Stealing Windows Credentials
Last updated
Last updated
Jifunze na fanya mazoezi ya AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Jifunze na fanya mazoezi ya GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Pata mambo mengine ambayo Mimikatz inaweza kufanya katika ukurasa huu.
Jifunze kuhusu baadhi ya ulinzi wa akiba hapa. Ulinzi huu unaweza kuzuia Mimikatz kutolewa baadhi ya akiba.
Tumia Kipengele cha Akiba ambacho nimeunda ili kutafuta nywila na hash ndani ya mwathirika.
Kama Procdump kutoka SysInternals ni chombo halali cha Microsoft, hakigunduliwi na Defender. Unaweza kutumia chombo hiki kudondosha mchakato wa lsass, kupakua dump na kuchambua akili za ndani kutoka kwa dump.
Mchakato huu unafanywa kiotomatiki kwa kutumia SprayKatz: ./spraykatz.py -u H4x0r -p L0c4L4dm1n -t 192.168.1.0/24
Kumbuka: Baadhi ya AV zinaweza kubaini kama mbaya matumizi ya procdump.exe kutekeleza lsass.exe, hii ni kwa sababu wanabaini mfuatano wa "procdump.exe" na "lsass.exe". Hivyo ni rahisi zaidi kupitisha kama hoja PID ya lsass.exe kwa procdump badala ya jina la lsass.exe.
DLL inayoitwa comsvcs.dll iliyopo katika C:\Windows\System32 inawajibika kwa kutekeleza kumbukumbu ya mchakato katika tukio la ajali. DLL hii ina kazi inayoitwa MiniDumpW, iliyoundwa kutumika kwa rundll32.exe.
Ni muhimu kutumia hoja mbili za kwanza, lakini ya tatu imegawanywa katika vipengele vitatu. Kitambulisho cha mchakato kinachohitajika kutekelezwa kinaunda kipengele cha kwanza, mahali pa faili ya dump inawakilisha cha pili, na kipengele cha tatu ni neno kamili. Hakuna chaguo mbadala.
Baada ya kuchambua vipengele hivi vitatu, DLL inahusika katika kuunda faili ya dump na kuhamasisha kumbukumbu ya mchakato ulioelezwa katika faili hii.
Matumizi ya comsvcs.dll yanawezekana kwa kutekeleza mchakato wa lsass, hivyo kuondoa haja ya kupakia na kutekeleza procdump. Njia hii imeelezwa kwa undani katika https://en.hackndo.com/remote-lsass-dump-passwords/.
Amri ifuatayo inatumika kwa utekelezaji:
Unaweza kujiandaa mchakato huu kwa kutumia lssasy.
Bonyeza kulia kwenye Kichupo cha Kazi na bonyeza kwenye Meneja wa Kazi
Bonyeza kwenye Maelezo zaidi
Tafuta mchakato wa "Local Security Authority Process" kwenye tab ya Mchakato
Bonyeza kulia kwenye mchakato wa "Local Security Authority Process" na bonyeza kwenye "Create dump file".
Procdump ni binary iliyosainiwa na Microsoft ambayo ni sehemu ya sysinternals suite.
PPLBlade ni Zana ya Kutoa Mchakato Iliohifadhiwa inayounga mkono kuficha mchakato wa kumbukumbu na kuhamasisha kwenye vituo vya mbali bila kuacha kwenye diski.
Mifumo muhimu:
Kupita ulinzi wa PPL
Kuficha faili za mchakato wa kumbukumbu ili kuepuka mifumo ya kugundua inayotegemea saini ya Defender
Kupakia mchakato wa kumbukumbu kwa njia za RAW na SMB bila kuacha kwenye diski (kutoa bila faili)
Hizi faili zinapaswa kuwa zimewekwa katika C:\windows\system32\config\SAM na C:\windows\system32\config\SYSTEM. Lakini huwezi tu kuziiga kwa njia ya kawaida kwa sababu zimehifadhiwa.
Njia rahisi ya kuiba hizi faili ni kupata nakala kutoka kwenye rejista:
Pakua hizo faili kwenye mashine yako ya Kali na toa hash kwa kutumia:
Unaweza kufanya nakala ya faili zilizolindwa ukitumia huduma hii. Unahitaji kuwa Msimamizi.
Faili ya vssadmin inapatikana tu katika toleo za Windows Server.
Lakini unaweza kufanya vivyo hivyo kutoka Powershell. Hii ni mfano wa jinsi ya kunakili faili ya SAM (diski ngumu inayotumika ni "C:" na inahifadhiwa kwenye C:\users\Public) lakini unaweza kutumia hii kwa kunakili faili yoyote iliyo na ulinzi:
Hatimaye, unaweza pia kutumia PS script Invoke-NinjaCopy kufanya nakala ya SAM, SYSTEM na ntds.dit.
Faili la NTDS.dit linajulikana kama moyo wa Active Directory, likihifadhi data muhimu kuhusu vitu vya mtumiaji, vikundi, na uanachama wao. Hapa ndipo hashes za nywila za watumiaji wa kikoa zinahifadhiwa. Faili hili ni Extensible Storage Engine (ESE) database na linapatikana katika %SystemRoom%/NTDS/ntds.dit.
Katika database hii, meza tatu kuu zinahifadhiwa:
Meza ya Data: Meza hii inawajibika kuhifadhi maelezo kuhusu vitu kama watumiaji na vikundi.
Meza ya Link: Inafuatilia uhusiano, kama vile uanachama wa vikundi.
Meza ya SD: Maelezo ya usalama kwa kila kitu yanashikiliwa hapa, kuhakikisha usalama na udhibiti wa ufikiaji kwa vitu vilivyohifadhiwa.
Taarifa zaidi kuhusu hii: http://blogs.chrisse.se/2012/02/11/how-the-active-directory-data-store-really-works-inside-ntds-dit-part-1/
Windows inatumia Ntdsa.dll kuingiliana na faili hiyo na inatumika na lsass.exe. Kisha, sehemu ya faili la NTDS.dit inaweza kupatikana ndani ya lsass kumbukumbu (unaweza kupata data iliyofikiwa hivi karibuni labda kwa sababu ya kuboresha utendaji kwa kutumia cache).
Hash inasimbwa mara 3:
Fungua Funguo la Usimbaji wa Nywila (PEK) kwa kutumia BOOTKEY na RC4.
Fungua hash kwa kutumia PEK na RC4.
Fungua hash kwa kutumia DES.
PEK ina thamani sawa katika kila kidhibiti cha kikoa, lakini inasimbwa ndani ya faili la NTDS.dit kwa kutumia BOOTKEY ya faili ya SYSTEM ya kidhibiti cha kikoa (ni tofauti kati ya vidhibiti vya kikoa). Hii ndiyo sababu ili kupata akida kutoka kwa faili la NTDS.dit unahitaji faili NTDS.dit na SYSTEM (C:\Windows\System32\config\SYSTEM).
Inapatikana tangu Windows Server 2008.
You could also use the volume shadow copy trick to copy the ntds.dit file. Remember that you will also need a copy of the SYSTEM file (again, dump it from the registry or use the volume shadow copy trick).
Once you have obtained the files NTDS.dit and SYSTEM you can use tools like secretsdump.py to extract the hashes:
Unaweza pia kuzipata kiotomatiki kwa kutumia mtumiaji halali wa admin wa kikoa:
Kwa faili kubwa za NTDS.dit inashauriwa kuzitoa kwa kutumia gosecretsdump.
Hatimaye, unaweza pia kutumia moduli ya metasploit: post/windows/gather/credentials/domain_hashdump au mimikatz lsadump::lsa /inject
Vitu vya NTDS vinaweza kutolewa kwenye hifadhidata ya SQLite kwa kutumia ntdsdotsqlite. Sio siri pekee zinazotolewa bali pia vitu vyote na sifa zao kwa ajili ya uchimbaji wa taarifa zaidi wakati faili ghafi ya NTDS.dit tayari imeshapatikana.
The SYSTEM hive is optional but allow for secrets decryption (NT & LM hashes, supplemental credentials such as cleartext passwords, kerberos or trust keys, NT & LM password histories). Along with other information, the following data is extracted : user and machine accounts with their hashes, UAC flags, timestamp for last logon and password change, accounts description, names, UPN, SPN, groups and recursive memberships, organizational units tree and membership, trusted domains with trusts type, direction and attributes...
Download the binary from here. unaweza kutumia binary hii kutoa akreditif kutoka kwa programu kadhaa.
Zana hili linaweza kutumika kutoa akiba kutoka kwenye kumbukumbu. Pakua kutoka: http://www.ampliasecurity.com/research/windows-credentials-editor/
Toa akiba kutoka kwenye faili ya SAM
Toa akisi kutoka kwa faili la SAM
Pakua kutoka: http://www.tarasco.org/security/pwdump_7 na tekeleza tu na nywila zitapatikana.
Jifunze kuhusu baadhi ya ulinzi wa akidi hapa.
Jifunze & fanya mazoezi ya AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Jifunze & fanya mazoezi ya GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
