Ferramenta de Auditoria de Senhas de Domínio (DPAT)

O DPAT é uma ferramenta de segurança baseada em Python que analisa hashes de senhas extraídos de controladores de domínio do Active Directory. Ela gera relatórios HTML abrangentes mostrando estatísticas de uso de senhas, violações de políticas e insights de segurança a partir de dumps NTDS e resultados de quebra de senhas.

Relatórios de Exemplo

Recursos

• Análise Abrangente de Senhas: Analise distribuições de comprimento de senhas, padrões de reutilização e violações de políticas
• Relatórios HTML Interativos: Gere relatórios HTML detalhados e clicáveis com capacidade de aprofundamento
• Suporte a Histórico de Senhas: Analise dados de histórico de senhas quando disponíveis
• Análise Baseada em Grupos: Inclua estatísticas de associação a grupos para contas privilegiadas
• Análise de Contas Kerberoastáveis: Identifique e analise contas de serviço Kerberoastáveis quebradas
• Quebra de Hash LM: Tente automaticamente quebrar hashes NT a partir de hashes LM parcialmente quebrados
• Sanitização de Dados: Opção para sanitizar dados sensíveis nos relatórios para compartilhamento
• Múltiplos Formatos de Entrada: Suporte para Hashcat, John the Ripper e outras ferramentas de quebra de senhas

Requisitos

• Python 3.8 ou superior
• pycryptodome (para suporte a hash MD4)

Instalação

Instalação Básica

Instale as dependências principais:

pip install -r requirements.txt

Para desenvolvimento e testes:

pip install -r requirements-dev.txt

Instalação Manual

Se preferir instalar as dependências individualmente:

pip install pycryptodome

Usando Poetry

poetry install

Início Rápido

1. Extraia dados NTDS do seu controlador de domínio usando secretsdump.py
2. Quebre senhas usando Hashcat, John the Ripper ou ferramentas similares
3. Execute o DPAT para gerar o relatório de análise

python dpat.py -n customer.ntds -c hashcat.potfile -p 8

Uso

Comando Básico

python dpat.py -n <ntds_file> -c <cracked_file> -p <min_password_length>

Parâmetros Obrigatórios

• -n, --ntdsfile: Arquivo NTDS (saída do secretsdump.py)
• -c, --crackfile: Arquivo de saída de quebra de senhas (hashcat.potfile, john.pot, etc.)
• -p, --minpasslen: Comprimento mínimo de senha da política de domínio

Parâmetros Opcionais

• -o, --outputfile: Nome do arquivo do relatório HTML (padrão: _DomainPasswordAuditReport.html)
• -d, --reportdirectory: Diretório de saída (padrão: "Relatório DPAT")
• -s, --sanitize: Sanitizar senhas e hashes nos relatórios
• -g, --groupsdirectory: Diretório contendo arquivos de associação a grupos
• -m, --machineaccts: Incluir contas de máquina na análise
• -k, --krbtgt: Incluir conta krbtgt na análise
• -kz, --kerbfile: Arquivo contendo contas Kerberoastáveis
• -w, --writedb: Escrever banco de dados SQLite no disco para inspeção
• --no-prompt: Pular prompt do navegador (útil para automação)
• -dbg, --debug: Habilitar saída de depuração

Exemplos de Comandos

Análise básica:

python dpat.py -n customer.ntds -c hashcat.potfile -p 8

Com análise de grupos:

python dpat.py -n customer.ntds -c hashcat.potfile -p 8 -g /caminho/para/grupos

Relatório sanitizado:

python dpat.py -n customer.ntds -c hashcat.potfile -p 8 -s

Com contas Kerberoastáveis:

python dpat.py -n customer.ntds -c hashcat.potfile -p 8 -kz kerberoastable.txt

Formatos de Arquivos de Entrada

Formato do Arquivo NTDS

O arquivo NTDS deve estar no formato de saída do secretsdump.py:

domínio\usuário:RID:lmhash:nthash:::

Formatos de Arquivos de Senhas Quebradas

Formato Hashcat:

nthash:senha
lmhash:senha

Formato John the Ripper:

$NT$nthash:senha
$LM$lmhash:senha

Senhas codificadas em hexadecimal:

nthash:$HEX[68656c6c6f]

Formato dos Arquivos de Grupo

Os arquivos de associação a grupos devem conter um nome de usuário por linha:

domínio\usuário

Extração de Dados

Passo 1: Extrair Dados NTDS

Em um controlador de domínio, crie um backup IFM (Install From Media):

ntdsutil "ac in ntds" "ifm" "cr fu c:\temp" q q

Isso cria:

• c:\temp\Active Directory\ntds.dit
• c:\temp\registry\SYSTEM

Passo 2: Converter para o Formato DPAT

Use o secretsdump.py para converter o backup:

secretsdump.py -system registry/SYSTEM -ntds "Active Directory/ntds.dit" LOCAL -outputfile customer

Para histórico de senhas (se disponível):

secretsdump.py -system registry/SYSTEM -ntds "Active Directory/ntds.dit" LOCAL -outputfile customer -history

Passo 3: Quebrar Senhas

Usando Hashcat:

hashcat -m 1000 customer.ntds /caminho/para/wordlist

Usando John the Ripper:

john --format=NT customer.ntds

Seções do Relatório

O DPAT gera relatórios abrangentes incluindo:

• Estatísticas de Senhas: Total de hashes, hashes únicos, senhas quebradas
• Violações de Política de Senhas: Senhas mais curtas que o mínimo da política
• Correspondências Nome de Usuário/Senha: Contas que usam o nome de usuário como senha
• Análise de Hashes LM: Hashes LM não vazios e estatísticas de quebra
• Distribuição de Comprimento de Senhas: Análise detalhada de comprimento com aprofundamento
• Reutilização de Senhas: Senhas compartilhadas entre múltiplas contas
• Principais Senhas: Senhas mais comumente usadas
• Histórico de Senhas: Análise histórica de senhas (quando disponível)
• Estatísticas de Grupos: Análise de grupos privilegiados (quando arquivos de grupo são fornecidos)
• Contas Kerberoastáveis: Análise de contas de serviço (quando fornecidas)

Dados de Exemplo

O repositório inclui dados de exemplo no diretório sample_data/ para testes:

• customer.ntds: Arquivo NTDS de exemplo
• oclHashcat.pot: Senhas quebradas de exemplo
• history/: Dados de exemplo com histórico de senhas

Teste com os dados de exemplo:

python dpat.py -n sample_data/customer.ntds -c sample_data/oclHashcat.pot -p 8

Recursos Avançados

Análise de Grupos

Crie arquivos de associação a grupos usando PowerShell:

Get-NetGroupMember -Recurse -GroupName "Domain Admins" > "Domain Admins.txt"

Análise de Contas Kerberoastáveis

Use o script parse-kerberoastable.py do CypherHound para gerar arquivos de contas Kerberoastáveis para análise aprimorada.

Integração com CypherHound

Você pode conectar arquivos gerados pelo CypherHound ao DPAT para fornecer mais estatísticas aos relatórios do DPAT. Atualmente, as estatísticas extras são:

• Estatísticas de quebra de grupos para cada grupo em um domínio específico
• Contas kerberoastáveis quebradas

Se você deseja utilizá-lo para fornecer essas estatísticas extras, precisará usar os scripts aqui:

• parse-memberships.py. Passe o diretório de saída para o DPAT com a flag -g.
• parse-kerberoastable.py. Passe o arquivo de saída para o DPAT com a flag -kz.

Eles são scripts simples com uso vinculado acima e usá-los deve ser direto.

Sanitização de Dados

Use a flag -s para criar relatórios sanitizados adequados para compartilhamento:

python dpat.py -n customer.ntds -c hashcat.potfile -p 8 -s

Solução de Problemas

Problemas Comuns

"No module named 'distutils'"

• Isso é esperado no Python 3.12+. O DPAT lida com isso automaticamente.

Relatórios vazios

• Verifique se o formato do seu arquivo NTDS corresponde ao formato esperado
• Verifique se o arquivo de senhas quebradas contém hashes correspondentes
• Certifique-se de que o parâmetro de comprimento mínimo de senha está correto

Links de detalhes ausentes

• Algumas seções do relatório podem não ter páginas de detalhes se nenhum dado for encontrado
• Este é um comportamento normal para categorias vazias

Modo de Depuração

Habilite a saída de depuração para solução de problemas:

python dpat.py -n customer.ntds -c hashcat.potfile -p 8 -dbg

Testes

Execute a suíte de testes:

python -m unittest tests.unit.test_core -v
python -m unittest tests.integration.test_integration -v

Contribuindo

1. Faça um fork do repositório
2. Crie um branch de funcionalidade
3. Faça suas alterações
4. Adicione testes para novas funcionalidades
5. Envie um pull request

Licença

Este projeto está licenciado sob a Licença MIT - consulte o arquivo LICENSE para obter detalhes.

Créditos

• Carrie Roberts - Autora original
• Dylan Evans - Colaborador

Originalmente Patrocinado por:

Suporte

Para problemas, dúvidas ou contribuições, utilize o rastreador de issues do GitHub.