Custom SSP
カスタム SSP
SSP(セキュリティサポートプロバイダー)についてはこちらで学んでください。 自分のSSPを作成して、クリアテキストで資格情報をキャプチャできます。
Mimilib
Mimikatzが提供するmimilib.dll
バイナリを使用できます。これにより、すべての資格情報がクリアテキストでファイルにログされます。
dllをC:\Windows\System32\
に配置します。
既存のLSAセキュリティパッケージのリストを取得します:
mimilib.dll
をセキュリティサポートプロバイダーリスト(セキュリティパッケージ)に追加します:
And after a reboot all credentials can be found in clear text in C:\Windows\System32\kiwissp.log
In memory
You can also inject this in memory directly using Mimikatz (notice that it could be a little bit unstable/not working):
これは再起動では持続しません。
緩和策
イベントID 4657 - HKLM:\System\CurrentControlSet\Control\Lsa\SecurityPackages
の監査作成/変更
Last updated