linWinPwn - Linuxを使用したActive Directoryペンテストのためのスイスアーミーナイフ

説明

linWinPwnは、多数のActive Directoryツールをラップするbashスクリプトであり、列挙（LDAP、RPC、ADCS、MSSQL、Kerberos、SCCM）、脆弱性チェック（noPac、ZeroLogon、MS17-010、MS14-068）、オブジェクト変更（パスワード変更、ユーザーをグループに追加、RBCD、Shadow Credentials）、パスワードダンプ（secretsdump、lsassy、nanodump、DonPAPI）を実行します。このスクリプトは、impacket、bloodhound、netexec、enum4linux-ng、ldapdomaindump、lsassy、smbmap、kerbrute、certipy、silenthound、bloodyAD、DonPAPIなど、多数のツールの使用を効率化します。

セットアップ

リポジトリをGitクローンし、install.shスクリプトを使用して要件をインストールします

git clone https://github.com/lefayjey/linWinPwn
cd linWinPwn
chmod +x install.sh
./install.sh

あるいは、Docker Hubからビルド済みのDockerイメージを使用します

docker pull lefayjey/linwinpwn:latest

# Add linWinPwn_docker to PATH
echo -e "docker run --rm --init -it --net=host -v \$(pwd):/opt/lwp-output lefayjey/linwinpwn:latest \$@" | sudo tee "/usr/local/sbin/linWinPwn_docker"
sudo chmod 755 /usr/local/sbin/linWinPwn_docker
# Run linWinPwn_docker (output to host's current directory)
linWinPwn_docker -t <DC_IP>
linWinPwn_docker -t <DC_IP> -d <domain> -u <user> -p <password> --auto

またはソースからビルド

docker build -t linwinpwn .
docker run --rm --init -it --net=host -v $(pwd):/opt/lwp-output linwinpwn -t <DC_IP>

使用方法

モード

linWinPwnスクリプトは、インタラクティブモード（デフォルト）または自動モード（列挙のみ）で実行できます。

1. インタラクティブモード（デフォルト） - チェックを個別に実行するためのインタラクティブメニューを開く

linWinPwn -t <Domain_Controller_IP> [-d <AD_domain> -u <AD_user> -p <AD_password> -H <hash[LM:NT]> -K <kerbticket[./krb5cc_ticket]> -A <AES_key> -C <cert[./cert.pfx]> -o <output_dir>]

2. 自動モード - --autoパラメータを使用して、列挙ツールを実行します（悪用、変更、パスワードダンプは行いません）

自動モードでは、認証方法に基づいて異なるチェックが実行されます。

未認証（資格情報なし）
- netexec、enum4linux-ng、ldapdomaindump、ldeepを使用した匿名列挙
- netexecを使用したRIDブルートフォース
- kerbruteユーザースプレー
- 収集されたコンピュータリストに対するPre2k認証チェック
- 収集されたユーザーリストを使用したASREPRoast（john-the-ripperとrockyouワードリストを使用したハッシュクラッキングを含む）
- Blind Kerberoast
- CVE-2022-33679エクスプロイト
- krbjackを使用したAS-REQ悪用のためのDNS安全でない更新のチェック
- 特定されたサーバー上のSMB共有匿名列挙
- 特定されたサーバー上のWebDav、dfscoerce、shadowcoerce、Spoolerサービスの列挙
- ms17-010、zerologon、petitpotam、nopac、smb-signing、ntlmv1、runaspplの脆弱性のチェック

linWinPwn -t <Domain_Controller_IP> --auto [-o <output_dir>]

認証済み（パスワード、NTLMハッシュ、Kerberosチケット、AES鍵、pfx証明書を使用）
- netexecを使用したDNS抽出
- BloodHoundデータ収集
- netexec、enum4linux-ng、ldapdomaindump、bloodyAD、sccmhunter、rdwatool、sccmhunter、GPOParserを使用した列挙
- パスワードクラッキング用のワードリスト生成
- netexecでuser=passのアカウントを検索
- ドメインコンピュータに対するPre2k認証チェック
- certipyとcerti.pyを使用したADCS情報の抽出
- kerbruteでuser=passのアカウントを検索
- ASREPRoasting（john-the-ripperとrockyouワードリストを使用したハッシュクラッキングを含む）
- Kerberoasting（john-the-ripperとrockyouワードリストを使用したハッシュクラッキングを含む）
- Targeted Kerberoasting（john-the-ripperとrockyouワードリストを使用したハッシュクラッキングを含む）
- smbmap、FindUncommonShares、cmeのspider_plusを使用した全ドメインサーバー上のSMB共有列挙
- 全ドメインサーバー上のWebDav、dfscoerce、shadowcoerce、Spoolerサービスの列挙（cme、Coercer、RPC Dumpを使用）
- ms17-010、ms14-068、zerologon、petitpotam、nopac、smb-signing、ntlmv1、runasppl、certifriedの脆弱性、ldapnightmare、badsuccessorのチェック
- mssql権限昇格パスのチェック
- mssqlリレーの可能性のチェック

linWinPwn -t <Domain_Controller_IP>  -d <AD_domain> -u <AD_user> [-p <AD_password> -H <hash[LM:NT]> -K <kerbticket[./krb5cc_ticket]> -A <AES_key> -C <cert[./cert.pfx]>] [-o <output_dir>] --auto

パラメータ

自動設定 - モジュールを実行する前に、ターゲットDCとのNTP同期を実行し、/etc/hostsにエントリを追加します

linWinPwn -t <Domain_Controller_IP> --auto-config

LDAPS - LDAPの代わりにLDAPSを使用します（ポート636）

linWinPwn -t <Domain_Controller_IP> --ldaps

Force Kerberos Auth - 可能な場合にNTLMの代わりにKerberos認証を強制します

linWinPwn -t <Domain_Controller_IP> --force-kerb

Verbose - すべての詳細およびデバッグ出力を有効にします

linWinPwn -t <Domain_Controller_IP> --verbose

インターフェース - 攻撃者のネットワークインターフェースを選択します

linWinPwn -t <Domain_Controller_IP> -I tun0
linWinPwn -t <Domain_Controller_IP> --interface eth0

ターゲット - スキャンするターゲットを選択します（DC、All、IP=IP_or_hostname、File=./path_to_file）

linWinPwn -t <Domain_Controller_IP> --targets All
linWinPwn -t <Domain_Controller_IP> --targets DC
linWinPwn -t <Domain_Controller_IP> -T IP=192.168.0.1
linWinPwn -t <Domain_Controller_IP> -T File=./list_servers.txt

カスタムワードリスト - カスタムユーザーとパスワードのワードリストを選択します

linWinPwn -t <Domain_Controller_IP> -U /usr/share/seclists/Usernames/xato-net-10-million-usernames.txt
linWinPwn -t <Domain_Controller_IP> -P /usr/share/seclists/Passwords/xato-net-10-million-passwords.txt

トンネリング

linWinPwnは、Active Directory環境へのアクセスが限られた時間だけである場合に特に有用であり、列挙プロセスと証拠収集をより効率的に行いたい場合に便利です。さらに、linWinPwnは、作成されるアーティファクト（例：PowerShellコマンド、Windowsイベント、ディスク上に作成されるファイル）の数を減らし、特定のアンチウイルスやEDRをバイパスする目的で、Windows上での列挙ツールの使用を置き換えることができます。これは、Windowsホスト（例：VDIマシン、ワークステーション、ノートPC）からリモートLinuxマシン（例：ペンテストノートPC、VPS）へのSSHトンネルを作成し、proxychainsを使用してlinWinPwnを実行することで実現できます。

WindowsホストでPowerShellを使用して実行:

ssh.exe kali@<linux_machine> -R 1080 -NCqf

Linuxマシンで、最初に/etc/proxychains4.confを更新してsocks5 127.0.0.1 1080を含め、次に実行:

linWinPwn_proxychains -t <Domain_Controller_IP>  -d <AD_domain> -u <AD_user> [-p <AD_password> -H <hash[LM:NT]> -K <kerbticket[./krb5cc_ticket]> -A <AES_key> -C <cert[./cert.pfx]>] [-o <output_dir>] [--auto]

現在サポートされている認証方法

LDAPチャネルバインディングサポート

ldap3: netexec, ldapdomaindump (NTLM), Certipy, pre2k, bloodhound, ldeep, GroupPolicyBackdoor, relayking

msldap: bloodyAD

LDAPカスタムポートサポート

netexec, ldapdomaindump, ldeep, windapsearch, godap, pre2k, ldapnomnom

デモ

HackTheBox Forest

インタラクティブモード:

自動モード:

TryHackme AttacktiveDirectory

今後の予定

列挙およびエクスプロイトツールをさらに追加予定...

クレジット

インスピレーション: S3cur3Th1sSh1t - WinPwn
ツール:
- fortra - impacket
- NeffIsBack, Marshall-Hallenbeck, zblurx, mpgn, byt3bl33d3rおよびすべてのコントリビューター - crackmapexec/netexec
- Fox-IT - bloodhound-python
- dirkjanm - ldapdomaindump, privexchange
- zer1t0 - certi.py
- ly4k - Certipy
- ShawnDEvans - smbmap
- ropnop - windapsearch, kerbrute
- login-securite - DonPAPI
- Processus-Thief - HEKATOMB
- layer8secure - SilentHound
- ShutdownRepo - TargetedKerberoast
- franc-pentest - ldeep
- garrettfoster13 - pre2k, aced, sccmhunter
- zblurx - certsync
- p0dalirius - Coercer, FindUncommonShares, ExtractBitlockerKeys, LDAPWordlistHarvester, ldapconsole, pyLDAPmonitor, RDWAtool, smbclient-ng, FindUnusualSessions, ShareHound
- blacklanternsecurity - MANSPIDER
- CravateRouge - bloodyAD
- shellster - LDAPPER
- TrustedSec - orpheus
- lkarlslund - Adalanche

開発者向け

ツールインテグレーター

lwp_tool_integrator.pyは、新しいツールの統合を自動化します。linWinPwn.sh、install.sh、README.mdを一度にパッチします。

ツール変数の定義とラッパー関数を追加
適切なフラグでauthenticate()をパッチ
インタラクティブメニューにツールを追加
自動インストールのためにinstall.shを更新
README.mdに参照と認証テーブルの行を追加

使用方法:

python3 lwp_tool_integrator.py <tool_config.json>

設定例についてはlwp_tool_template.jsonを参照してください。

法的免責事項

事前の相互同意なしにlinWinPwnを使用してターゲットを攻撃することは違法です。すべての該当する地域、州、連邦法を遵守するのはエンドユーザーの責任です。開発者は一切の責任を負わず、このプログラムによって引き起こされた誤用または損害について責任を負いません。教育目的でのみ使用してください。

`netexec`	✅	✅	✅	✅	✅	✅
`Impacket`	✅	✅	✅	✅	✅	❌
`bloodhound-python`	❌	✅	✅	✅	✅	❌
`ldapdomaindump`	✅	✅	✅	❌	❌	❌
`enum4linux-ng`	✅	✅	✅	✅	❌	❌
`bloodyAD`	❌	✅	✅	✅	❌	✅
`SilentHound`	✅	✅	✅	❌	❌	❌
`ldeep`	✅	✅	✅	✅	❌	✅
`windapsearch`	✅	✅	✅	❌	❌	❌
`LDAPWordlistHarvester`	❌	✅	✅	✅	✅	❌
`LDAPConsole`	❌	✅	✅	✅	✅	❌
`pyLDAPmonitor`	❌	✅	✅	✅	✅	❌
`sccmhunter`	❌	✅	✅	✅	✅	❌
`ldapper`	❌	✅	✅	❌	❌	❌
`Adalanche`	❌	✅	✅	✅	❌	❌
`GPOwned`	❌	✅	✅	✅	✅	❌
`ACED`	❌	✅	✅	✅	✅	❌
`breads`	✅	✅	✅	❌	❌	❌
`godap`	✅	✅	✅	✅	❌	❌
`adcheck`	❌	✅	✅	❌	❌	❌
`certi.py`	❌	✅	✅	✅	✅	✅
`Certipy`	❌	✅	✅	✅	✅	✅
`certsync`	❌	✅	✅	✅	✅	❌
`pre2k`	❌	✅	✅	✅	✅	❌
`orpheus`	❌	✅	✅	✅	✅	❌
`smbmap`	✅	✅	✅	❌	❌	❌
`FindUncommonShares`	❌	✅	✅	✅	✅	❌
`smbclient-ng`	❌	✅	✅	✅	✅	❌
`manspider`	✅	✅	✅	❌	❌	❌
`coercer`	✅	✅	✅	❌	❌	❌
`privexchange`	✅	✅	✅	❌	❌	❌
`RunFinger.py`	✅	✅	✅	✅	✅	❌
`mssqlrelay`	❌	✅	✅	✅	✅	❌
`targetedKerberoast`	❌	✅	✅	✅	✅	❌
`pygpoabuse`	❌	✅	✅	✅	❌	❌
`DonPAPI`	❌	✅	✅	✅	✅	❌
`hekatomb`	❌	✅	✅	❌	❌	❌
`ExtractBitlockerKeys`	❌	✅	✅	✅	✅	❌
`evilwinrm`	❌	✅	✅	✅	✅	✅
`mssqlpwner`	❌	✅	✅	✅	✅	❌
`SoaPy`	❌	✅	✅	❌	❌	❌
`SCCMSecrets`	✅	✅	✅	❌	❌	❌
`Soaphound`	❌	✅	✅	❌	❌	❌
`gpoParser`	❌	✅	✅	❌	❌	❌
`spearspray`	❌	✅	❌	❌	❌	❌
`GroupPolicyBackdoor`	✅	✅	✅	✅	❌	❌
`NetworkHound`	❌	✅	✅	✅	❌	❌
`ShareHound`	✅	✅	✅	❌	❌	❌
`DACLSearch`	❌	✅	✅	✅	✅	❌
`ScriptScout`	❌	✅	❌	❌	❌	❌
`relayking`	✅	✅	✅	✅	✅	❌
`ADWS Domain Dump`	❌	✅	✅	❌	❌	❌
`PyADRecon`	❌	✅	❌	✅	❌	❌
`PyADRecon-ADWS`	❌	✅	❌	✅	❌	❌
`ADPulse`	❌	✅	✅	❌	❌	❌
`PowerView.py`	✅	✅	✅	✅	✅	✅
`evil-winrm-py`	❌	✅	✅	❌	❌	✅

linWinPwn

人気