linWinPwn — швейцарский армейский нож для пентеста Active Directory с использованием Linux

Описание

linWinPwn — это bash-скрипт, который оборачивает ряд инструментов Active Directory для перечисления (LDAP, RPC, ADCS, MSSQL, Kerberos, SCCM), проверки уязвимостей (noPac, ZeroLogon, MS17-010, MS14-068), модификации объектов (смена пароля, добавление пользователя в группу, RBCD, Shadow Credentials) и дампа паролей (secretsdump, lsassy, nanodump, DonPAPI). Скрипт упрощает использование большого количества инструментов: impacket, bloodhound, netexec, enum4linux-ng, ldapdomaindump, lsassy, smbmap, kerbrute, certipy, silenthound, bloodyAD, DonPAPI и многих других.

Установка

Клонируйте репозиторий через Git и установите зависимости с помощью скрипта install.sh

git clone https://github.com/lefayjey/linWinPwn
cd linWinPwn
chmod +x install.sh
./install.sh

Либо используйте готовый Docker-образ из Docker Hub

docker pull lefayjey/linwinpwn:latest

# Add linWinPwn_docker to PATH
echo -e "docker run --rm --init -it --net=host -v \$(pwd):/opt/lwp-output lefayjey/linwinpwn:latest \$@" | sudo tee "/usr/local/sbin/linWinPwn_docker"
sudo chmod 755 /usr/local/sbin/linWinPwn_docker
# Run linWinPwn_docker (output to host's current directory)
linWinPwn_docker -t <DC_IP>
linWinPwn_docker -t <DC_IP> -d <domain> -u <user> -p <password> --auto

Или соберите из исходников

docker build -t linwinpwn .
docker run --rm --init -it --net=host -v $(pwd):/opt/lwp-output linwinpwn -t <DC_IP>

Использование

Режим

Скрипт linWinPwn может выполняться в интерактивном режиме (по умолчанию) или в автоматическом режиме (только перечисление).

1. Интерактивный режим (по умолчанию) — Открывает интерактивное меню для раздельного запуска проверок

linWinPwn -t <Domain_Controller_IP> [-d <AD_domain> -u <AD_user> -p <AD_password> -H <hash[LM:NT]> -K <kerbticket[./krb5cc_ticket]> -A <AES_key> -C <cert[./cert.pfx]> -o <output_dir>]

2. Автоматический режим — С помощью параметра --auto запускаются инструменты перечисления (без эксплуатации, модификаций или дампа паролей)

При использовании автоматического режима выполняются различные проверки в зависимости от метода аутентификации.

Неаутентифицированный (учётные данные не предоставлены)
- Анонимное перечисление с использованием netexec, enum4linux-ng, ldapdomaindump, ldeep
- Брутфорс RID с использованием netexec
- Распыление пользователей kerbrute
- Проверка аутентификации Pre2k по собранному списку компьютеров
- ASREPRoast с использованием собранного списка пользователей (и взлом хешей с помощью john-the-ripper и словаря rockyou)
- Слепой Kerberoast
- Эксплуатация CVE-2022-33679
- Проверка незащищённых обновлений DNS для злоупотребления AS-REQ с использованием krbjack
- Анонимное перечисление SMB-ресурсов на выявленных серверах
- Перечисление служб WebDav, dfscoerce, shadowcoerce и Spooler на выявленных серверах
- Проверка уязвимостей ms17-010, zerologon, petitpotam, nopac, smb-sigining, ntlmv1, runasppl

linWinPwn -t <Domain_Controller_IP> --auto [-o <output_dir>]

Аутентифицированный (с использованием пароля, NTLM-хеша, Kerberos-билета, AES-ключа или pfx-сертификата)
- Извлечение DNS с использованием netexec
- Сбор данных BloodHound
- Перечисление с использованием netexec, enum4linux-ng, ldapdomaindump, bloodyAD, sccmhunter, rdwatool, sccmhunter, GPOParser
- Генерация словаря для взлома паролей
- Поиск netexec учётных записей с user=pass
- Проверка аутентификации Pre2k на доменных компьютерах
- Извлечение информации ADCS с использованием certipy и certi.py
- Поиск kerbrute учётных записей с user=pass
- ASREPRoasting (и взлом хешей с помощью john-the-ripper и словаря rockyou)
- Kerberoasting (и взлом хешей с помощью john-the-ripper и словаря rockyou)
- Целевой Kerberoasting (и взлом хешей с помощью john-the-ripper и словаря rockyou)
- Перечисление SMB-ресурсов на всех доменных серверах с использованием smbmap, FindUncommonShares и spider_plus из cme
- Перечисление служб WebDav, dfscoerce, shadowcoerce и Spooler на всех доменных серверах (с использованием cme, Coercer и RPC Dump)
- Проверка уязвимостей ms17-010, ms14-068, zerologon, petitpotam, nopac, smb-signing, ntlmv1, runasppl, certifried, ldapnightmare, badsuccessor
- Проверка путей повышения привилегий mssql
- Проверка возможностей ретрансляции mssql

linWinPwn -t <Domain_Controller_IP>  -d <AD_domain> -u <AD_user> [-p <AD_password> -H <hash[LM:NT]> -K <kerbticket[./krb5cc_ticket]> -A <AES_key> -C <cert[./cert.pfx]>] [-o <output_dir>] --auto

Параметры

Auto config — Выполнить синхронизацию NTP с целевым DC и добавить запись в /etc/hosts перед запуском модулей

linWinPwn -t <Domain_Controller_IP> --auto-config

LDAPS — Использовать LDAPS вместо LDAP (порт 636)

linWinPwn -t <Domain_Controller_IP> --ldaps

Force Kerberos Auth — Принудительно использовать аутентификацию Kerberos вместо NTLM (когда это возможно)

linWinPwn -t <Domain_Controller_IP> --force-kerb

Verbose — Включить все подробные и отладочные выводы

linWinPwn -t <Domain_Controller_IP> --verbose

Interface — Выбрать сетевой интерфейс атакующего

linWinPwn -t <Domain_Controller_IP> -I tun0
linWinPwn -t <Domain_Controller_IP> --interface eth0

Targets — Выбрать цели для сканирования (DC, All, IP=IP_or_hostname, File=./path_to_file)

linWinPwn -t <Domain_Controller_IP> --targets All
linWinPwn -t <Domain_Controller_IP> --targets DC
linWinPwn -t <Domain_Controller_IP> -T IP=192.168.0.1
linWinPwn -t <Domain_Controller_IP> -T File=./list_servers.txt

Custom wordlists — Выбрать пользовательские словари пользователей и паролей

linWinPwn -t <Domain_Controller_IP> -U /usr/share/seclists/Usernames/xato-net-10-million-usernames.txt
linWinPwn -t <Domain_Controller_IP> -P /usr/share/seclists/Passwords/xato-net-10-million-passwords.txt

Туннелирование

linWinPwn может быть особенно полезен, когда у вас есть доступ к среде Active Directory только на ограниченное время и вы хотите повысить эффективность процесса перечисления и сбора доказательств. Кроме того, linWinPwn может заменить использование инструментов перечисления на Windows с целью уменьшения количества создаваемых артефактов (например, команд PowerShell, событий Windows, созданных файлов на диске) и обхода некоторых антивирусов или EDR. Это может быть достигнуто путём выполнения удалённого динамического перенаправления портов через создание SSH-туннеля с Windows-хоста (например, VDI-машины, рабочей станции или ноутбука) на удалённую Linux-машину (например, пентест-ноутбук или VPS) и запуска linWinPwn с proxychains.

На Windows-хосте выполните с помощью PowerShell:

ssh.exe kali@<linux_machine> -R 1080 -NCqf

На Linux-машине сначала обновите /etc/proxychains4.conf, добавив socks5 127.0.0.1 1080, затем выполните:

linWinPwn_proxychains -t <Domain_Controller_IP>  -d <AD_domain> -u <AD_user> [-p <AD_password> -H <hash[LM:NT]> -K <kerbticket[./krb5cc_ticket]> -A <AES_key> -C <cert[./cert.pfx]>] [-o <output_dir>] [--auto]

linWinPwn

Популярное