Update secretsdump.py

Добавлены новые флаги для извлечения вспомогательной информации. Поддерживаются все методы (LOCAL, VSS, DRSUAPI).

-sid - заменяет вывод RID на SID (например, 500 → S-1-5-21-1614210445-3434418105-4037753173-500);
-account-type- выводит тип учетной записи (User, Machine, Trust);
-display-name - выводит дополнительные атрибуты учетной записи:
- displayName (ATTm131085, 1.2.840.113556.1.2.13);
- givenName (ATTm42, 2.5.4.42);
- surname (ATTm4, 2.5.4.4).
-desc - выводит Description учетной записи:
- description (ATTm13, 2.5.4.13).
-service - выводит информацию о наличии SPN у учетной записи:
- servicePrincipalName (ATTm590595, 1.2.840.113556.1.4.771).
-admin-count выводит информацию об активном флаге adminCount у учетной записи:
- adminCount - (ATTj589974, 1.2.840.113556.1.4.150).
-full активирует (заменяет) вышеперечисленные флаги, а также базовые:
- -user-status;
- -history;
- -pwd-last-set.

В случае, если один из атрибутов для учетной записи не существует, информация не выводится.

Информация о статусе, типе учетной записи и SID (-user-status,-account-type,-sid) дублируется для каждой записи истории (-history).

Примеры:

DRSUAPI (DCSync):

secretsdump.py essos.local/daenerys.targaryen:'BurnThemAll!'@meereen -just-dc-ntlm -full -outputfile essos.local

LOCAL:

secretsdump.py LOCAL -ntds 'ntds.dit' -system 'SYSTEM' -just-dc-ntlm -full -outputfile essos.local

Для дальнейшего восставления паролей из NT-хешей, можно воспользоваться следующей командой:

grep 'accountType=User' essos.local.ntds | cut -d ":" -f 4 | sort -us | tee ueh-uniq-nt.txt

xfusion13 / impacket Goto Github PK