dploot

dploot — это переписанная на Python версия SharpDPAPI, написанной на C# автором Harmj0y, которая, в свою очередь, является портом DPAPI из Mimikatz авторства gentilkiwi. Инструмент реализует всю логику работы с DPAPI этих утилит, но теперь его можно использовать с интерпретатором Python и из среды Linux.

Если вы не знаете, что такое DPAPI, ознакомьтесь с этой публикацией.

Содержание

• dploot
  • Содержание
  • Установка
  • Использование
    • Протоколы
    • Kerberos
  • Как использовать
    • Удалённый доступ через SMB
    • Удалённый доступ через WMI
    • Удалённый доступ через WinRM
    • Удалённый доступ через MSSQL
    • Доступ к локальной файловой системе
    • Удалённый доступ через Cobalt Strike
    • В роли администратора домена
    • В роли администратора, не являющегося администратором домена
  • Команды
    • Триаж пользователя
      • masterkeys
      • credentials
      • vaults
      • rdg
      • certificates
      • browser
      • cng
      • wam
      • mobaxterm
      • triage
    • Триаж машины
      • machinemasterkeys
      • machinecredentials
      • machinevaults
      • machinecertificates
      • machinecng
      • machinetriage
    • Разное
      • wifi
      • sccm
      • backupkey
      • blob
  • Благодарности

Установка

Вы можете установить dploot напрямую из PyPI с помощью pipx:

pipx install git+https://github.com/zblurx/dploot.git

ИЛИ

pipx install dploot

В Kali Linux вы можете установить dploot из репозиториев:

sudo apt install python3-dploot

Использование

dploot (https://github.com/zblurx/dploot) v4.0.0 by @_zblurx
usage: dploot [-h]
              {backupkey,blob,browser,certificates,cng,credentials,machinecertificates,machinecng,machinecredentials,machinemasterkeys,machinetriage,machinevaults,masterkeys,mobaxterm,rdg,sccm,triage,vaults,wam,wifi}
              ...

DPAPI looting in Python

positional arguments:
  {backupkey,blob,browser,certificates,cng,credentials,machinecertificates,machinecng,machinecredentials,machinemasterkeys,machinetriage,machinevaults,masterkeys,mobaxterm,rdg,sccm,triage,vaults,wam,wifi}
                        Action
    backupkey           Backup Keys from domain controller
    blob                Decrypt DPAPI blob. Can fetch masterkeys on target
    browser             Dump users credentials and cookies saved in browser from local or remote target
    certificates        Dump users certificates from local or remote target
    cng                 Dump users CNG files blob from local or remote target
    credentials         Dump users Credential Manager blob from local or remote target
    machinecertificates
                        Dump system certificates from local or remote target
    machinecng          Dump system CNG files from local or remote target
    machinecredentials  Dump system credentials from local or remote target
    machinemasterkeys   Dump system masterkey from local or remote target
    machinetriage       Loot SYSTEM Masterkeys (if not set), SYSTEM credentials, SYSTEM certificates and SYSTEM vaults from local or remote target
    machinevaults       Dump system vaults from local or remote target
    masterkeys          Dump users masterkey from local or remote target
    mobaxterm           Dump Passwords and Credentials from MobaXterm
    rdg                 Dump users saved password information for RDCMan.settings from local or remote target
    sccm                Dump SCCM secrets (NAA, Collection variables, tasks sequences credentials) from local or remote target
    triage              Loot Masterkeys (if not set), credentials, rdg, certificates, browser and vaults from local or remote target
    vaults              Dump users Vaults blob from local or remote target
    wam                 Dump users cached azure tokens from local or remote target
    wifi                Dump wifi profiles from local or remote target

options:
  -h, --help            show this help message and exit

Протоколы

dploot v4.0.0+ поддерживает несколько сетевых протоколов для удалённого доступа. Протокол выбирается с помощью --protocol <protocol_name>. Каждый протокол имеет разные возможности и требования:

• smb (по умолчанию): использует SMB/RPC для удалённого доступа к файлам и операций с реестром. Работает с большинством целей под Windows. Поддерживает аутентификацию Kerberos. Работает с impacket
• wmi: использует Windows Management Instrumentation (DCOM) для удалённого выполнения и операций с реестром. Полезная альтернатива SMB. Поддерживает аутентификацию Kerberos. Работает с impacket
• winrm: использует Windows Remote Management для операций на основе PowerShell. Распространён в современных средах. Работает с pypsrp
• mssql: подключается через MSSQL Server. Поддерживает как доменную, так и локальную аутентификацию базы данных. Поддерживает аутентификацию Kerberos. Работает с impacket
• local: обращается напрямую к смонтированной или скопированной файловой системе Windows (сетевое подключение не требуется). Полезен для офлайн-анализа физических дисков или образов дисков.
• cobaltstrike: выполняет операции через REST API beacon Cobalt Strike. Полезен для red team операций с инфраструктурой Cobalt Strike.

Пример использования протокола WMI:

$ dploot masterkeys --protocol wmi -d waza.local -u Administrator -p 'Password!123' -t 192.168.57.5

Пример с использованием локального протокола (офлайн-файловая система):

$ dploot masterkeys --protocol local --root /mnt/c_drive -u bob -p Password

Важные замечания о поддержке команд:

• Большинство команд поддерживают все протоколы. Однако backupkey работает только с протоколом SMB (требуется доступ к контроллеру домена).
• Только протокол smb поддерживает дамп LSA для автоматического дампа машинного ключа DPAPI. Для остальных протоколов вам придётся предоставить его самостоятельно с помощью --dpapi-system-key.

Kerberos

dploot может проходить аутентификацию с помощью Kerberos для протоколов smb, wmi и mssql. Используйте -k, чтобы включить Kerberos с откатом на NTLM. Если вы хотите использовать кэшированный билет, используйте --use-kcache. Чтобы использовать ключ AES, используйте --aesKey.

$ dploot masterkeys -d waza.local -u Administrator -k -t 192.168.57.5

Как использовать

Цель dploot — упростить сбор данных, связанных с DPAPI, с Linux-машины. То, как вы используете этот инструмент, зависит от вашего уровня доступа и конфигурации целевой системы.

Удалённый доступ через SMB

Протокол по умолчанию — SMB. Это наиболее распространённый подход для сбора данных DPAPI, и он работает со стандартным общим доступом к файлам Windows: