ExtractBitlockerKeys

Скрипт для системного администрирования или пост-эксплуатации для автоматического извлечения ключей восстановления Bitlocker из домена.

Возможности

• [x] Автоматически получает список всех компьютеров из LDAP-контроллера домена.
• [x] Многопоточные подключения для извлечения ключей Bitlocker из LDAP.
• [x] Итерация по страницам результатов LDAP для получения каждого компьютера домена, независимо от его размера.

[!WARNING] Пожалуйста, не храните эту резервную копию в сетевой SMB-папке домена в сети. Рекомендуется распечатать её и хранить физически в запертом сейфе. - [x] Экспорт результатов в JSON с указанием полного доменного имени компьютера (FQDN), домена, ключа восстановления, GUID тома, даты создания и организационных подразделений (OU). - [x] Экспорт результатов в XLSX с указанием полного доменного имени компьютера (FQDN), домена, ключа восстановления, GUID тома, даты создания и организационных подразделений (OU). - [x] Экспорт результатов в SQLITE3 с указанием полного доменного имени компьютера (FQDN), домена, ключа восстановления, GUID тома, даты создания и организационных подразделений (OU).

Демонстрация из Linux на Python

Для извлечения ключей восстановления Bitlocker со всех компьютеров домена domain.local вы можете использовать следующую команду:

./ExtractBitlockerKeys.py -d 'domain.local' -u 'Administrator' -p 'Podalirius123!' --dc-ip 192.168.1.101

Вы получите следующий вывод:

Демонстрация из Windows в Powershell

Для извлечения ключей восстановления Bitlocker со всех компьютеров домена domain.local вы можете использовать следующую команду:

.\ExtractBitlockerKeys.ps1 -dcip 192.168.1.101 -ExportToCSV ./keys.csv -ExportToJSON ./keys.json

Вы получите следующий вывод:

Использование

$ ./ExtractBitlockerKeys.py -h
ExtractBitlockerKeys.py v1.1 - by Remi GASCOU (Podalirius)

usage: ExtractBitlockerKeys.py [-h] [-v] [-q] [-t THREADS] [--export-xlsx EXPORT_XLSX] [--export-json EXPORT_JSON] [--export-sqlite EXPORT_SQLITE] --dc-ip ip address [-d DOMAIN] [-u USER]
                               [--no-pass | -p PASSWORD | -H [LMHASH:]NTHASH | --aes-key hex key] [-k]

options:
  -h, --help            show this help message and exit
  -v, --verbose         Verbose mode. (default: False)
  -q, --quiet           Show no information at all.
  -t THREADS, --threads THREADS
                        Number of threads (default: 4).

Output files:
  --export-xlsx EXPORT_XLSX
                        Output XLSX file to store the results in.
  --export-json EXPORT_JSON
                        Output JSON file to store the results in.
  --export-sqlite EXPORT_SQLITE
                        Output SQLITE3 file to store the results in.

Authentication & connection:
  --dc-ip ip address    IP Address of the domain controller or KDC (Key Distribution Center) for Kerberos. If omitted it will use the domain part (FQDN) specified in the identity parameter
  -d DOMAIN, --domain DOMAIN
                        (FQDN) domain to authenticate to
  -u USER, --user USER  user to authenticate with

Credentials:
  --no-pass             Don't ask for password (useful for -k)
  -p PASSWORD, --password PASSWORD
                        Password to authenticate with
  -H [LMHASH:]NTHASH, --hashes [LMHASH:]NTHASH
                        NT/LM hashes, format is LMhash:NThash
  --aes-key hex key     AES key to use for Kerberos Authentication (128 or 256 bits)
  -k, --kerberos        Use Kerberos authentication. Grabs credentials from .ccache file (KRB5CCNAME) based on target parameters. If valid credentials cannot be found, it will use the ones specified in the command line.

Вклад в проект

Приветствуются pull request. Не стесняйтесь открывать issue, если вы хотите добавить другие функции.

Ссылки

• https://learn.microsoft.com/en-us/windows/win32/adschema/a-msfve-keypackage
• https://learn.microsoft.com/en-us/windows/win32/adschema/a-msfve-recoveryguid
• https://learn.microsoft.com/en-us/windows/win32/adschema/a-msfve-recoverypassword
• https://learn.microsoft.com/en-us/windows/win32/adschema/a-msfve-volumeguid