DPAT — нструмент аудита пароля домена
DPAT — это python скрипт, который будет генерировать статистику использования паролей из хэшей, сбрасываемых с контроллера домена, и файла с исправлением пароля, такого как oclHashcat.pot, сгенерированного с помощью инструмента oclHashcat во время взлома пароля. Отчет представляет собой HTML с интерактивными ссылками.
Вы можете запустить скрипт python следующим образом:
dpat.py -n customer.ntds -c oclHashcat.pot -g "Domain Admins.txt" "Enterprise Admins.txt"
Обратите внимание, что список групп в конце (-g «Domain Admins.txt «Enterprise Admins.txt») является необязательным. Попробуйте это в файлах примеров, указанных в папке sample_data этого проекта. Данные выборок были построены из переписи для общих фамилий, а также фамилий и паролей из известного списка rockyou.
Ваш файл customer.ntds должен быть в таком формате:
домен\имя пользователя: РИД: LMHash: NTHash ::: (domain\username:RID:lmhash:nthash:::)
Вы можете получить этот файл, сначала, сбросив хэши паролей из своего контроллера домена, выполнив следующую команду в командной строке администрирования на контроллере домена. Просто убедитесь, что у вас достаточно места на диске для хранения вывода в c: \ temp. Объем необходимого пространства будет немного больше размера файла ntds.dit, который в настоящее время находится на диске, так как он выполняет резервное копирование этого файла и некоторых параметров реестра.
ntdsutil "ac in ntds" "ifm" "cr fu c:\temp" q q
Далее вы можете преобразовать этот выход в необходимый вам формат, используя secretsdump.py
secretsdump.py -system registry/SYSTEM -ntds Active\ Directory/ntds.dit LOCAL -outputfile customer
Команда, указанная выше, создаст файл под названием «customer.ntds», который вы будете использовать вместе с этим инструментом также как и для взлома пароля.
Ваш oclHashcat должен быть в следующем формате:
nthash:password
Или для LM Hashes:
lmhashLeftOrRight:leftOrRightHalfPasswordUpcased
Опция «-g» сопровождается списком любого количества файлов, содержащих списки пользователей, входящих в данную группу, таких как «Администраторы предприятия» или «Администраторы домена». Файл может быть в формате, выводимом с помощью сценария PowerView PowerShell, как показано в следующем примере:
Get-NetGroupMember -GroupName "Domain Admins" > "Domain Admins.txt"
… или же прочесть группу из другого домена используя что-то вроде следующего (обратите внимание, что имя другого домена и контролера домена домена может быть получено с помощью Get-NetForestDomain)
Get-NetGroupMember -GroupName "Enterprise Admins" -Domain "some.domain.com" -DomainController "DC01.some.domain.com" > "Enterprise Admins.txt"
В качестве альтернативы, групповые файлы могут быть просто списком пользователей, по одному в каждой строке, в следующем формате:
domain\username
Инструмент аудита пароля домена также имеет удобную функцию, чтобы закончить взлом LM hashes для любых хешей, где хеш NT не был взломан. Это предполагает, что вы использовали oclHashcat для перебора всех 7-символьных паролей с помощью следующей команды:
./oclHashcat64.bin -m 3000 -a 3 customer.ntds -1 ?a ?1?1?1?1?1?1?1 --increment
Чтобы посмотреть все доступные DPAT опции используйте опции ‘-h’ или ‘–help’
usage: dpat.py [-h] -n NTDSFILE -c CRACKFILE [-o OUTPUTFILE]
[-d REPORTDIRECTORY] [-w] [-s]
[-g [GROUPLISTS [GROUPLISTS ...]]]
This script will perfrom a domain password audit based on an extracted NTDS
file and password cracking output such as oclHashcat.
optional arguments:
-h, --help show this help message and exit
-n NTDSFILE, --ntdsfile NTDSFILE
NTDS file name (output from SecretsDump.py)
-c CRACKFILE, --crackfile CRACKFILE
Password Cracking output in the default form output by
oclHashcat, such as oclHashcat.pot
-o OUTPUTFILE, --outputfile OUTPUTFILE
The name of the HTML report output file, defaults to
_DomainPasswordAuditReport.html
-d REPORTDIRECTORY, --reportdirectory REPORTDIRECTORY
Folder containing the output HTML files, defaults to
DPAT Report
-w, --writedb Write the SQLite database info to disk for offline
inspection instead of just in memory. Filename will be
"pass_audit.db"
-s, --sanitize Sanitize the report by partially redacting passwords
and hashes. Prepends the report directory with
"Sanitized - "
-g [GROUPLISTS [GROUPLISTS ...]], --grouplists [GROUPLISTS [GROUPLISTS ...]]
The name of one or multiple files that contain lists
of usernames in particular groups. The group names
will be taken from the file name itself. The username
list must be in the same format as found in the NTDS
file such as some.ad.domain.com\username. Example: -g
"Domain Admins.txt" "Enterprise Admins.txt" Перевод: Анна Давыдова
Источник: cyberciti.biz
Это интересно: