PCredz 2.1.0

PCredz は、ネットワークトラフィック（PCAP ファイルまたはライブキャプチャ）から認証情報と認証トークンを抽出します。

機能

対応プロトコル

IPv4 および IPv6 トラフィックの両方から認証情報を抽出します：

• NTLM: HTTP、SMB、LDAP、MSSQL、DCE-RPC などからの NTLMv1/v2 ハッシュ
• Kerberos: AS-REQ Pre-Auth（etype 23）ハッシュ
• HTTP: ベーシック認証、フォームフィールド（パスワード、API キー、トークン）
• FTP: USER/PASS コマンド
• IRC: NICK/USER/PASS 認証
• SMTP: AUTH PLAIN および AUTH LOGIN
• IMAP: LOGIN 認証
• POP3: USER/PASS コマンド
• LDAP: シンプルバインド（平文パスワード）
• SNMP: コミュニティストリング（v1/v2c）
• MSSQL: TDS プロトコル認証
• クレジットカード: カード番号の抽出（オプション）

出力形式

• Hashcat 互換: すべてのハッシュは hashcat で直接使用できる形式に整形されます
  • NTLMv1: -m 5500
  • NTLMv2: -m 5600
  • Kerberos: -m 7500
• 整理されたログ: 認証情報の種類ごとに logs/ ディレクトリ内の個別ファイルへ保存
• セッションログ: CredentialDump-Session.log に完全なタイムラインを記録
• 重複排除: 同じ認証情報は 1 回だけログに記録（-v フラグ使用時を除く）

リンク層サポート

• Ethernet（DLT_EN10MB）
• Linux Cooked Capture（DLT_LINUX_SLL）
• Raw IP（DLT_RAW）
• 自動検出: リンク層タイプの判別

インストール

Docker（推奨）

# Build the container
docker build -t pcredz .

# Run with current directory mounted
docker run --rm -v $(pwd):/data pcredz -f /data/capture.pcap

# For live capture (requires --net=host)
docker run --rm --net=host -v $(pwd):/data pcredz -i eth0 -v

Linux

Debian/Ubuntu:

sudo apt-get install python3-pip libpcap-dev
pip3 install pcapy-ng

Fedora/RHEL:

sudo dnf install python3-pip libpcap-devel
pip3 install pcapy-ng

Arch Linux:

sudo pacman -S python-pip libpcap
pip3 install pcapy-ng

使用方法

基本的な例

# Parse a single PCAP file
./Pcredz -f capture.pcap

# Parse all PCAP files in a directory (recursive)
./Pcredz -d /path/to/pcap/directory/

# Live capture on an interface (requires root)
sudo ./Pcredz -i eth0

# Verbose mode (show duplicate credentials)
./Pcredz -f capture.pcap -v

# Custom output directory
./Pcredz -f capture.pcap -o /tmp/pcredz-output/

オプション

Required (choose one):
  -f FILE         PCAP file to parse
  -d DIR          Directory to parse recursively
  -i INTERFACE    Interface for live capture

Optional:
  -v              Verbose mode (print duplicate credentials)
  -t              Print timestamps
  -o DIR          Output directory for logs (default: ./)
  -c              Disable credit card scanning
  --disable PROTO Disable protocol (can be used multiple times)
                  Options: NTLM, HTTP, FTP, IRC, LDAP, SMTP, Kerberos, SNMP, MSSQL
  --exclude-host IP  Exclude host IP from capture (can be used multiple times)
  -h              Show help message

出力ファイル

すべての認証情報は logs/ ディレクトリに保存されます：

logs/
├── NTLMv1.txt              # NTLMv1 hashes (hashcat -m 5500)
├── NTLMv2.txt              # NTLMv2 hashes (hashcat -m 5600)
├── MSKerb.txt              # Kerberos hashes (hashcat -m 7500)
├── HTTP-Basic.txt          # HTTP Basic auth credentials
├── HTTP-PasswordFields.txt # HTTP form fields and API keys
├── FTP-Plaintext.txt       # FTP credentials
├── IRC-Plaintext.txt       # IRC credentials
├── SMTP-Plaintext.txt      # SMTP credentials
├── LDAP-Simple.txt         # LDAP Simple Bind credentials
├── MSSQL-Plaintext.txt     # MSSQL credentials
└── SNMPv1.txt              # SNMP community strings

さらにセッションログ：

CredentialDump-Session.log  # Complete session with timestamps

使用例

NTLM ハッシュの抽出

./Pcredz -f capture.pcap

# Output:
# 192.168.1.10:445 > 192.168.1.20:1024
# NTLMv2 complete hash is: admin::DOMAIN:1122334455667788:ABC123...

# Use with hashcat:
hashcat -m 5600 logs/NTLMv2.txt wordlist.txt

ライブキャプチャ

sudo ./Pcredz -i eth0 -v

# Captures and displays credentials in real-time
# Press Ctrl+C to stop

一括処理

# Process all PCAPs in a directory tree
./Pcredz -d /forensics/network-captures/

# Parsing /forensics/network-captures/day1/morning.pcap...
# Parsing /forensics/network-captures/day1/afternoon.pcap...
# ...

プロトコルフィルタリング

# Disable specific protocols (reduce noise)
./Pcredz -f capture.pcap --disable HTTP --disable SNMP

# Only capture NTLM hashes
./Pcredz -f capture.pcap --disable HTTP --disable FTP --disable IRC \
  --disable LDAP --disable SMTP --disable Kerberos --disable SNMP --disable MSSQL

# Focus on cleartext credentials only
./Pcredz -f capture.pcap --disable NTLM --disable Kerberos

ホスト除外

# Exclude your own IP during live capture (common use case)
sudo ./Pcredz -i eth0 --exclude-host 192.168.1.50 -v

# Exclude multiple hosts
./Pcredz -f capture.pcap --exclude-host 192.168.1.100 --exclude-host 10.0.0.5

# Pentesting: capture target credentials, not your own
sudo ./Pcredz -i eth0 --exclude-host $(hostname -I | awk '{print $1}') -v

パフォーマンス

最適化

• ファイル I/O キャッシュ: 冗長なファイル読み取りを回避（10〜100 倍高速化）
• 正規表現の事前コンパイル: コンパイル済みパターンをキャッシュ（2〜5 倍高速化）
• スマートな重複排除: 検出済み認証情報のメモリ内追跡
• リンク層検出: オフセットを自動検出してキャッシュ（オーバーヘッド最小）

ベンチマーク

最新のハードウェアでの一般的なパフォーマンス：

• 小規模ファイル（10MB 未満）: 1 秒未満
• 中規模ファイル（100MB）: 5〜10 秒
• 大規模ファイル（1GB 以上）: 1〜2 分
• ライブキャプチャ: 毎秒 5,000〜10,000 パケット

トラブルシューティング

pcapy-ng が見つからない

pip3 install pcapy-ng
# If that fails:
pip3 install --break-system-packages pcapy-ng

権限拒否（ライブキャプチャ）

ライブキャプチャには root 権限が必要です：

sudo ./Pcredz -i eth0

認証情報が見つからない

• PCAP に想定したプロトコルが含まれていることを確認してください（Wireshark を使用）
• トラフィックが暗号化されていないことを確認してください（HTTPS、SSH など）
• すべてのアクティビティを確認するには verbose モード（-v）を試してください
• リンク層タイプがサポートされていることを確認してください

コントリビューション

バグを発見した場合や機能を追加したい場合は、コントリビューションを歓迎します！

1. 変更を徹底的にテストしてください
2. 既存のコードスタイルに従ってください
3. 新機能の例を追加してください
4. ドキュメントを更新してください

ライセンス

GNU General Public License v3.0

作者

Laurent Gaffie

• メール: [email protected]
• X/Twitter: @secorizon
• GitHub: lgandx/PCredz