Domain Password Audit Tool (DPAT)

DPAT — это инструмент безопасности на Python для анализа хэшей паролей, извлечённых из контроллеров домена Active Directory. Он генерирует подробные HTML-отчёты с информацией об использовании паролей, нарушениях политик и выводами о безопасности на основе дампов NTDS и результатов подбора паролей.

Примеры отчётов

Возможности

• Комплексный анализ паролей: анализ распределения длины паролей, повторений и нарушений политик
• Интерактивные HTML-отчёты: создание подробных, кликабельных HTML-отчётов с возможностью детализации
• Поддержка истории паролей: анализ данных истории паролей при их наличии
• Групповой анализ: включение статистики по членству в группах для привилегированных учётных записей
• Анализ Kerberoastable учётных записей: выявление и анализ взломанных сервисных учётных записей Kerberoast
• Взлом LM-хэшей: автоматическая попытка взлома NT-хэшей из частично взломанных LM-хэшей
• Санитизация данных: возможность обезличивания чувствительных данных в отчётах для обмена
• Поддержка различных форматов ввода: поддержка Hashcat, John the Ripper и других инструментов подбора паролей

Требования

• Python 3.8 или новее
• pycryptodome (для поддержки хэшей MD4)

Установка

Базовая установка

Установка основных зависимостей:

pip install -r requirements.txt

Для разработки и тестирования:

pip install -r requirements-dev.txt

Установка вручную

Если вы предпочитаете устанавливать зависимости по отдельности:

pip install pycryptodome

Использование Poetry

poetry install

Быстрый старт

1. Извлеките данные NTDS из контроллера домена с помощью secretsdump.py
2. Взломайте пароли с помощью Hashcat, John the Ripper или аналогичных инструментов
3. Запустите DPAT для генерации аналитического отчёта

python dpat.py -n customer.ntds -c hashcat.potfile -p 8

Использование

Основная команда

python dpat.py -n <ntds_file> -c <cracked_file> -p <min_password_length>

Обязательные параметры

• -n, --ntdsfile: файл NTDS (вывод secretsdump.py)
• -c, --crackfile: файл с результатами подбора паролей (hashcat.potfile, john.pot и т.д.)
• -p, --minpasslen: минимальная длина пароля согласно политике домена

Дополнительные параметры

• -o, --outputfile: имя HTML-файла отчёта (по умолчанию: _DomainPasswordAuditReport.html)
• -d, --reportdirectory: каталог вывода (по умолчанию: "DPAT Report")
• -s, --sanitize: обезличивание паролей и хэшей в отчётах
• -g, --groupsdirectory: каталог с файлами членства в группах
• -m, --machineaccts: включение учётных записей компьютеров в анализ
• -k, --krbtgt: включение учётной записи krbtgt в анализ
• -kz, --kerbfile: файл с Kerberoastable учётными записями
• -w, --writedb: запись базы данных SQLite на диск для проверки
• --no-prompt: пропустить приглашение браузера (полезно для автоматизации)
• -dbg, --debug: включение отладочного вывода

Примеры команд

Базовый анализ:

python dpat.py -n customer.ntds -c hashcat.potfile -p 8

С анализом групп:

python dpat.py -n customer.ntds -c hashcat.potfile -p 8 -g /path/to/groups

Обезличенный отчёт:

python dpat.py -n customer.ntds -c hashcat.potfile -p 8 -s

С Kerberoastable учётными записями:

python dpat.py -n customer.ntds -c hashcat.potfile -p 8 -kz kerberoastable.txt

Форматы входных файлов

Формат файла NTDS

Файл NTDS должен быть в формате, выдаваемом secretsdump.py:

domain\username:RID:lmhash:nthash:::

Форматы файлов взломанных паролей

Формат Hashcat:

nthash:password
lmhash:password

Формат John the Ripper:

$NT$nthash:password
$LM$lmhash:password

Шестнадцатерично закодированные пароли:

nthash:$HEX[68656c6c6f]

Формат файлов групп

Файлы членства в группах должны содержать по одному имени пользователя в строке:

domain\username

Извлечение данных

Шаг 1: Извлечение данных NTDS

На контроллере домена создайте резервную копию IFM (Install From Media):

ntdsutil "ac in ntds" "ifm" "cr fu c:\temp" q q

Будут созданы:

• c:\temp\Active Directory\ntds.dit
• c:\temp\registry\SYSTEM

Шаг 2: Преобразование в формат DPAT

Используйте secretsdump.py для преобразования резервной копии:

secretsdump.py -system registry/SYSTEM -ntds "Active Directory/ntds.dit" LOCAL -outputfile customer

Для истории паролей (если доступна):

secretsdump.py -system registry/SYSTEM -ntds "Active Directory/ntds.dit" LOCAL -outputfile customer -history

Шаг 3: Взлом паролей

Используя Hashcat:

hashcat -m 1000 customer.ntds /path/to/wordlist

Используя John the Ripper:

john --format=NT customer.ntds

Разделы отчёта

DPAT генерирует подробные отчёты, включающие:

• Статистика паролей: общее количество хэшей, уникальных хэшей, взломанных паролей
• Нарушения политики паролей: пароли короче минимальной длины по политике
• Совпадения имени пользователя и пароля: учётные записи, использующие имя пользователя в качестве пароля
• Анализ LM-хэшей: непустые LM-хэши и статистика их взлома
• Распределение длины паролей: подробный анализ длины с возможностью детализации
• Повторное использование паролей: общие пароли для нескольких учётных записей
• Самые популярные пароли: наиболее часто используемые пароли
• История паролей: анализ исторических паролей (при наличии)
• Статистика групп: анализ привилегированных групп (при предоставлении файлов групп)
• Kerberoastable учётные записи: анализ сервисных учётных записей (при предоставлении)

Пример данных

В репозитории есть пример данных в каталоге sample_data/ для тестирования:

• customer.ntds: пример файла NTDS
• oclHashcat.pot: пример взломанных паролей
• history/: пример данных с историей паролей

Тестирование с примером данных:

python dpat.py -n sample_data/customer.ntds -c sample_data/oclHashcat.pot -p 8

Расширенные возможности

Анализ групп

Создайте файлы членства в группах с помощью PowerShell:

Get-NetGroupMember -Recurse -GroupName "Domain Admins" > "Domain Admins.txt"

Анализ Kerberoastable учётных записей

Используйте скрипт parse-kerberoastable.py из CypherHound для генерации файлов Kerberoastable учётных записей для расширенного анализа.

Интеграция с CypherHound

Вы можете передавать в DPAT файлы, сгенерированные CypherHound, чтобы добавить больше статистики в отчёты DPAT. В настоящее время дополнительные статистики включают:

• Статистику взлома по каждой группе в заданном домене
• Взломанные Kerberoastable учётные записи

Если вы хотите использовать это для получения дополнительной статистики, вам потребуются следующие скрипты:

• parse-memberships.py. Передайте каталог вывода DPAT с флагом -g.
• parse-kerberoastable.py. Передайте файл вывода DPAT с флагом -kz.

Это простые скрипты, ссылки на использование приведены выше; их использование должно быть очевидным.