Gladius

Modo fácil do Responder para Credenciais

Autor: Cory Duplantis (@ctfhacker) / blog

Post no blog sobre Gladius

asciicast

Gladius fornece um método automatizado para quebrar credenciais de várias fontes durante um engagement. Atualmente, quebramos hashes do Responder, secretsdump.py e smart_hashdump.

Instalação

pip install watchdog
git clone https://www.github.com/praetorian-inc/gladius
cd gladius
git clone https://www.github.com/praetorian-inc/Hob0Rules
cp Hob0Rules/* .
rm -rf Hob0Rules/

Iniciar

python gladius.py --hashcat ../hashcat/hashcat-cli64.bin -r d3adhob0.rule -w rockyou.txt

Agora inicie a sessão do responder como de costume

cd /usr/share/responder
python Responder.py -i YOUR_IP -I YOUR_INTERFACE

Trabalhando com secretsdump

Envie os resultados do secretsdump para o Gladius para análise e quebra.

for ip in $(cat ips); do secretsdump.py DOMAIN/username:password@$ip > /usr/share/responder/secretsdump_$ip; done

Ajuda

$ python gladius.py -h
usage: gladius.py [-h] [-v] [--responder-dir RESPONDER_DIR]
                  [--hashcat HASHCAT] [-r RULESET] [-w WORDLIST] [--no-art]

optional arguments:
  -h, --help            show this help message and exit
  -v, --verbose         Increased output verbosity
  --responder-dir RESPONDER_DIR
                        Directory to watch for Responder output
  --hashcat HASHCAT     Path to hashcat binary
  -r RULESET, --ruleset RULESET
                        Ruleset to use with hashcat
  -w WORDLIST, --wordlist WORDLIST
                        Wordlist to use with hashcat
  --no-art              Disable the sword ascii art for displaying credentials
                        and default to only text.

Funcionamento

Conjunto de Regras

O conjunto de regras padrão é um conjunto melhorado do best64, criado por Julian Dunning (@hob0man) da Praetorian. A apresentação dele sobre o assunto pode ser encontrada abaixo:

Responder

Monitora o log do responder em busca de arquivos *NTLM*txt. Para cada arquivo encontrado, analisa a saída, cria um arquivo temporário contendo os novos hashes e passa isso para o hashcat com o tipo de hash correto.

Para monitorar hashes NTLM do hashdump, basta criar um arquivo com hashes NTLM do hashdump e colocar um arquivo com hashdump no nome no diretório do Responder. Nota: Será necessário examinar manualmente a saída em ./engagement/responderhander_out/* para verificar os resultados da quebra do hashdump.

Credenciais

Monitora a saída do hashcat e exporta arquivos com o seguinte formato:

Domain Username Password

Exemplo de módulo

Para estender o Gladius:

• Crie uma nova classe Handler que herde de GladiusHandler.
• Adicione uma lista de correspondências regex para seus nomes de arquivo específicos (ou '*' se o nome do arquivo não importar)
• Crie uma função process(self, event) para realizar ações em todos os arquivos que correspondam ao seu padrão.

class YourHandler(GladiusHandler):

    patterns = ['*']

    def process(self, event):
        data = self.get_lines(event)

        # Perform work on data

Adicione-se à lista de handlers

handlers = [
            (ResponderHandler, args.responder,
            (CredsHandler, ResponderHandler().outpath),
            (YourHandler, CredsHandler().outpath),
            (YourHandler, '/tmp'),
           ]