linWinPwn — Швейцарский нож для пентеста Active Directory с использованием Linux

Описание

linWinPwn — это bash-скрипт, который объединяет множество инструментов для Active Directory: сбор информации (LDAP, RPC, ADCS, MSSQL, Kerberos, SCCM), проверку уязвимостей (noPac, ZeroLogon, MS17-010, MS14-068), изменение объектов (смена пароля, добавление пользователя в группу, RBCD, Shadow Credentials) и извлечение паролей (secretsdump, lsassy, nanodump, DonPAPI). Скрипт упрощает использование большого количества инструментов: impacket, bloodhound, netexec, enum4linux-ng, ldapdomaindump, lsassy, smbmap, kerbrute, certipy, silenthound, bloodyAD, DonPAPI и многих других.

Установка

Клонируйте репозиторий и установите зависимости с помощью скрипта install.sh:

git clone https://github.com/lefayjey/linWinPwn
cd linWinPwn
chmod +x install.sh
./install.sh

Также можно использовать предварительно собранный Docker-образ из Docker Hub:

docker pull lefayjey/linwinpwn:latest

# Добавить linWinPwn_docker в PATH
echo -e "docker run --rm --init -it --net=host -v \$(pwd):/opt/lwp-output lefayjey/linwinpwn:latest \$@" | sudo tee "/usr/local/sbin/linWinPwn_docker"
sudo chmod 755 /usr/local/sbin/linWinPwn_docker
# Запустить linWinPwn_docker (вывод в текущую директорию хоста)
linWinPwn_docker -t <DC_IP>
linWinPwn_docker -t <DC_IP> -d <domain> -u <user> -p <password> --auto

Или собрать из исходников:

docker build -t linwinpwn .
docker run --rm --init -it --net=host -v $(pwd):/opt/lwp-output linwinpwn -t <DC_IP>

Использование

Режим

Скрипт linWinPwn может работать в интерактивном режиме (по умолчанию) или в автоматическом режиме (только сбор информации).

1. Интерактивный режим (по умолчанию) — открывает интерактивное меню для запуска отдельных проверок.

linWinPwn -t <Domain_Controller_IP> [-d <AD_domain> -u <AD_user> -p <AD_password> -H <hash[LM:NT]> -K <kerbticket[./krb5cc_ticket]> -A <AES_key> -C <cert[./cert.pfx]> -o <output_dir>]

2. Автоматический режим — с параметром --auto запускает инструменты сбора информации (без эксплуатации, модификаций или извлечения паролей).

В автоматическом режиме выполняются различные проверки в зависимости от способа аутентификации.

Без аутентификации (учётные данные не предоставлены)
- Анонимный сбор данных с помощью netexec, enum4linux-ng, ldapdomaindump, ldeep
- RID-брутфорс с помощью netexec
- Подбор пользователей через kerbrute
- Проверка аутентификации Pre2k по собранному списку компьютеров
- ASREPRoast по собранному списку пользователей (и взлом хэшей с помощью john-the-ripper и wordlist rockyou)
- Blind Kerberoast
- Эксплуатация CVE-2022-33679
- Проверка небезопасных обновлений DNS для злоупотребления AS-REQ через krbjack
- Анонимное перечисление SMB-ресурсов на обнаруженных серверах
- Поиск сервисов WebDav, dfscoerce, shadowcoerce и Spooler на обнаруженных серверах
- Проверка уязвимостей ms17-010, zerologon, petitpotam, nopac, smb-signing, ntlmv1, runasppl

linWinPwn -t <Domain_Controller_IP> --auto [-o <output_dir>]

С аутентификацией (с использованием пароля, NTLM-хэша, Kerberos-тикета, AES-ключа или сертификата pfx)
- Извлечение DNS через netexec
- Сбор данных для BloodHound
- Сбор информации с помощью netexec, enum4linux-ng, ldapdomaindump, bloodyAD, sccmhunter, rdwatool, sccmhunter, GPOParser
- Генерация wordlist для взлома паролей
- netexec поиск учётных записей с user=pass
- Проверка аутентификации Pre2k на компьютерах домена
- Извлечение информации об ADCS с помощью certipy и certi.py
- kerbrute поиск учётных записей с user=pass
- ASREPRoasting (и взлом хэшей с помощью john-the-ripper и wordlist rockyou)
- Kerberoasting (и взлом хэшей с помощью john-the-ripper и wordlist rockyou)
- Targeted Kerberoasting (и взлом хэшей с помощью john-the-ripper и wordlist rockyou)
- Перечисление SMB-ресурсов на всех серверах домена с помощью smbmap, FindUncommonShares и cme's spider_plus
- Поиск сервисов WebDav, dfscoerce, shadowcoerce и Spooler на всех серверах домена (с помощью cme, Coercer и RPC Dump)
- Проверка уязвимостей ms17-010, ms14-068, zerologon, petitpotam, nopac, smb-signing, ntlmv1, runasppl, certifried, ldapnightmare, badsuccessor
- Проверка путей повышения привилегий через MSSQL
- Проверка возможностей релея MSSQL

linWinPwn -t <Domain_Controller_IP> -d <AD_domain> -u <AD_user> [-p <AD_password> -H <hash[LM:NT]> -K <kerbticket[./krb5cc_ticket]> -A <AES_key> -C <cert[./cert.pfx]>] [-o <output_dir>] --auto

Параметры

Auto config — синхронизировать NTP с целевым контроллером домена и добавить запись в /etc/hosts перед запуском модулей.

linWinPwn -t <Domain_Controller_IP> --auto-config

LDAPS — использовать LDAPS вместо LDAP (порт 636)

linWinPwn -t <Domain_Controller_IP> --ldaps

Force Kerberos Auth — принудительно использовать аутентификацию Kerberos вместо NTLM (когда это возможно)

linWinPwn -t <Domain_Controller_IP> --force-kerb

Verbose — включить все подробные и отладочные выводы

linWinPwn -t <Domain_Controller_IP> --verbose

Interface — выбрать сетевой интерфейс атакующего

linWinPwn -t <Domain_Controller_IP> -I tun0
linWinPwn -t <Domain_Controller_IP> --interface eth0

Targets — выбрать цели для сканирования (DC, All, IP=IP_or_hostname, File=./path_to_file)

linWinPwn -t <Domain_Controller_IP> --targets All
linWinPwn -t <Domain_Controller_IP> --targets DC
linWinPwn -t <Domain_Controller_IP> -T IP=192.168.0.1
linWinPwn -t <Domain_Controller_IP> -T File=./list_servers.txt

Custom wordlists — выбрать пользовательские списки пользователей и паролей

linWinPwn -t <Domain_Controller_IP> -U /usr/share/seclists/Usernames/xato-net-10-million-usernames.txt
linWinPwn -t <Domain_Controller_IP> -P /usr/share/seclists/Passwords/xato-net-10-million-passwords.txt

Туннелирование

linWinPwn может быть особенно полезен, если у вас есть доступ к среде Active Directory только на ограниченное время, и вы хотите повысить эффективность сбора информации и сбора доказательств. Кроме того, linWinPwn может заменить использование инструментов сбора информации на Windows с целью уменьшения количества создаваемых артефактов (например, команд PowerShell, событий Windows, создаваемых файлов на диске) и обхода некоторых антивирусов или EDR. Это достигается путём удалённого динамического перенаправления портов через создание SSH-туннеля с хоста Windows (например, VDI-машина, рабочая станция или ноутбук) на удалённую Linux-машину (например, ноутбук пентестера или VPS) и запуска linWinPwn с proxychains.

На хосте Windows выполните с помощью PowerShell:

ssh.exe kali@<linux_machine> -R 1080 -NCqf

На Linux-машине сначала обновите /etc/proxychains4.conf, добавив socks5 127.0.0.1 1080, затем выполните:

linWinPwn_proxychains -t <Domain_Controller_IP> -d <AD_domain> -u <AD_user> [-p <AD_password> -H <hash[LM:NT]> -K <kerbticket[./krb5cc_ticket]> -A <AES_key> -C <cert[./cert.pfx]>] [-o <output_dir>] [--auto]

Поддерживаемые способы аутентификации

Поддержка LDAP Channel Binding

ldap3: netexec, ldapdomaindump (NTLM), Certipy, pre2k, bloodhound, ldeep, GroupPolicyBackdoor, relayking

msldap: bloodyAD

Поддержка пользовательского порта LDAP

netexec, ldapdomaindump, ldeep, windapsearch, godap, pre2k, ldapnomnom

Демо

HackTheBox Forest

Интерактивный режим:

Автоматический режим:

TryHackme AttacktiveDirectory

Планы

Добавить больше инструментов для сбора информации и эксплуатации...

Благодарности

Вдохновение: S3cur3Th1sSh1t — WinPwn
Инструменты:
- fortra — impacket
- NeffIsBack, Marshall-Hallenbeck, zblurx, mpgn, byt3bl33d3r и все участники — crackmapexec/netexec
- Fox-IT — bloodhound-python
- dirkjanm — ldapdomaindump, privexchange
- zer1t0 — certi.py
- ly4k — Certipy
- ShawnDEvans — smbmap
- ropnop — windapsearch, kerbrute
- login-securite — DonPAPI
- Processus-Thief — HEKATOMB
- layer8secure — SilentHound
- ShutdownRepo — TargetedKerberoast
- franc-pentest — ldeep
- garrettfoster13 — pre2k, aced, sccmhunter
- zblurx — certsync
- p0dalirius — Coercer, FindUncommonShares, ExtractBitlockerKeys, LDAPWordlistHarvester, ldapconsole, pyLDAPmonitor, RDWAtool, smbclient-ng, FindUnusualSessions, ShareHound
- blacklanternsecurity — MANSPIDER
- CravateRouge — bloodyAD
- shellster — LDAPPER
- TrustedSec — orpheus
- lkarlslund — Adalanche

Для разработчиков

Интегратор инструментов

lwp_tool_integrator.py автоматизирует интеграцию новых инструментов. Он исправляет linWinPwn.sh, install.sh и README.md за один шаг:

Добавляет объявление переменной инструмента и функцию-обёртку
Исправляет authenticate() с соответствующими флагами
Добавляет инструмент в интерактивное меню
Обновляет install.sh для автоматической установки
Добавляет ссылку и строку таблицы аутентификации в README.md

Использование:

python3 lwp_tool_integrator.py <tool_config.json>

Пример конфигурации см. в lwp_tool_template.json.

Правовое предупреждение

Использование linWinPwn для атак на цели без предварительного взаимного согласия является незаконным. Ответственность за соблюдение всех применимых местных, государственных и федеральных законов лежит на конечном пользователе. Разработчики не несут никакой ответственности и не несут ответственности за любое неправильное использование или ущерб, вызванный этой программой. Используйте только в образовательных целях.

`netexec`	✅	✅	✅	✅	✅	✅
`Impacket`	✅	✅	✅	✅	✅	❌
`bloodhound-python`	❌	✅	✅	✅	✅	❌
`ldapdomaindump`	✅	✅	✅	❌	❌	❌
`enum4linux-ng`	✅	✅	✅	✅	❌	❌
`bloodyAD`	❌	✅	✅	✅	❌	✅
`SilentHound`	✅	✅	✅	❌	❌	❌
`ldeep`	✅	✅	✅	✅	❌	✅
`windapsearch`	✅	✅	✅	❌	❌	❌
`LDAPWordlistHarvester`	❌	✅	✅	✅	✅	❌
`LDAPConsole`	❌	✅	✅	✅	✅	❌
`pyLDAPmonitor`	❌	✅	✅	✅	✅	❌
`sccmhunter`	❌	✅	✅	✅	✅	❌
`ldapper`	❌	✅	✅	❌	❌	❌
`Adalanche`	❌	✅	✅	✅	❌	❌
`GPOwned`	❌	✅	✅	✅	✅	❌
`ACED`	❌	✅	✅	✅	✅	❌
`breads`	✅	✅	✅	❌	❌	❌
`godap`	✅	✅	✅	✅	❌	❌
`adcheck`	❌	✅	✅	❌	❌	❌
`certi.py`	❌	✅	✅	✅	✅	✅
`Certipy`	❌	✅	✅	✅	✅	✅
`certsync`	❌	✅	✅	✅	✅	❌
`pre2k`	❌	✅	✅	✅	✅	❌
`orpheus`	❌	✅	✅	✅	✅	❌
`smbmap`	✅	✅	✅	❌	❌	❌
`FindUncommonShares`	❌	✅	✅	✅	✅	❌
`smbclient-ng`	❌	✅	✅	✅	✅	❌
`manspider`	✅	✅	✅	❌	❌	❌
`coercer`	✅	✅	✅	❌	❌	❌
`privexchange`	✅	✅	✅	❌	❌	❌
`RunFinger.py`	✅	✅	✅	✅	✅	❌
`mssqlrelay`	❌	✅	✅	✅	✅	❌
`targetedKerberoast`	❌	✅	✅	✅	✅	❌
`pygpoabuse`	❌	✅	✅	✅	❌	❌
`DonPAPI`	❌	✅	✅	✅	✅	❌
`hekatomb`	❌	✅	✅	❌	❌	❌
`ExtractBitlockerKeys`	❌	✅	✅	✅	✅	❌
`evilwinrm`	❌	✅	✅	✅	✅	✅
`mssqlpwner`	❌	✅	✅	✅	✅	❌
`SoaPy`	❌	✅	✅	❌	❌	❌
`SCCMSecrets`	✅	✅	✅	❌	❌	❌
`Soaphound`	❌	✅	✅	❌	❌	❌
`gpoParser`	❌	✅	✅	❌	❌	❌
`spearspray`	❌	✅	❌	❌	❌	❌
`GroupPolicyBackdoor`	✅	✅	✅	✅	❌	❌
`NetworkHound`	❌	✅	✅	✅	❌	❌
`ShareHound`	✅	✅	✅	❌	❌	❌
`DACLSearch`	❌	✅	✅	✅	✅	❌
`ScriptScout`	❌	✅	❌	❌	❌	❌
`relayking`	✅	✅	✅	✅	✅	❌
`ADWS Domain Dump`	❌	✅	✅	❌	❌	❌
`PyADRecon`	❌	✅	❌	✅	❌	❌
`PyADRecon-ADWS`	❌	✅	❌	✅	❌	❌
`ADPulse`	❌	✅	✅	❌	❌	❌
`PowerView.py`	✅	✅	✅	✅	✅	✅
`evil-winrm-py`	❌	✅	✅	❌	❌	✅

linWinPwn

Популярное