dploot

dploot é uma reescrita em Python do SharpDPAPI escrito em C# por Harmj0y, que por sua vez é um port do DPAPI do Mimikatz de gentilkiwi. Ele implementa toda a lógica DPAPI dessas ferramentas, mas desta vez é utilizável com um interpretador Python e a partir de um ambiente Linux.

Se você não sabe o que é DPAPI, confira este post.

Índice

• dploot
  • Índice
  • Instalação
  • Uso
    • Protocolos
    • Kerberos
  • Como usar
    • Acesso remoto via SMB
    • Acesso remoto via WMI
    • Acesso remoto via WinRM
    • Acesso remoto via MSSQL
    • Acesso ao sistema de arquivos local
    • Acesso remoto via Cobalt Strike
    • Como administrador de domínio
    • Como não administrador de domínio
  • Comandos
    • Triagem de Usuário
      • masterkeys
      • credentials
      • vaults
      • rdg
      • certificates
      • browser
      • cng
      • wam
      • mobaxterm
      • triage
    • Triagem de Máquina
      • machinemasterkeys
      • machinecredentials
      • machinevaults
      • machinecertificates
      • machinecng
      • machinetriage
    • Diversos
      • wifi
      • sccm
      • backupkey
      • blob
  • Créditos

Instalação

Você pode instalar o dploot diretamente do PyPI com pipx:

pipx install git+https://github.com/zblurx/dploot.git

OU

pipx install dploot

No Kali Linux, você pode instalar o dploot a partir dos repositórios:

sudo apt install python3-dploot

Uso

dploot (https://github.com/zblurx/dploot) v4.0.0 by @_zblurx
usage: dploot [-h]
              {backupkey,blob,browser,certificates,cng,credentials,machinecertificates,machinecng,machinecredentials,machinemasterkeys,machinetriage,machinevaults,masterkeys,mobaxterm,rdg,sccm,triage,vaults,wam,wifi}
              ...

DPAPI looting in Python

positional arguments:
  {backupkey,blob,browser,certificates,cng,credentials,machinecertificates,machinecng,machinecredentials,machinemasterkeys,machinetriage,machinevaults,masterkeys,mobaxterm,rdg,sccm,triage,vaults,wam,wifi}
                        Action
    backupkey           Backup Keys from domain controller
    blob                Decrypt DPAPI blob. Can fetch masterkeys on target
    browser             Dump users credentials and cookies saved in browser from local or remote target
    certificates        Dump users certificates from local or remote target
    cng                 Dump users CNG files blob from local or remote target
    credentials         Dump users Credential Manager blob from local or remote target
    machinecertificates
                        Dump system certificates from local or remote target
    machinecng          Dump system CNG files from local or remote target
    machinecredentials  Dump system credentials from local or remote target
    machinemasterkeys   Dump system masterkey from local or remote target
    machinetriage       Loot SYSTEM Masterkeys (if not set), SYSTEM credentials, SYSTEM certificates and SYSTEM vaults from local or remote target
    machinevaults       Dump system vaults from local or remote target
    masterkeys          Dump users masterkey from local or remote target
    mobaxterm           Dump Passwords and Credentials from MobaXterm
    rdg                 Dump users saved password information for RDCMan.settings from local or remote target
    sccm                Dump SCCM secrets (NAA, Collection variables, tasks sequences credentials) from local or remote target
    triage              Loot Masterkeys (if not set), credentials, rdg, certificates, browser and vaults from local or remote target
    vaults              Dump users Vaults blob from local or remote target
    wam                 Dump users cached azure tokens from local or remote target
    wifi                Dump wifi profiles from local or remote target

options:
  -h, --help            show this help message and exit

Protocolos

dploot v4.0.0+ suporta múltiplos protocolos de rede para acesso remoto. Você seleciona o protocolo usando --protocol <protocol_name>. Cada protocolo tem capacidades e requisitos diferentes:

• smb (padrão): Usa SMB/RPC para acesso remoto a arquivos e operações de registro. Funciona com a maioria dos alvos Windows. Suporta autenticação Kerberos. Funciona com impacket
• wmi: Usa Windows Management Instrumentation (DCOM) para execução remota e operações de registro. Alternativa útil ao SMB. Suporta autenticação Kerberos. Funciona com impacket
• winrm: Usa Windows Remote Management para operações baseadas em PowerShell. Comum em ambientes modernos. Funciona com pypsrp
• mssql: Conecta via MSSQL Server. Suporta autenticação de banco de dados de domínio e local. Suporta autenticação Kerberos. Funciona com impacket
• local: Acessa diretamente um sistema de arquivos Windows montado ou copiado (sem necessidade de conexão de rede). Útil para análise offline de unidades físicas ou imagens de disco.
• cobaltstrike: Executa operações através de uma API REST de beacon do Cobalt Strike. Útil para operações de red team com infraestrutura Cobalt Strike.

Exemplo usando o protocolo WMI:

$ dploot masterkeys --protocol wmi -d waza.local -u Administrator -p 'Password!123' -t 192.168.57.5

Exemplo usando protocolo local (sistema de arquivos offline):

$ dploot masterkeys --protocol local --root /mnt/c_drive -u bob -p Password

Notas importantes sobre o suporte a comandos:

• A maioria dos comandos suporta todos os protocolos. No entanto, backupkey funciona apenas com o protocolo SMB (requer acesso ao controlador de domínio).
• Apenas o protocolo smb suporta o dump LSA para extrair automaticamente a chave de máquina DPAPI. Para os outros protocolos, você terá que fornecê-la por conta própria com --dpapi-system-key.

Kerberos

O dploot pode autenticar com Kerberos para os protocolos smb, wmi e mssql. Use -k para habilitar Kerberos com fallback para NTLM. Se quiser usar um ticket em cache, use --use-kcache. Para usar uma chave AES, use --aesKey.

$ dploot masterkeys -d waza.local -u Administrator -k -t 192.168.57.5

Como usar

O objetivo do dploot é simplificar o loot relacionado ao DPAPI a partir de uma máquina Linux. Como você usa esta ferramenta depende do seu nível de acesso e da configuração do alvo.

Acesso remoto via SMB

O protocolo padrão é o SMB. Esta é a abordagem mais comum para o loot de DPAPI e funciona com o compartilhamento de arquivos padrão do Windows:

$ dploot masterkeys -d waza.local -u Administrator -p 'Password!123' -t 192.168.57.5
[*] Connected to 192.168.57.5 as waza.local\Administrator (admin)

[*] Triage ALL USERS masterkeys