Invoke-CleverSpray

Active Directory 사용자의 현재 및 이전 비밀번호를 감지하는 비밀번호 스프레이 스크립트 by @flelievre

옵션:

-Password: 스프레이할 비밀번호.
-PasswordFile: 스프레이할 비밀번호 목록이 포함된 파일 경로.
-Username: 대상 사용자의 samAccountName.
-UsernamesFile: 대상 samAccountName 목록이 포함된 파일 경로.
-Domain: 사용자를 쿼리할 도메인, 기본값은 현재 도메인.
-Limit: 'badPwdCount'가 Limit 이하인 사용자만 대상으로 함 (계정 잠금 방지를 위해 기본값은 1).
-Delay: 인증 시도 간 지연 시간(초).
-Jitter: 인증 시도 지연 시간에 대한 지터.
-HideOld: 발견된 이전 비밀번호 숨기기 (기본값은 false).

사용법: Invoke-CleverSpray 가져오기:

Import-Module .\Invoke-CleverSpray.ps1

단일 비밀번호 스프레이:

Invoke-CleverSpray -Password "Passw0rd"

다중 비밀번호 스프레이:

Invoke-CleverSpray -PasswordFile ".\pwd_list.txt"

동작 방식:

• Get-NetDomain (PowerView, @harmj0y)을 사용하여 기본 또는 지정된 도메인을 검색하고 (-Domain 매개변수로 도메인 지정 가능) 인증 요청을 보낼 PDCe를 식별합니다 (도메인 PDCe가 도메인 사용자의 'badPwdCount' 속성을 중앙 집중화하기 때문).
• Get-NetUser (PowerView, @harmj0y)를 사용하거나 지정된 파일(-UsernamesFile)에서 모든 도메인 사용자 계정을 검색합니다.
• 각 사용자에 대해 'badPwdCount' 속성이 인수(-Limit)로 전달된 임계값보다 낮은지 확인하고, 낮으면:
  • 제공된 비밀번호(-Password) 또는 지정된 비밀번호 목록 파일(-PasswordFile) 내의 비밀번호를 사용하여 각 사용자 계정으로 인증을 시도합니다.
    • 인증이 성공하면 사용자의 현재 비밀번호가 발견됩니다.
    • 인증이 실패하면:
      • 사용자의 'badPwdCount' 속성이 증가했는지 확인합니다: 증가하지 않았다면 제공된 비밀번호는 사용자 계정의 이전 비밀번호입니다 (창의력을 발휘하여 사용자의 비밀번호 생성 패턴을 감지해 실제 비밀번호를 추측해보세요 ;).
      • 사용자의 'badPwdCount' 속성이 증가했다면 해당 사용자에 대해 이전 또는 현재 비밀번호를 찾지 못한 것입니다.
  • 지연 시간(-Delay)이 설정된 경우 Delay +/- Jitter(-Jitter)만큼 대기하거나 도메인의 다음 사용자로 바로 스프레이합니다.

경고: 기본 -Limit은 1로 설정됩니다 (즉, 'badPwdCount'가 1 이하인 사용자 계정만 대상이 됩니다). 더 많은 사용자를 대상으로 하려면 위험을 감수하고 이 값을 증가시킬 수 있습니다. 사용자가 잠기지 않을 것이라고 보장할 수 없습니다.

**감사의 말: ** @harmj0y님, PowerView를 제공해 주셔서 감사합니다!