は完全にサポートされています。オプションの DPAPI-NG プラグインは、一致する KDS ルートキーが提供された場合にオフライン SID 記述子ブロブを処理します。他の保護記述子はサポートされておらず、RPC に フォールバックすることはありません。
• 収集された SYSTEM/SECURITY ハイブは windows_hives プラグインで処理 できます。または、すでに抽出された DPAPI_SYSTEM 値を直接提供できます。
• Entra CacheData は、提供された 1 つの既知パスワードで復号できます。また は、外部リカバリ用のモード 33700 ベリファイアとしてエクスポートできます。 ツールキットは候補をテストしません。他の CloudAP/LSASS ソースは依然として 提供された prekey または資格情報キーを必要とします。
• マスターキーファイルの主要な暗号化セクションのみが試されます。そのローカルの セカンダリ BackupKey セクションはまだフォールバックとして使用されていません。
• 暗号化された PVK および PEM バックアップキーは、明示的に提供されたパスワード を必要とします。
• TPM バインドの Windows Hello マテリアルは、コピーされたファイルから オフラインで復元できません。NGC/PIN ノードチェーンはまだ実装されておらず、 ソフトウェア CNG PIN キーのみが対象です。
• CNG DSA V2 (>1024 ビット) および一部の一般的でないレガシープロバイダーブロブ はまだ PEM に変換されません。それらの復号されたバイトは保持されます。

謝辞

これは独立した実装ですが、Windows DPAPI の内部に関する大規模な公開研究と ツール群の上に成り立っています。ここでのオフラインアルゴリズムを可能にした 公開された成果を持つプロジェクトと著者に感謝します:

• Benjamin Delpy (@gentilkiwi) による mimikatz — DPAPI マスターキー、 ブロブ、CREDHIST、Vault、および資格情報フォーマットとそのキー導出の リファレンス。
• Fortra (元々は Alberto Solino、@agsolino) による impacket — その dpapi.py/secretsdump ロジックとレジストリハイブクラス。また、SYSTEM/SECURITY/SAM ハイブプラグイン が使用するオプションの依存関係。
• Will Schroeder (@harmj0y) と GhostPack による SharpDPAPI — 多くのアーティファクト フォーマットと Credential/Vault/CAPI/CNG パスのクロスチェック。
• DPAPImk2john および hashcat チーム — Hashcat エクスポートが対象とする $DPAPImk$ ハッシュフォーマットとモード 15300/15310/15900/15910。
• Jordan Borean (@jborean93) による dpapi-ng — オフライン DPAPI-NG プラグインの背後にあるオプションのライブラリ。

ライセンス

MIT。LICENSE を参照。