RDPea: ดึงข้อมูลและถอดรหัสข้อมูลประจำตัว Windows Remote Desktop ที่เก็บไว้
ตรวจสอบ RDPea จาก bluewhackadoo ซึ่งเป็นยูทิลิตี้ Windows ที่ดึงข้อมูลและถอดรหัสข้อมูลรับรอง Remote Desktop Protocol ที่เก็บไว้ในเครื่อง มันสแกน Windows Credential Manager และใช้ระบบ Data Protection API เพื่อแปลงบล็อกที่เข้ารหัสให้เป็นชื่อผู้ใช้และรหัสผ่านที่อ่านได้ผ่านทางอินเทอร์เฟซบรรทัดคำสั่ง โดยระบุชื่อโฮสต์และบัญชีที่เกี่ยวข้อง ไม่ต้องการการติดตั้งที่ซับซ้อน และโครงการนี้เป็น โอเพนซอร์ส สำหรับการตรวจสอบโค้ด ผู้ดูแลระบบและมืออาชีพด้านความปลอดภัยจะได้รับเครื่องมือการตรวจสอบและกู้คืนที่พกพาได้สำหรับโปรไฟล์ในเครื่อง
เครื่องมือค้นหาและเปิดเผยอะไร
เครื่องมือมุ่งเป้าไปที่ข้อมูลรับรอง Remote Desktop ที่บันทึกไว้ภายใน Windows Credential Manager มันค้นหาข้อมูลเฉพาะ RDP ดึงชื่อผู้ใช้และตัวระบุโฮสต์ที่เกี่ยวข้องออกมา และใช้ Data Protection API ในเครื่องเพื่อถอดรหัสข้อมูลรหัสผ่านให้เป็นข้อความธรรมดา การทำงานจากอินเทอร์เฟซบรรทัดคำสั่งทำให้ผู้ดูแลระบบสามารถนับจำนวน กรอง และส่งออกผลลัพธ์ไปยังข้อความ ซึ่งเหมาะสำหรับการตรวจสอบแบบสคริปต์และงานกู้คืนเครื่องเดียวที่ข้อมูลรับรองยังคงเชื่อมโยงกับโปรไฟล์ผู้ใช้ในเครื่อง
มันมีผลกระทบต่อทรัพยากรระบบในระหว่างการใช้งานหรือไม่?
เนื่องจากการออกแบบเน้นการใช้ทรัพยากรน้อย การนับจำนวนและการถอดรหัสเป็นการดำเนินการในเครื่องที่หลีกเลี่ยงการสแกนดิสก์หรือกิจกรรมเครือข่ายที่ยาวนาน งานประกอบด้วยการอ่านข้อมูลจาก Credential Manager และเรียกใช้งานการถอดรหัส DPAPI ดังนั้นเครื่องมือจึงไม่ทำให้เกิดการใช้งาน CPU หรือ I/O ที่ยาวนาน การดำเนินการขึ้นอยู่กับการมีอยู่ของ .NET runtime ที่เข้ากันได้ ดังนั้นการติดตั้งจึงต้องการให้ runtime นั้นมีอยู่บนเดสก์ท็อปเป้าหมาย
มันปลอดภัยที่จะใช้งานบนเครื่องผลิตหรือไม่?
ความปลอดภัยขึ้นอยู่กับขอบเขตและสิทธิ์ของบัญชี: เครื่องมือใช้ Windows Data Protection API ซึ่งเป็นกลไกเดียวกับที่ Windows ใช้เพื่อปกป้องความลับ และสถานะโอเพนซอร์สของมันอนุญาตให้ตรวจสอบโค้ดของขั้นตอนการถอดรหัสและการจัดการไฟล์ สิทธิ์การดูแลระบบอาจจำเป็นต้องเข้าถึงข้อมูลรับรองที่บันทึกโดยผู้ใช้อื่นหรือบัญชีระบบ ดังนั้นผู้ปฏิบัติงานควรตรวจสอบขอบเขตของบัญชีและทำงานในสภาพแวดล้อมที่ควบคุมเมื่อทำการตรวจสอบระบบผลิต
คุณต้องมีความรู้ทางเทคนิคในการใช้งานหรือไม่?
การใช้เครื่องมือต้องการความคุ้นเคยกับบรรทัดคำสั่งและความเข้าใจเกี่ยวกับขอบเขตบัญชีของ Windows CLI ทำให้เหมาะสำหรับการตรวจสอบแบบสคริปต์ การนับจำนวนแบบกลุ่ม และการทำงานแบบพกพาครั้งเดียว เพราะไม่มีการติดตั้งที่ซับซ้อน ผู้ชมที่ระบุคือผู้ดูแลระบบระบบ ผู้เชี่ยวชาญด้าน IT และนักวิจัยด้านความปลอดภัย; ผู้ใช้ทั่วไปที่ไม่มีประสบการณ์ในบรรทัดคำสั่งอาจพบว่ามีอินเทอร์เฟซที่กระชับและควรเตรียมสภาพแวดล้อมทดสอบที่ควบคุมก่อนที่จะใช้เครื่องมือบนเครื่องที่สำคัญ
เครื่องมือการตรวจสอบและการกู้คืนที่ใช้งานได้จริงพร้อมการแลกเปลี่ยนบรรทัดคำสั่ง
RDPea เป็นตัวเลือกที่ใช้งานได้จริงสำหรับผู้ดูแลระบบที่ต้องการกู้คืนหรือทำการตรวจสอบข้อมูลรับรอง RDP ที่บันทึกไว้ในระดับเครื่องท้องถิ่น มันให้การถอดรหัสที่โปร่งใสและตรวจสอบได้โดยใช้กลไกการป้องกันระบบและรวมเข้ากับการทำงานในสคริปต์ ข้อควรระวังหลักคือการมุ่งเน้นที่บรรทัดคำสั่งร่วมกับข้อจำกัดสิทธิ์บัญชี ซึ่งลดความเหมาะสมสำหรับผู้ใช้ที่ไม่ใช่ทางเทคนิค มันทำงานได้อย่างเชื่อถือได้สำหรับการดึงข้อมูลรับรองที่มุ่งเป้าและงานตรวจสอบในระบบเดสก์ท็อป.
