Stealing Windows Credentials
Last updated
Last updated
Jifunze na fanya mazoezi ya AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Jifunze na fanya mazoezi ya GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Pata mambo mengine ambayo Mimikatz inaweza kufanya katika ukurasa huu.
Jifunze kuhusu baadhi ya ulinzi wa akidi hapa. Ulinzi huu unaweza kuzuia Mimikatz kutolewa baadhi ya akidi.
Tumia Kipengele cha Akidi ambacho nimeunda ili kutafuta nywila na hash ndani ya mwathirika.
Kama Procdump kutoka SysInternals ni chombo halali cha Microsoft, hakigunduliwi na Defender. Unaweza kutumia chombo hiki kudondosha mchakato wa lsass, kupakua dump na kutoa akikazi kwa ndani kutoka kwa dump.
Mchakato huu unafanywa kiotomatiki kwa kutumia SprayKatz: ./spraykatz.py -u H4x0r -p L0c4L4dm1n -t 192.168.1.0/24
Kumbuka: Baadhi ya AV zinaweza kubaini kama hatari matumizi ya procdump.exe kutekeleza lsass.exe, hii ni kwa sababu wanabaini mfuatano wa "procdump.exe" na "lsass.exe". Hivyo ni rahisi zaidi kupitisha kama hoja PID ya lsass.exe kwa procdump badala ya jina la lsass.exe.
DLL inayojulikana kama comsvcs.dll iliyopo katika C:\Windows\System32 inawajibika kwa kutekeleza kumbukumbu ya mchakato katika tukio la ajali. DLL hii ina kazi inayojulikana kama MiniDumpW, iliyoundwa kutumika kwa rundll32.exe.
Ni muhimu kutumia hoja mbili za kwanza, lakini ya tatu imegawanywa katika vipengele vitatu. Kitambulisho cha mchakato kinachotakiwa kutekelezwa kinaunda kipengele cha kwanza, mahali pa faili ya dump inawakilisha cha pili, na kipengele cha tatu ni neno full. Hakuna chaguo mbadala.
Baada ya kuchambua vipengele hivi vitatu, DLL inahusika katika kuunda faili ya dump na kuhamasisha kumbukumbu ya mchakato ulioainishwa katika faili hii.
Matumizi ya comsvcs.dll yanawezekana kwa kutekeleza mchakato wa lsass, hivyo kuondoa haja ya kupakia na kutekeleza procdump. Njia hii imeelezwa kwa undani zaidi katika https://en.hackndo.com/remote-lsass-dump-passwords/.
Amri ifuatayo inatumika kwa utekelezaji:
Unaweza kujiandaa mchakato huu kwa kutumia lssasy.
Bonyeza kulia kwenye Kichupo cha Kazi na bonyeza kwenye Meneja wa Kazi
Bonyeza kwenye Maelezo zaidi
Tafuta mchakato wa "Local Security Authority Process" kwenye tab ya Mchakato
Bonyeza kulia kwenye mchakato wa "Local Security Authority Process" na bonyeza kwenye "Create dump file".
Procdump ni binary iliyosainiwa na Microsoft ambayo ni sehemu ya sysinternals suite.
PPLBlade ni Zana ya Kutoa Mchakato Iliohifadhiwa inayounga mkono kuficha mchakato wa kumbukumbu na kuhamasisha kwenye vituo vya mbali bila kuacha kwenye diski.
Mifumo muhimu:
Kupita ulinzi wa PPL
Kuficha faili za mchakato wa kumbukumbu ili kuepuka mifumo ya kugundua inayotegemea saini ya Defender
Kupakia mchakato wa kumbukumbu kwa njia za RAW na SMB bila kuacha kwenye diski (kutoa bila faili)
Hizi faili zinapaswa kuwa katika C:\windows\system32\config\SAM na C:\windows\system32\config\SYSTEM. Lakini huwezi tu kuziandika kwa njia ya kawaida kwa sababu zimehifadhiwa.
Njia rahisi ya kuiba hizi faili ni kupata nakala kutoka kwenye rejista:
Pakua hizo faili kwenye mashine yako ya Kali na toa hash kwa kutumia:
Unaweza kufanya nakala ya faili zilizolindwa ukitumia huduma hii. Unahitaji kuwa Msimamizi.
Faili ya vssadmin inapatikana tu katika toleo za Windows Server
Lakini unaweza kufanya vivyo hivyo kutoka Powershell. Hii ni mfano wa jinsi ya kunakili faili ya SAM (diski ngumu inayotumika ni "C:" na inahifadhiwa kwenye C:\users\Public) lakini unaweza kutumia hii kwa kunakili faili yoyote iliyo na ulinzi:
Hatimaye, unaweza pia kutumia PS script Invoke-NinjaCopy kufanya nakala ya SAM, SYSTEM na ntds.dit.
Faili la NTDS.dit linajulikana kama moyo wa Active Directory, likihifadhi data muhimu kuhusu vitu vya mtumiaji, vikundi, na uanachama wao. Hapa ndipo hashes za nywila za watumiaji wa kikoa zinahifadhiwa. Faili hii ni Extensible Storage Engine (ESE) database na inapatikana katika %SystemRoom%/NTDS/ntds.dit.
Katika database hii, meza tatu kuu zinahifadhiwa:
Meza ya Data: Meza hii ina jukumu la kuhifadhi maelezo kuhusu vitu kama watumiaji na vikundi.
Meza ya Kiungo: Inafuatilia uhusiano, kama vile uanachama wa vikundi.
Meza ya SD: Maelezo ya usalama kwa kila kitu yanashikiliwa hapa, kuhakikisha usalama na udhibiti wa ufikiaji kwa vitu vilivyohifadhiwa.
Taarifa zaidi kuhusu hii: http://blogs.chrisse.se/2012/02/11/how-the-active-directory-data-store-really-works-inside-ntds-dit-part-1/
Windows inatumia Ntdsa.dll kuingiliana na faili hiyo na inatumika na lsass.exe. Kisha, sehemu ya faili la NTDS.dit inaweza kupatikana ndani ya lsass kumbukumbu (unaweza kupata data iliyofikiwa hivi karibuni labda kwa sababu ya kuboresha utendaji kwa kutumia cache).
Hash inafichwa mara 3:
Fungua Funguo la Usimbaji wa Nywila (PEK) kwa kutumia BOOTKEY na RC4.
Fungua hash kwa kutumia PEK na RC4.
Fungua hash kwa kutumia DES.
PEK ina thamani sawa katika kila kidhibiti cha kikoa, lakini inafichwa ndani ya faili ya NTDS.dit kwa kutumia BOOTKEY ya faili ya SYSTEM ya kidhibiti cha kikoa (ni tofauti kati ya vidhibiti vya kikoa). Hii ndiyo sababu ili kupata akida kutoka kwa faili la NTDS.dit unahitaji faili NTDS.dit na SYSTEM (C:\Windows\System32\config\SYSTEM).
Inapatikana tangu Windows Server 2008.
You could also use the volume shadow copy trick to copy the ntds.dit file. Remember that you will also need a copy of the SYSTEM file (again, dump it from the registry or use the volume shadow copy trick).
Once you have obtained the files NTDS.dit and SYSTEM you can use tools like secretsdump.py to extract the hashes:
Unaweza pia kuzipata kiotomatiki kwa kutumia mtumiaji halali wa admin wa kikoa:
Kwa faili kubwa za NTDS.dit inashauriwa kuzitoa kwa kutumia gosecretsdump.
Hatimaye, unaweza pia kutumia moduli ya metasploit: post/windows/gather/credentials/domain_hashdump au mimikatz lsadump::lsa /inject
Vitu vya NTDS vinaweza kutolewa kwenye hifadhidata ya SQLite kwa kutumia ntdsdotsqlite. Sio siri pekee zinazotolewa bali pia vitu vyote na sifa zao kwa ajili ya uchimbaji wa taarifa zaidi wakati faili ghafi ya NTDS.dit tayari imeshapatikana.
The SYSTEM hive ni hiari lakini inaruhusu ufichuzi wa siri (NT & LM hashes, nyongeza za akidi kama nywila za wazi, funguo za kerberos au imani, historia za nywila za NT & LM). Pamoja na taarifa nyingine, data ifuatayo inachukuliwa: akaunti za mtumiaji na mashine zikiwa na hashes zao, bendera za UAC, alama ya wakati wa kuingia kwa mwisho na mabadiliko ya nywila, maelezo ya akaunti, majina, UPN, SPN, vikundi na uanachama wa kurudi, mti wa vitengo vya shirika na uanachama, maeneo ya kuaminika yenye aina za imani, mwelekeo na sifa...
Pakua binary kutoka hapa. unaweza kutumia binary hii kutoa akidi kutoka kwa programu kadhaa.
Zana hili linaweza kutumika kutoa akiba kutoka kwenye kumbukumbu. Pakua kutoka: http://www.ampliasecurity.com/research/windows-credentials-editor/
Toa akiba kutoka kwenye faili ya SAM
Toa akisi kutoka kwa faili la SAM
Pakua kutoka: http://www.tarasco.org/security/pwdump_7 na tekeleza tu na nywila zitapatikana.
Jifunze kuhusu baadhi ya ulinzi wa akidi hapa.
Jifunze & fanya mazoezi ya AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Jifunze & fanya mazoezi ya GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
