Stealing Windows Credentials
Last updated
Last updated
Učite i vežbajte AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Učite i vežbajte GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Pronađite druge stvari koje Mimikatz može da uradi na ovoj stranici.
Saznajte više o nekim mogućim zaštitama za kredencijale ovde. Ove zaštite mogu sprečiti Mimikatz da izvuče neke kredencijale.
Koristite Credentials Plugin koji sam kreirao da tražim lozinke i hešove unutar žrtve.
Kao Procdump iz SysInternals je legitimni Microsoft alat, nije otkriven od strane Defender-a. Možete koristiti ovaj alat da izvršite dump lsass procesa, preuzmete dump i izvučete akreditive lokalno iz dump-a.
Ovaj proces se automatski obavlja pomoću SprayKatz: ./spraykatz.py -u H4x0r -p L0c4L4dm1n -t 192.168.1.0/24
Napomena: Neki AV mogu otkriti kao maliciozno korišćenje procdump.exe za dump lsass.exe, to je zato što otkrivaju string "procdump.exe" i "lsass.exe". Tako da je diskretnije proći kao argument PID lsass.exe do procdump umesto imena lsass.exe.
DLL pod imenom comsvcs.dll koji se nalazi u C:\Windows\System32 odgovoran je za dumpovanje procesne memorije u slučaju pada. Ovaj DLL uključuje funkciju pod imenom MiniDumpW, koja je dizajnirana da se poziva koristeći rundll32.exe.
Nije bitno koristiti prva dva argumenta, ali treći je podeljen na tri komponente. ID procesa koji treba dumpovati čini prvu komponentu, lokacija dump fajla predstavlja drugu, a treća komponenta je strogo reč full. Ne postoje alternativne opcije.
Nakon parsiranja ovih tri komponente, DLL se angažuje u kreiranju dump fajla i prebacivanju memorije specificiranog procesa u ovaj fajl.
Korišćenje comsvcs.dll je izvodljivo za dumpovanje lsass procesa, čime se eliminiše potreba za upload-ovanjem i izvršavanjem procdump-a. Ova metoda je detaljno opisana na https://en.hackndo.com/remote-lsass-dump-passwords/.
Sledeća komanda se koristi za izvršenje:
Možete automatizovati ovaj proces sa lssasy.
Desni klik na Task Bar i kliknite na Task Manager
Kliknite na Više detalja
Potražite proces "Local Security Authority Process" na kartici Procesi
Desni klik na proces "Local Security Authority Process" i kliknite na "Create dump file".
Procdump je Microsoft-ov potpisani binarni fajl koji je deo sysinternals paketa.
PPLBlade je alat za dumpovanje zaštićenih procesa koji podržava obfusciranje memorijskih dumpova i prenos na udaljene radne stanice bez smeštanja na disk.
Ključne funkcionalnosti:
Zaobilaženje PPL zaštite
Obfusciranje memorijskih dump fajlova kako bi se izbegle mehanizme detekcije zasnovane na potpisima Defender-a
Učitavanje memorijskog dump-a sa RAW i SMB metodama učitavanja bez smeštanja na disk (fileless dump)
Ove datoteke bi trebale da budu locirane u C:\windows\system32\config\SAM i C:\windows\system32\config\SYSTEM. Ali ne možete ih jednostavno kopirati na uobičajen način jer su zaštićene.
Najlakši način da ukradete te datoteke je da dobijete kopiju iz registra:
Preuzmite te datoteke na vaš Kali računar i izvucite hešove koristeći:
Možete izvršiti kopiranje zaštićenih fajlova koristeći ovu uslugu. Potrebno je da budete Administrator.
vssadmin binarni fajl je dostupan samo u verzijama Windows Server
Ali isto to možete uraditi iz Powershell. Ovo je primer kako kopirati SAM datoteku (hard disk koji se koristi je "C:" i čuva se u C:\users\Public) ali možete to koristiti za kopiranje bilo koje zaštićene datoteke:
Na kraju, takođe možete koristiti PS skriptu Invoke-NinjaCopy da napravite kopiju SAM, SYSTEM i ntds.dit.
Datoteka NTDS.dit je poznata kao srce Active Directory, koja sadrži ključne podatke o korisničkim objektima, grupama i njihovim članstvima. Tu se čuvaju hash-ovi lozinki za korisnike domena. Ova datoteka je Extensible Storage Engine (ESE) baza podataka i nalazi se na %SystemRoom%/NTDS/ntds.dit.
Unutar ove baze podataka održavaju se tri glavne tabele:
Data Table: Ova tabela je zadužena za čuvanje detalja o objektima kao što su korisnici i grupe.
Link Table: Prati odnose, kao što su članstva u grupama.
SD Table: Sigurnosni opisi za svaki objekat se ovde čuvaju, osiguravajući sigurnost i kontrolu pristupa za pohranjene objekte.
Više informacija o ovome: http://blogs.chrisse.se/2012/02/11/how-the-active-directory-data-store-really-works-inside-ntds-dit-part-1/
Windows koristi Ntdsa.dll za interakciju sa tom datotekom i koristi ga lsass.exe. Tada, deo datoteke NTDS.dit može biti lociran unutar lsass memorije (možete pronaći poslednje pristupane podatke verovatno zbog poboljšanja performansi korišćenjem cache).
Hash je šifrovan 3 puta:
Dešifrujte Ključ za šifrovanje lozinke (PEK) koristeći BOOTKEY i RC4.
Dešifrujte hash koristeći PEK i RC4.
Dešifrujte hash koristeći DES.
PEK ima istu vrednost u svakom kontroleru domena, ali je šifrovan unutar datoteke NTDS.dit koristeći BOOTKEY datoteke SYSTEM kontrolera domena (različit između kontrolera domena). Zato da biste dobili kredencijale iz datoteke NTDS.dit potrebni su vam datoteke NTDS.dit i SYSTEM (C:\Windows\System32\config\SYSTEM).
Dostupno od Windows Server 2008.
Možete takođe koristiti trik sa volume shadow copy da kopirate ntds.dit datoteku. Zapamtite da će vam takođe biti potrebna kopija SYSTEM datoteke (ponovo, izvucite je iz registra ili koristite trik sa volume shadow copy).
Kada dobijete datoteke NTDS.dit i SYSTEM, možete koristiti alate kao što je secretsdump.py da izvučete hash-ove:
Možete takođe automatski izvući koristeći važećeg korisnika sa administratorskim pravima na domeni:
Za velike NTDS.dit datoteke preporučuje se da ih izvučete koristeći gosecretsdump.
Na kraju, možete koristiti i metasploit modul: post/windows/gather/credentials/domain_hashdump ili mimikatz lsadump::lsa /inject
NTDS objekti mogu biti izvučeni u SQLite bazu podataka pomoću ntdsdotsqlite. Ne samo da se izvlače tajne, već i ceo objekti i njihova svojstva za dalju ekstrakciju informacija kada je sirova NTDS.dit datoteka već preuzeta.
The SYSTEM hive is optional but allow for secrets decryption (NT & LM hashes, supplemental credentials such as cleartext passwords, kerberos or trust keys, NT & LM password histories). Along with other information, the following data is extracted : user and machine accounts with their hashes, UAC flags, timestamp for last logon and password change, accounts description, names, UPN, SPN, groups and recursive memberships, organizational units tree and membership, trusted domains with trusts type, direction and attributes...
Preuzmite binarni fajl ovde. možete koristiti ovaj binarni fajl za ekstrakciju kredencijala iz nekoliko softvera.
Ovaj alat se može koristiti za ekstrakciju kredencijala iz memorije. Preuzmite ga sa: http://www.ampliasecurity.com/research/windows-credentials-editor/
Ekstraktujte kredencijale iz SAM fajla
Izvuci akreditive iz SAM datoteke
Preuzmite ga sa: http://www.tarasco.org/security/pwdump_7 i jednostavno izvršite ga i lozinke će biti ekstraktovane.
Saznajte više o zaštiti kredencijala ovde.
Saznajte i vežbajte AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Saznajte i vežbajte GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
