Invoke-CleverSpray

Script de Pulverização de Senhas que detecta senhas atuais e anteriores de usuário do Active Directory por @flelievre

Opções:

-Password: Senha para pulverizar.
-PasswordFile: Caminho para o arquivo contendo uma lista de senhas para pulverizar.
-Username: samAccountName do usuário alvo.
-UsernamesFile: Caminho para o arquivo contendo uma lista de samAccountNames para alvo.
-Domain: O domínio para consultar usuários, padrão é o domínio atual.
-Limit: Apenas usuários com 'badPwdCount' menor ou igual ao Limite serão alvo (padrão é 1 para evitar bloqueio de contas).
-Delay: Atraso entre tentativas de autenticação (em segundos).
-Jitter: Jitter para o atraso das tentativas de autenticação.
-HideOld: Ocultar senha antiga descoberta (padrão é falso).

Uso: Importar Invoke-CleverSpray:

Import-Module .\Invoke-CleverSpray.ps1

Pulverizar uma senha única:

Invoke-CleverSpray -Password "Passw0rd"

Pulverizar múltiplas senhas:

Invoke-CleverSpray -PasswordFile ".\pwd_list.txt"

Comportamento:

• Recupera o domínio padrão ou especificado (para especificar um domínio, use o parâmetro -Domain) usando Get-NetDomain do PowerView (@harmj0y) e identifica o PDCe para enviar solicitações de autenticação (porque o PDCe do domínio centraliza os atributos "badPwdCount" para os usuários do domínio)
• Recupera todas as contas de usuário do domínio usando Get-NetUser do PowerView (@harmj0y) ou a partir de um arquivo especificado (-UsernamesFile)
• Para cada usuário, ele verifica se o atributo "badPwdCount" é inferior ao limite definido como argumento (-Limit), se for:
  • Ele tenta autenticar usando a senha fornecida (-Password) ou uma senha dentro de um arquivo de lista de senhas especificado (-PasswordFile) com as contas de cada usuário
    • Se a autenticação for bem-sucedida, a senha atual do usuário foi descoberta
    • Se a autenticação não for bem-sucedida:
      • verifica se o atributo "badPwdCount" do usuário foi incrementado: se não, a senha fornecida é uma senha anterior da conta do usuário (seja criativo, detecte o padrão de criação de senha do usuário para adivinhar a senha atual ;)
      • se o atributo "badPwdCount" do usuário foi incrementado, nenhuma senha anterior ou atual foi encontrada para esse usuário específico
  • Se um atraso for definido (-Delay), aguarde por Delay +/- Jitter (-Jitter) ou pulverize diretamente no próximo usuário do domínio.

AVISO: O Limite padrão é definido como 1 (ou seja, apenas contas de usuário com 'badPwdCount' menor ou igual a 1 serão alvo). Você pode aumentar esse valor por sua conta e risco para atingir mais usuários. Não posso garantir que nenhum usuário será bloqueado.

Saudações: Agradecimentos ao @harmj0y pelo PowerView!