Exploit for gpoParser

## https://sploitus.com/exploit?id=KITPLOIT:TOOLS-GITHUB-SYNACKTIV-GPOPARSER
# gpoParser

**gpoParser** — это инструмент, предназначенный для извлечения и анализа конфигураций, применяемых через объекты групповой политики (GPO) в среде Active Directory. Поскольку перечисление этих параметров может быть утомительным и трудоёмким, этот инструмент даёт более чёткое понимание применяемых политик и помогает выявлять опасные конфигурации, которые могут позволить латеральное перемещение или повышение привилегий. Инструмент был представлен на leHack 2025 и DEFCON 33.

# Установка

Примечание: для пакета `gssapi` требуется зависимость `libkrb5-dev`; установите её с помощью `sudo apt install libkrb5-dev` (или через подходящий менеджер пакетов)

root@kitploit:~
    
    
    pipx install git+https://github.com/synacktiv/gpoParser
    

# Возможности

root@kitploit:~
    
    
    $ gpoParser -h
    usage: gpoParser [-h] {local,remote,display,query,enrich} ...
    
    GPO Analysis Tool
    
    positional arguments:
      {local,remote,display,query,enrich}
                            Choose mode
        local               Parse GPOs locally
        remote              Parse GPOs via remote LDAP/SYSVOL
        display             Display parsed GPO contents
        query               Query GPO parser results in order to display affected computers
        enrich              Enrich BloodHound with new edges
    
    options:
      -h, --help            show this help message and exit
    

## Получение GPO в онлайн- или офлайн-режиме

**Онлайн** : подключение к каталогу LDAP для сбора информации о GPO и их атрибутах (флаги, gPLink, gPOptions и другие). Также выполняется подключение к общей папке SYSVOL для сбора файлов конфигурации GPO.

root@kitploit:~
    
    
    $ gpoParser remote -h
    usage: gpoParser remote [-h] [-s SERVER] [-d DOMAIN] [-u USER] [-p PASSWORD] [-H HASH] [-k] [-o OUTPUT]
    
    options:
      -h, --help            show this help message and exit
      -s, --server SERVER   LDAP server IP or FQDN (ex: ldap://192.168.57.5 or ldaps://dc.corp.local)
      -d, --domain DOMAIN   Domain name tied to the user
      -u, --user USER       Username
      -p, --password PASSWORD
                            Password
      -H, --hash HASH       NTLM authentication, format is [LM:]NT
      -k, --kerberos        Use Kerberos authentication
      -o, --output OUTPUT   Output filename and location (default ./cache_gpoParser_<timestamp>.json)
    
    $ gpoParser remote -u bob -p password -d corp -s 192.168.57.5
    Retrieving \CORP.LOCAL\Policies\{008B0634-C0B9-443A-A06A-E2BAD875E27F}\Machine/Microsoft/Windows NT/SecEdit/GptTmpl.inf
    Retrieving \CORP.LOCAL\Policies\{008B0634-C0B9-443A-A06A-E2BAD875E27F}\Machine/Preferences/Groups/Groups.xml
    Retrieving \CORP.LOCAL\Policies\{008B0634-C0B9-443A-A06A-E2BAD875E27F}\Machine/Preferences/Registry/Registry.xml
    [...]
    Information saved to cache, now use display / query features
    

**Офлайн** : требуется (частичная) копия каталога LDAP и содержимое папки Policies из общей папки SYSVOL. В настоящее время сбор каталога LDAP осуществляется с помощью:

  * ldeep
  * ADExplorerSnapshot — выходной формат `Objects` (NDJSON)



root@kitploit:~
    
    
    $ gpoParser local -h
    usage: gpoParser local [-h] [-f {ldeep,adexplorer}] [-o OUTPUT] sysvol_folder ldap_folder
    
    positional arguments:
      sysvol_folder         SYSVOL folder containing the policies
      ldap_folder           Folder with LDAP dump in ldeep format
    
    options:
      -h, --help            show this help message and exit
      -f {ldeep,adexplorer}, --format {ldeep,adexplorer}
                            JSON files input format (default ldeep)
      -o OUTPUT, --output OUTPUT
                            Output filename and location (default ./cache_gpoParser_<timestamp>.json)
    
    $ mkdir sysvol && cd sysvol &&  echo -e 'prompt\nrecurse\nmget *' | smbclient -W CORP -U bob%password //192.168.57.5/SYSVOL
    
    $ mkdir ldap && ldeep ldap -u bob -p password -d corp.local -s 192.168.57.5 all ldap/corp
    
    $ gpoParser local sysvol/ ldap/
    Information saved to cache, now use display / query features
    

## Просмотр

Этот режим отображает все изменения конфигурации, применяемые GPO, в пределах поддерживаемых форматов и проанализированных данных. Результаты можно фильтровать по имени GPO или GUID.

root@kitploit:~
    
    
    $ gpoParser display -h
    usage: gpoParser display [-h] [-g GPO] [-c CACHE]
    
    options:
      -h, --help            show this help message and exit
      -g GPO, --gpo GPO     Filter by GPO name or GUID
      -c CACHE, --cache CACHE
                            Cache file location (default: ./cache_gpoParser_<timestamp>.json)
    
    $ gpoParser display
    Cache file found, using it
    {6F3821B3-89B2-496D-82A5-58092D3EA588}: AddAdmin
    Computer configuration
       Groups
          The following principals are added to BUILTIN\Administrators
             CORP\admin
    {ADC96BD4-86D3-4516-BCF2-F7BDD5A76366}: AddRDP
    Computer configuration
       Groups
          The following principals are added to BUILTIN\Remote Desktop Users
             CORP\bob
    [...]
    
    $ gpoParser display -g work
    Cache file found, using it
    {474D47E2-2B77-4E37-9744-A3CF6AB04449}: Workstation admins
    Computer configuration
       Groups
          The following principals are added to BUILTIN\Administrators
             CORP\Admin - All Workstations
    

## Запрос

Этот режим показывает связи между GPO и компьютерами. Например, можно увидеть, к каким компьютерам применяется GPO или какие изменения применяются к одному или нескольким компьютерам.

root@kitploit:~
    
    
    $ gpoParser query -h
    usage: gpoParser query [-h] [-g GPO] [-C COMPUTER] [-c CACHE]
    
    options:
      -h, --help            show this help message and exit
      -g GPO, --gpo GPO     Filter by GPO name or GUID
      -C COMPUTER, --computer COMPUTER
                            Computer name or distinguishedName to filter on
      -c CACHE, --cache CACHE
                            Cache file location (default: ./cache_gpoParser_<timestamp>.json)
    
    $ gpoParser query
    Cache file found, using it
    {6F3821B3-89B2-496D-82A5-58092D3EA588}: AddAdmin
    This GPO affects the following computers:
    CN=SRV55,OU=PROD,OU=Servers,DC=CORP,DC=LOCAL
    CN=SRV54,OU=PROD,OU=Servers,DC=CORP,DC=LOCAL
    CN=SRV53,OU=PROD,OU=Servers,DC=CORP,DC=LOCAL
    CN=SRV52,OU=PROD,OU=Servers,DC=CORP,DC=LOCAL
    
    {6AC1786C-016F-11D2-945F-00C04FB984F9}: Default Domain Controllers Policy
    This GPO affects the following computers:
    CN=DC01,OU=Domain Controllers,DC=CORP,DC=LOCAL
    
    {31B2F340-016D-11D2-945F-00C04FB984F9}: Default Domain Policy
    This GPO affects the following computers:
    CN=SRV51,OU=SUBSUB,OU=SUB,DC=CORP,DC=LOCAL
    CN=SRV49,OU=SUB,DC=CORP,DC=LOCAL
    CN=SRV50,OU=SUB,DC=CORP,DC=LOCAL
    CN=SRV55,OU=PROD,OU=Servers,DC=CORP,DC=LOCAL
    [...]
    
    
    $ gpoParser query -C wks
    Cache file found, using it
    CN=WKS01,OU=ADMIN,OU=WORKSTATIONS,DC=CORP,DC=LOCAL
    {31B2F340-016D-11D2-945F-00C04FB984F9}: Default Domain Policy
    Computer configuration
       Registry
          The following registry key changes have been made
          Action: Create
          Path: MACHINE\System\CurrentControlSet\Control\Lsa\NoLMHash
          Value: 4,1
          The following registry key changes have been made
          Action: Update
          Hive: HKEY_LOCAL_MACHINE
          Path: SYSTEM\CurrentControlSet\Services\Dnscache\Parameters
          Name: EnableMDNS
          Value: 00000000
    

## Обогащение BloodHound

Анализирует информацию GPO для создания дополнительных рёбер, таких как **AdminTo** , **CanRDP** и **CanPSRemote** , выявляя возможности латерального перемещения, которые BloodHound может не обнаруживать встроенными средствами. Рёбра добавляются путём прямого подключения к базе данных Neo4j.

root@kitploit:~
    
    
    $ gpoParser enrich -h
    usage: gpoParser enrich [-h] [-u USER] [-p PASSWORD] [-s SERVER] [-c CACHE]
    
    options:
      -h, --help            show this help message and exit
      -u USER, --user USER  Username for neo4j authentication (default: neo4j)
      -p PASSWORD, --password PASSWORD
                            Password for neo4j authentication (default: bloodhoundcommunityedition)
      -s SERVER, --server SERVER
                            Neo4j server URI (default: bolt://localhost:7687)
      -c CACHE, --cache CACHE
                            Cache file location (default: ./cache_gpoParser_<timestamp>.json)
    

## Ограничения

Офлайн-обработка данных накладывает определённые ограничения: такие параметры, как статус наследования, статус конфигурации пользователей/компьютеров, фильтры безопасности, WMI-фильтры и таргетинг на уровне элементов, не всегда могут быть собраны или интерпретированы существующими инструментами (BloodHound, PowerView, GPOHound). **gpoParser** будет постепенно учитывать все эти параметры по мере развития проекта. По мере развития инструментария будут добавлены дополнительные сборщики данных.