Tweet
Active Directory - Fgdump - John the Ripper
Pré-Requis
Fgdump va nous permettre d’extraire une base de compte Windows, qu’elle soit locale (le poste d’un utilisateur) ou partagée (comme un Active Directory par exemple)
Téléchargez Fgdump et décompressez le fichier fgdump.exe contenu dans l’archive dans C:\audit
La base de compte qui va être récupérée par fgdump sera cryptée ! C’est là qu’interviendra John The Ripper.
Téléchargez John The Ripper et décompressez les fichiers contenu dans l’archive dans C:\audit
I. Récupérer la liste des comptes Active Directory :
Grâce à fgdump nous allons pouvoir récupérer une copie des “hash” des passwords utilisateurs de tout un domaine.
Ouvrez une ligne de commande et naviguez vers le répertoire où vous avez extrait fgdump.exe
Puis entrez la commande suivante:
ou VotreServerAD correspond au nom ou à l’adresse du serveur Active Directory.
Après quelques dizaines de secondes un fichier VotreServerAD.pwdump est généré. Il contient la liste des comptes utilisateurs de votre domaine ainsi que le mot de passe crypté en MD5.
II. Sélectionner les comptes à décrypter :
Le décryptage d’un seul mot de passe peut durer très longtemps. Parfois plusieurs heures selon la complexité du mot de passe.
Je vous conseille donc d’éditer votre fichier VotreServerAD.pwdump afin de ne conserver que les comptes que vous souhaitez auditer.
III. Décrypter les mots de passe :
L’étape suivante va consister à décrypter les mot de passe MD5 contenus dans le fichier généré précédemment.
Pour cela, ouvrez un shell et naviguez vers le répertoire contenant l’exécutable john-386.exe puis lancez la commande suivante :
Le décryptage va alors commencer. Armez vous de patience ! Si un utilisateur à un mot de passe à 4 caractères cela va durer quelques secondes à peine, par contre à titre d’exemple il me faut 2 heures pour décrypter un mot de passe de 12 caractères dont 2 caractères spéciaux.
Pour visualiser les mot de passes qui ont été trouvés pendant le traitement ouvrez un nouveau invite shell et lancez la commande :
Pour exporter le résultat dans un fichier exportpassword.txt tapez la commande suivante :
Fgdump va nous permettre d’extraire une base de compte Windows, qu’elle soit locale (le poste d’un utilisateur) ou partagée (comme un Active Directory par exemple)
Téléchargez Fgdump et décompressez le fichier fgdump.exe contenu dans l’archive dans C:\audit
La base de compte qui va être récupérée par fgdump sera cryptée ! C’est là qu’interviendra John The Ripper.
Téléchargez John The Ripper et décompressez les fichiers contenu dans l’archive dans C:\audit
I. Récupérer la liste des comptes Active Directory :
Grâce à fgdump nous allons pouvoir récupérer une copie des “hash” des passwords utilisateurs de tout un domaine.
Ouvrez une ligne de commande et naviguez vers le répertoire où vous avez extrait fgdump.exe
Puis entrez la commande suivante:
Code:
fgdump.exe -h VotreServerAD -u CompteAdminDomain -p p4ssw0rd
Après quelques dizaines de secondes un fichier VotreServerAD.pwdump est généré. Il contient la liste des comptes utilisateurs de votre domaine ainsi que le mot de passe crypté en MD5.
II. Sélectionner les comptes à décrypter :
Le décryptage d’un seul mot de passe peut durer très longtemps. Parfois plusieurs heures selon la complexité du mot de passe.
Je vous conseille donc d’éditer votre fichier VotreServerAD.pwdump afin de ne conserver que les comptes que vous souhaitez auditer.
III. Décrypter les mots de passe :
L’étape suivante va consister à décrypter les mot de passe MD5 contenus dans le fichier généré précédemment.
Pour cela, ouvrez un shell et naviguez vers le répertoire contenant l’exécutable john-386.exe puis lancez la commande suivante :
Code:
john-386.exe VotreServerAD.pwdump
Pour visualiser les mot de passes qui ont été trouvés pendant le traitement ouvrez un nouveau invite shell et lancez la commande :
Code:
john-386.exe --show VotreServerAD.pwdump
Code:
john-386.exe --show VotreServerAD.pwdump >c:\exportpassword.txt