🐍 pypykatz — Утилита для извлечения учетных данных из дампов памяти Windows

pypykatz — это мощный инструмент для форензики и ред-тиминга, предназначенный для извлечения учетных данных из дампов процесса LSASS в операционных системах Windows. Он написан на Python и является аналогом популярного mimikatz, но с открытым исходным кодом и кроссплатформенной реализацией

⚡️ Быстрый старт с pypykatz
1️⃣ Установка утилиты

Установите pypykatz через pip:

pip install pypykatz

Или клонируйте репозиторий с GitHub:

git clone https://github.com/skelsec/pypykatz.git
cd pypykatz
pip3 install minidump minikerberos aiowinreg msldap winacl
python setup.py install

2️⃣ Получение дампа LSASS
Перед использованием pypykatz необходимо получить дамп процесса lsass.exe, например, с помощью:

⏺️Procdump (Windows)

procdump -ma lsass.exe lsass.dmp

⏺️Comsvcs.dll (Windows, встроенный метод)

rundll32.exe comsvcs.dll, MiniDump 1234 lsass.dmp full

Где 1234 — это PID процесса lsass.
⚠️ Обратите внимание: извлечение данных из LSASS может быть обнаружено антивирусами и EDR-системами.


3️⃣ Основные команды
После получения дампа вы можете использовать pypykatz следующим образом:

Анализ дампа памяти

pypykatz lsa minidump lsass.dmp

Эта команда выведет:
⏺️ Пользователей, чьи сессии были активны
⏺️ Пароли (если хранятся в открытом виде)
⏺️ NTLM-хэши
⏺️ Kerberos-токены
⏺️ SSP (Security Support Provider) данные

Работа с дампами в режиме JSON

pypykatz lsa minidump lsass.dmp -o json > creds.json

Полезно для автоматизированного анализа и последующей обработки скриптами.


4️⃣ Поддержка живого анализа (Experimental)
Также можно использовать pypykatz для живого анализа системы (только Windows и только с правами администратора):

pypykatz live lsa

⚠️ Используйте с осторожностью — может вызывать детектирование средствами защиты Windows.

🛡 tlsx — быстрый и настраиваемый TLS-перехватчик, написанный на Go и ориентированный на сбор данных на основе протокола TLS.

⏺️Быстрое и полностью настраиваемое TLS-соединение;
⏺️Несколько режимов для TLS-подключения;
⏺️Несколько TLS-зондов для проверки;
⏺️Автоматический откат (fallback) на более старые версии TLS;
⏺️TLS-подключение до завершения рукопожатия;
⏺️Настраиваемые параметры: шифры, SNI, версии TLS;
⏺️Обнаружение неверных конфигураций TLS;
⏺️Поддерживает ввод ASN, CIDR, IP, HOST, и URL;
⏺️STD ввод/вывод и TXT/JSON.

Для успешной установки tlsx требуется Go версии 1.21 и команду go install github.com/projectdiscovery/tlsx/cmd/tlsx@latest. Скачать уже скомпилированный двоичный файл можно со страницы релизов. Также можно использовать инструмент в качестве библиотеки, примеры использования приведены в директории examples.

✔️ Использование
tlsx требует ip-адрес для установки TLS-соединения и поддерживает несколько форматов, перечисленных ниже.

AS1449 # ввод ASN
173.0.84.0/24 # ввод CIDR
93.184.216.34 # ввод IP
example.com # ввод DNS
example.com:443 # ввод DNS с портом
https://example.com:443 # ввод URL с портом

tlsx по умолчанию подключается к порту 443, который можно изменить с помощью флага -port / -p.

tlsx -u hackerone.com -p 443,8443

Если входной хост содержит порт, например 8.8.8.8:443 или hackerone.com:8443, для подключения по TLS будет использоваться порт, указанный для хоста

Поддомены, полученные из TLS-сертификатов, можно передавать другим инструментам для дальнейшей проверки. Ниже приведена команда для передачи поддоменов tls в dnsx для их фильтрации и дальнейшая передача в httpx для получения списка хостов, на которых работают активные веб-сервисы.

echo 173.0.84.0/24 | tlsx -san -cn -silent -resp-only | dnsx -silent | httpx 

В tlsx можно указать список хостов для обнаружения истекших / самоподписанных / несоответствующих / отозванных / ненадежных сертификатов

tlsx -l hosts.txt -expired -self-signed -mismatched -revoked -untrusted

tlsx предоставляет несколько режимов для создания TLS-подключения: default, crypto/tls, zcrypto/tls, openssl. Режим default поддерживается для обеспечения максимального охвата и сканирования хостов, использующих более старую версию TLS, с повторной попыткой подключения в режимах ztls и openssl при любой ошибке подключения.

Пример использования режима ztls для сканирования веб-сайта с помощью старой / устаревшей версии TLS.

echo tls-v1-0.badssl.com | tlsx -port 1010 -sm ztls

Минимальную и максимальную версии TLS можно указать с помощью флагов -min-version и -max-version, поскольку по умолчанию эти значения устанавливаются используемой библиотекой.

😼 Magika

Инструмент для определения типа файлов на основе искусственного интеллекта, использующий последние достижения в области глубокого обучения для обеспечения точного определения. В его основе лежит специальная модель, которая занимает всего несколько мегабайт и позволяет точно идентифицировать файлы за миллисекунды даже при работе на одном процессоре.

Поддерживает установку через PyPI.

pip install magika

Кроме того, можно установить инструмент через Docker-контейнер.

git clone https://github.com/google/magika
cd magika/
docker build -t magika .
docker run -it --rm -v $(pwd):/magika magika -r /magika/tests_data/basic

Основные характеристики
🌟Протестирован на наборе данных, состоящем из ~100 млн образцов и более чем 200 типов контента (включая двоичные и текстовые форматы файлов), в среднем показывает 99 % точность;
🌟Доступен в виде инструмента командной строки, написанного на Rust, с API на Python и дополнительными привязками для Rust, JavaScript/TypeScript;
🌟Поддерживает запуск для одновременной обработки даже тысяч файлов. Также можно использовать флаг -r для рекурсивного сканирования каталога;
🌟Практически постоянное время обработки, независимо от размера файла;
🌟Использование пороговой системы для каждого типа контента, которая определяет, стоит ли «доверять» прогнозу модели или лучше вернуть общую метку, например «Обычный текстовый документ» или «Неизвестные двоичные данные»;
🌟Допуск на ошибки можно регулировать с помощью различных режимов прогнозирования, таких как high-confidence, medium-confidence и best-guess.

Использовать инструмент можно для определения типа конкретного файла, либо для всех файлов в директории или рекурсивного сканирования файлов, затем по желанию можно указать дополнительные опции представленные ниже.

magika [file/*] [options]

🚩Флаги
-r, --recursive - определение типа файлов в каталогах;
--no-dereference - определение символических ссылок, а не их содержимого, при переходе по ним;
--colors/--no-colors - вывод с/без использования цветов независимо от поддержки терминала;
-s, --output-score - вывод оценки точности прогноза в дополнение к определению типа файлов;
-i, --mime-type - вывод MIME-типа вместо описания определения типа файла;
-l, --label - вывод простой метки вместо описания определения типа файла;
--json, --jsonl - вывод в формате JSON, JSONL.