IkeAbuser

Um wrapper de ferramentas simples para automatizar a enumeração, impressão digital e extração de PSK de um gateway VPN IPSec.

Nada sofisticado aqui, apenas um script que montei para economizar tempo durante CTFs e enquanto estudo para o CPENT. Ele encadeia ike-scan, nmap e hashcat para que eu não precise digitar os mesmos comandos repetidamente.

Aviso

Apenas para uso educacional e testes autorizados. Execute isso apenas contra máquinas que você possui ou tem permissão explícita para testar (seu laboratório, máquinas de CTF, etc.). O que você fizer com isso é por sua conta e risco.

O que ele faz

O script percorre as etapas habituais para testar um gateway IKE:

1. Verifica com nmap se a porta UDP 500 ou 4500 está aberta. Se não estiver, ele para.
2. Envia o payload padrão do ike-scan em modo principal para encontrar uma transformação válida. Se os padrões não funcionarem, ele força todas as combinações por força bruta. Se ainda assim não funcionar, ele para.
3. Verifica se o gateway responde a um ID aleatório. Se responder, a força bruta de ID é inútil, então ele para.
4. Caso contrário, ele força por força bruta os IDs a partir de uma wordlist usando modo agressivo.
5. Quando encontra um ID válido, ele captura o hash PSK, salva localmente e quebra offline com o hashcat.

Se você já sabe o ID do grupo (talvez o encontrou em outro lugar, como uma configuração vazada), basta passá-lo com -id e o script pula direto para a extração do PSK.

Requisitos

Você precisa ter estes instalados:

• ike-scan
• nmap
• hashcat
• uma wordlist de senhas (rockyou funciona bem)
• uma wordlist para os IDs (a do seclists é boa: /usr/share/seclists/Miscellaneous/ike-groupid.txt)

Uso

./IkeAbuser.sh -t -pw <password_wordlist> -iw <id_wordlist> [options]

Nota: -iw é obrigatório a menos que você passe -id com um ID de grupo conhecido, caso em que a força bruta de ID (e sua wordlist) é ignorada.

Opções

• -t, --target: IP do alvo (obrigatório)
• -pw, --pwd_wordlist: wordlist para quebrar o PSK (obrigatório)
• -iw, --id_wordlist: wordlist para os IDs de grupo (necessária se você não passar -id)
• -id, --group_id: ID do grupo, se você já o souber. Ignora a força bruta de ID
• -p, --port: porta IKE personalizada, se não estiver na 500/4500
• -vi, --vendor: adiciona informações do fornecedor e impressão digital à saída
• -o, : salva um relatório das descobertas em um arquivo

Exemplos

Você já sabe o ID: ./IkeAbuser.sh -t 10.10.11.87 -id [email protected] -pw /usr/share/wordlists/rockyou.txt (obrigado HTB)

Você não sabe, então force por força bruta: ./IkeAbuser.sh -t 10.10.11.87 -iw /usr/share/seclists/Miscellaneous/ike-groupid.txt -pw /usr/share/wordlists/rockyou.txt

Com informações do fornecedor e relatório salvo: ./IkeAbuser.sh -t 10.10.11.87 -id [email protected] -pw /usr/share/wordlists/rockyou.txt -vi -o report.txt

Notas

• A impressão digital do fornecedor (-vi) usa a detecção de backoff do ike-scan, que pode levar até um minuto. Seja paciente, não está travado.
• O hash PSK é salvo como ike_psk.hash para que você possa retomar a quebra depois com suas próprias regras ou wordlists se a primeira execução não o encontrar.