Exploit for linWinPwn

## https://sploitus.com/exploit?id=KITPLOIT:TOOLS-GITHUB-LEFAYJEY-LINWINPWN
# linWinPwn — Швейцарский нож для пентеста Active Directory с использованием Linux

## Описание

linWinPwn — это bash-скрипт, который объединяет множество инструментов для Active Directory: сбор информации (LDAP, RPC, ADCS, MSSQL, Kerberos, SCCM), проверку уязвимостей (noPac, ZeroLogon, MS17-010, MS14-068), изменение объектов (смена пароля, добавление пользователя в группу, RBCD, Shadow Credentials) и извлечение паролей (secretsdump, lsassy, nanodump, DonPAPI). Скрипт упрощает использование большого количества инструментов: impacket, bloodhound, netexec, enum4linux-ng, ldapdomaindump, lsassy, smbmap, kerbrute, certipy, silenthound, bloodyAD, DonPAPI и многих других.

## Установка

Клонируйте репозиторий и установите зависимости с помощью скрипта `install.sh`:

root@kitploit:~
    
    
    git clone https://github.com/lefayjey/linWinPwn
    cd linWinPwn
    chmod +x install.sh
    ./install.sh
    

Также можно использовать предварительно собранный Docker-образ из Docker Hub:

root@kitploit:~
    
    
    docker pull lefayjey/linwinpwn:latest
    
    # Добавить linWinPwn_docker в PATH
    echo -e "docker run --rm --init -it --net=host -v \$(pwd):/opt/lwp-output lefayjey/linwinpwn:latest \$@" | sudo tee "/usr/local/sbin/linWinPwn_docker"
    sudo chmod 755 /usr/local/sbin/linWinPwn_docker
    # Запустить linWinPwn_docker (вывод в текущую директорию хоста)
    linWinPwn_docker -t <DC_IP>
    linWinPwn_docker -t <DC_IP> -d <domain> -u <user> -p <password> --auto
    

Или собрать из исходников:

root@kitploit:~
    
    
    docker build -t linwinpwn .
    docker run --rm --init -it --net=host -v $(pwd):/opt/lwp-output linwinpwn -t <DC_IP>
    

## Использование

### Режим

Скрипт linWinPwn может работать в интерактивном режиме (по умолчанию) или в автоматическом режиме (только сбор информации).

**1\. Интерактивный режим (по умолчанию)** — открывает интерактивное меню для запуска отдельных проверок.

root@kitploit:~
    
    
    linWinPwn -t <Domain_Controller_IP> [-d <AD_domain> -u <AD_user> -p <AD_password> -H <hash[LM:NT]> -K <kerbticket[./krb5cc_ticket]> -A <AES_key> -C <cert[./cert.pfx]> -o <output_dir>]
    

**2\. Автоматический режим** — с параметром `--auto` запускает инструменты сбора информации (без эксплуатации, модификаций или извлечения паролей).

В автоматическом режиме выполняются различные проверки в зависимости от способа аутентификации.

  * Без аутентификации (учётные данные не предоставлены) 
    * Анонимный сбор данных с помощью netexec, enum4linux-ng, ldapdomaindump, ldeep
    * RID-брутфорс с помощью netexec
    * Подбор пользователей через kerbrute
    * Проверка аутентификации Pre2k по собранному списку компьютеров
    * ASREPRoast по собранному списку пользователей (и взлом хэшей с помощью john-the-ripper и wordlist rockyou)
    * Blind Kerberoast
    * Эксплуатация CVE-2022-33679
    * Проверка небезопасных обновлений DNS для злоупотребления AS-REQ через krbjack
    * Анонимное перечисление SMB-ресурсов на обнаруженных серверах
    * Поиск сервисов WebDav, dfscoerce, shadowcoerce и Spooler на обнаруженных серверах
    * Проверка уязвимостей ms17-010, zerologon, petitpotam, nopac, smb-signing, ntlmv1, runasppl



root@kitploit:~
    
    
    linWinPwn -t <Domain_Controller_IP> --auto [-o <output_dir>]
    

  * С аутентификацией (с использованием пароля, NTLM-хэша, Kerberos-тикета, AES-ключа или сертификата pfx) 
    * Извлечение DNS через netexec
    * Сбор данных для BloodHound
    * Сбор информации с помощью netexec, enum4linux-ng, ldapdomaindump, bloodyAD, sccmhunter, rdwatool, sccmhunter, GPOParser
    * Генерация wordlist для взлома паролей
    * netexec поиск учётных записей с user=pass
    * Проверка аутентификации Pre2k на компьютерах домена
    * Извлечение информации об ADCS с помощью certipy и certi.py
    * kerbrute поиск учётных записей с user=pass
    * ASREPRoasting (и взлом хэшей с помощью john-the-ripper и wordlist rockyou)
    * Kerberoasting (и взлом хэшей с помощью john-the-ripper и wordlist rockyou)
    * Targeted Kerberoasting (и взлом хэшей с помощью john-the-ripper и wordlist rockyou)
    * Перечисление SMB-ресурсов на всех серверах домена с помощью smbmap, FindUncommonShares и cme's spider_plus
    * Поиск сервисов WebDav, dfscoerce, shadowcoerce и Spooler на всех серверах домена (с помощью cme, Coercer и RPC Dump)
    * Проверка уязвимостей ms17-010, ms14-068, zerologon, petitpotam, nopac, smb-signing, ntlmv1, runasppl, certifried, ldapnightmare, badsuccessor
    * Проверка путей повышения привилегий через MSSQL
    * Проверка возможностей релея MSSQL



root@kitploit:~
    
    
    linWinPwn -t <Domain_Controller_IP> -d <AD_domain> -u <AD_user> [-p <AD_password> -H <hash[LM:NT]> -K <kerbticket[./krb5cc_ticket]> -A <AES_key> -C <cert[./cert.pfx]>] [-o <output_dir>] --auto
    

### Параметры

**Auto config** — синхронизировать NTP с целевым контроллером домена и добавить запись в /etc/hosts перед запуском модулей.

root@kitploit:~
    
    
    linWinPwn -t <Domain_Controller_IP> --auto-config
    

**LDAPS** — использовать LDAPS вместо LDAP (порт 636)

root@kitploit:~
    
    
    linWinPwn -t <Domain_Controller_IP> --ldaps
    

**Force Kerberos Auth** — принудительно использовать аутентификацию Kerberos вместо NTLM (когда это возможно)

root@kitploit:~
    
    
    linWinPwn -t <Domain_Controller_IP> --force-kerb
    

**Verbose** — включить все подробные и отладочные выводы

root@kitploit:~
    
    
    linWinPwn -t <Domain_Controller_IP> --verbose
    

**Interface** — выбрать сетевой интерфейс атакующего

root@kitploit:~
    
    
    linWinPwn -t <Domain_Controller_IP> -I tun0
    linWinPwn -t <Domain_Controller_IP> --interface eth0
    

**Targets** — выбрать цели для сканирования (DC, All, IP=IP_or_hostname, File=./path_to_file)

root@kitploit:~
    
    
    linWinPwn -t <Domain_Controller_IP> --targets All
    linWinPwn -t <Domain_Controller_IP> --targets DC
    linWinPwn -t <Domain_Controller_IP> -T IP=192.168.0.1
    linWinPwn -t <Domain_Controller_IP> -T File=./list_servers.txt
    

**Custom wordlists** — выбрать пользовательские списки пользователей и паролей

root@kitploit:~
    
    
    linWinPwn -t <Domain_Controller_IP> -U /usr/share/seclists/Usernames/xato-net-10-million-usernames.txt
    linWinPwn -t <Domain_Controller_IP> -P /usr/share/seclists/Passwords/xato-net-10-million-passwords.txt
    

### Туннелирование

linWinPwn может быть особенно полезен, если у вас есть доступ к среде Active Directory только на ограниченное время, и вы хотите повысить эффективность сбора информации и сбора доказательств. Кроме того, linWinPwn может заменить использование инструментов сбора информации на Windows с целью уменьшения количества создаваемых артефактов (например, команд PowerShell, событий Windows, создаваемых файлов на диске) и обхода некоторых антивирусов или EDR. Это достигается путём удалённого динамического перенаправления портов через создание SSH-туннеля с хоста Windows (например, VDI-машина, рабочая станция или ноутбук) на удалённую Linux-машину (например, ноутбук пентестера или VPS) и запуска linWinPwn с proxychains.

На хосте Windows выполните с помощью PowerShell:

root@kitploit:~
    
    
    ssh.exe kali@<linux_machine> -R 1080 -NCqf
    

На Linux-машине сначала обновите `/etc/proxychains4.conf`, добавив `socks5 127.0.0.1 1080`, затем выполните:

root@kitploit:~
    
    
    linWinPwn_proxychains -t <Domain_Controller_IP> -d <AD_domain> -u <AD_user> [-p <AD_password> -H <hash[LM:NT]> -K <kerbticket[./krb5cc_ticket]> -A <AES_key> -C <cert[./cert.pfx]>] [-o <output_dir>] [--auto]
    

### Поддерживаемые способы аутентификации

#### Поддержка LDAP Channel Binding

ldap3: netexec, ldapdomaindump (NTLM), Certipy, pre2k, bloodhound, ldeep, GroupPolicyBackdoor, relayking

msldap: bloodyAD

#### Поддержка пользовательского порта LDAP

netexec, ldapdomaindump, ldeep, windapsearch, godap, pre2k, ldapnomnom

## Демо

  * HackTheBox Forest



Интерактивный режим: ![asciicast](https://asciinema.org/a/499893.svg)

Автоматический режим: ![asciicast](https://asciinema.org/a/464904.svg)

  * TryHackme AttacktiveDirectory



![asciicast](https://asciinema.org/a/464901.svg)

## Планы

  * Добавить больше инструментов для сбора информации и эксплуатации...



## Благодарности

  * Вдохновение: S3cur3Th1sSh1t — WinPwn

  * Инструменты:

    * fortra — impacket
    * NeffIsBack, Marshall-Hallenbeck, zblurx, mpgn, byt3bl33d3r и все участники — crackmapexec/netexec
    * Fox-IT — bloodhound-python
    * dirkjanm — ldapdomaindump, privexchange
    * zer1t0 — certi.py
    * ly4k — Certipy
    * ShawnDEvans — smbmap
    * ropnop — windapsearch, kerbrute
    * login-securite — DonPAPI
    * Processus-Thief — HEKATOMB
    * layer8secure — SilentHound
    * ShutdownRepo — TargetedKerberoast
    * franc-pentest — ldeep
    * garrettfoster13 — pre2k, aced, sccmhunter
    * zblurx — certsync
    * p0dalirius — Coercer, FindUncommonShares, ExtractBitlockerKeys, LDAPWordlistHarvester, ldapconsole, pyLDAPmonitor, RDWAtool, smbclient-ng, FindUnusualSessions, ShareHound
    * blacklanternsecurity — MANSPIDER
    * CravateRouge — bloodyAD
    * shellster — LDAPPER
    * TrustedSec — orpheus
    * lkarlslund — Adalanche



## Для разработчиков

### Интегратор инструментов

`lwp_tool_integrator.py` автоматизирует интеграцию новых инструментов. Он исправляет `linWinPwn.sh`, `install.sh` и `README.md` за один шаг:

  * Добавляет объявление переменной инструмента и функцию-обёртку
  * Исправляет `authenticate()` с соответствующими флагами
  * Добавляет инструмент в интерактивное меню
  * Обновляет `install.sh` для автоматической установки
  * Добавляет ссылку и строку таблицы аутентификации в `README.md`



Использование:

root@kitploit:~
    
    
    python3 lwp_tool_integrator.py <tool_config.json>
    

Пример конфигурации см. в `lwp_tool_template.json`.

## Правовое предупреждение

Использование linWinPwn для атак на цели без предварительного взаимного согласия является незаконным. Ответственность за соблюдение всех применимых местных, государственных и федеральных законов лежит на конечном пользователе. Разработчики не несут никакой ответственности и не несут ответственности за любое неправильное использование или ущерб, вызванный этой программой. Используйте только в образовательных целях.