DPAPI - Extracting Passwords
Last updated
Last updated
Jifunze & fanya mazoezi ya AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Jifunze & fanya mazoezi ya GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
RootedCON ni tukio muhimu zaidi la usalama wa mtandao nchini Hispania na moja ya muhimu zaidi barani Ulaya. Kwa lengo la kukuza maarifa ya kiufundi, kongamano hili ni mahali pa kukutana kwa wataalamu wa teknolojia na usalama wa mtandao katika kila taaluma.
Data Protection API (DPAPI) inatumika hasa ndani ya mfumo wa uendeshaji wa Windows kwa sifuri ya usimbuaji wa funguo za kibinafsi zisizo za kawaida, ikitumia siri za mtumiaji au mfumo kama chanzo muhimu cha entropy. Njia hii inarahisisha usimbuaji kwa waendelezaji kwa kuwapa uwezo wa kusimbua data kwa kutumia funguo zilizotokana na siri za kuingia za mtumiaji au, kwa usimbuaji wa mfumo, siri za uthibitishaji wa eneo la mfumo, hivyo kuondoa haja kwa waendelezaji kusimamia ulinzi wa funguo za usimbuaji wenyewe.
Miongoni mwa data binafsi zilizolindwa na DPAPI ni:
Nywila za Internet Explorer na Google Chrome na data ya kukamilisha kiotomatiki
Nywila za barua pepe na akaunti za FTP za ndani kwa programu kama Outlook na Windows Mail
Nywila za folda za pamoja, rasilimali, mitandao isiyo na waya, na Windows Vault, ikiwa ni pamoja na funguo za usimbuaji
Nywila za muunganisho wa desktop ya mbali, .NET Passport, na funguo za kibinafsi kwa madhumuni mbalimbali ya usimbuaji na uthibitishaji
Nywila za mtandao zinazodhibitiwa na Credential Manager na data binafsi katika programu zinazotumia CryptProtectData, kama Skype, MSN messenger, na zaidi
Faili za akida zilizolindwa zinaweza kupatikana katika:
Pata taarifa za akidi kwa kutumia mimikatz dpapi::cred, katika jibu unaweza kupata taarifa za kuvutia kama vile data iliyosimbwa na guidMasterKey.
Unaweza kutumia mimikatz module dpapi::cred na /masterkey inayofaa ili kufungua:
Vifunguo vya DPAPI vinavyotumika kwa ajili ya kuficha funguo za RSA za mtumiaji vinahifadhiwa chini ya saraka ya %APPDATA%\Microsoft\Protect\{SID}, ambapo {SID} ni Kitambulisho cha Usalama cha mtumiaji huyo. Funguo la DPAPI linahifadhiwa katika faili moja na funguo kuu inayolinda funguo za faragha za watumiaji. Kwa kawaida ni bytes 64 za data za nasibu. (Kumbuka kwamba saraka hii inalindwa hivyo huwezi kuorodhesha kwa kutumia dir kutoka cmd, lakini unaweza kuorodhesha kutoka PS).
Hii ndiyo inavyoonekana kwa kundi la Master Keys za mtumiaji:
Kawaida kila master key ni funguo ya siri iliyosimbwa ambayo inaweza kufungua maudhui mengine. Hivyo, kuchota Master Key iliyosimbwa ni ya kuvutia ili kuifungua baadaye maudhui mengine yaliyosimbwa nayo.
Angalia chapisho https://www.ired.team/offensive-security/credential-access-and-credential-dumping/reading-dpapi-encrypted-secrets-with-mimikatz-and-c++ kwa mfano wa jinsi ya kuchota master key na kuifungua.
SharpDPAPI ni bandiko la C# la baadhi ya kazi za DPAPI kutoka kwa @gentilkiwi's Mimikatz mradi.
HEKATOMB ni chombo kinachotumia kiotomatiki kuchota watumiaji wote na kompyuta kutoka kwenye directory ya LDAP na kuchota funguo za nakala za kudhibiti eneo kupitia RPC. Skripti itatatua anwani za IP za kompyuta zote na kufanya smbclient kwenye kompyuta zote ili kupata DPAPI blobs za watumiaji wote na kufungua kila kitu kwa funguo za nakala za eneo.
python3 hekatomb.py -hashes :ed0052e5a66b1c8e942cc9481a50d56 DOMAIN.local/administrator@10.0.0.1 -debug -dnstcp
Kwa orodha ya kompyuta zilizochotwa kutoka LDAP unaweza kupata kila mtandao wa chini hata kama hukujua!
"Kwa sababu haki za Domain Admin hazitoshi. Wavunje wote."
DonPAPI inaweza kuchota siri zilizolindwa na DPAPI kiotomatiki.
RootedCON ni tukio muhimu zaidi la usalama wa mtandao nchini Hispania na moja ya muhimu zaidi barani Ulaya. Kwa lengo la kukuza maarifa ya kiufundi, kongamano hili ni mahali pa kukutana kwa wataalamu wa teknolojia na usalama wa mtandao katika kila taaluma.
Jifunze & fanya mazoezi ya AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Jifunze & fanya mazoezi ya GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
