Получение описания учётных записей AD и поиск пароля в нём
Назначение этого инструмента — проверять, хранятся ли пароли в открытом виде в поле описания учётных записей Active Directory.
Требования:
Если у вас нет Python, вы можете использовать .exe-версию скриптов из папки binary этого репозитория.
Вы хотите проверить, хранятся ли пароли в поле описания учётных записей Active Directory вашей организации.
Пост-эксплуатация: вы успешно выгрузили ntds.dit и куст SYSTEM, и пока взламываете хэши, вы хотите проверить, нет ли открытых паролей в поле описания учётных записей Active Directory.
Установите зависимости
$ git clone https://github.com/AssuranceMaladieSec/AD-description-password-finder.git
$ pip3 install -r requirements.txt
> python check_description.py -h
usage: check_description.py [-h] [-system SYSTEM] [-ntds NTDS] [-ts] [-debug]
optional arguments:
-h, --help show this help message and exit
-system SYSTEM SYSTEM hive to parse. MANDATORY
-ntds NTDS NTDS.DIT file to parse. MANDATORY
-ts Adds timestamp to every logging output during hashes extraction
-debug Turn DEBUG output ON during hashes extraction
> python check_description.py -ntds ntds\ntds.dit -system ntds\SYSTEM
Extracting hash and descriptions in the ntds
Saving output to ntds/output.ntds
Creating hash file in './output/description_hashes.json' and plain text file in './output/description_plain.json'
Done!
Loading ./output/description_hashes.json
Loading ./output/description_plain.json
Loading ./ntds/output.ntds
We have 9 user's descriptions to analyze
Done!
We found 4 CONFIRMED password in the accounts description
2 accounts are SUSPECTED of exposing their passwords and need to be verified by a HUMAN
You can find the results in the file ./results/2022-07-21_17h8_results.txt
That's all folks!
CONFIRMED_LEAK - Disabled user - password for user adm-test-alice2 found in description: Achanger6Achanger6!
CONFIRMED_LEAK - Enabled (probably) user - password for user adm-test-alice found in description: Achanger1Achanger2!
SUSPECTED_LEAK - Enabled (probably) user - SUSPECTED password for user anakin in the description: here we go "pwd=test01!"
SUSPECTED_LEAK - Enabled (probably) user - SUSPECTED password for user ahsoka in the description: The new one for test (password=test054!)
CONFIRMED_LEAK - Enabled (probably) user - password for user mariatest02 found in description: test02!
CONFIRMED_LEAK - Enabled (probably) user - password for user blanqui found in description: woof01!
Этот инструмент использует модифицированную версию кода secretdump из библиотеки Impacket.
Impacket — это инструмент SECUREAUTH LABS. Copyright (C) 2022 SecureAuth Corporation. Все права защищены.
GNU GENERAL PUBLIC LICENSE (GPL) Version 3