Stealing Windows Credentials
Mimikatz de Credenciais
Encontre outras funcionalidades que o Mimikatz pode realizar nesta página.
Invoke-Mimikatz
Saiba mais sobre algumas possíveis proteções de credenciais aqui. Essas proteções podem impedir que o Mimikatz extraia algumas credenciais.
Credenciais com Meterpreter
Use o Plugin de Credenciais que eu criei para procurar por senhas e hashes dentro da vítima.
Bypassing AV
Procdump + Mimikatz
Como o Procdump da SysInternals é uma ferramenta legítima da Microsoft, não é detectado pelo Defender. Você pode usar essa ferramenta para fazer dump do processo lsass, baixar o dump e extrair as credenciais localmente do dump.
Este processo é feito automaticamente com SprayKatz: ./spraykatz.py -u H4x0r -p L0c4L4dm1n -t 192.168.1.0/24
Nota: Alguns AV podem detectar como malicioso o uso do procdump.exe para fazer dump do lsass.exe, isso ocorre porque estão detectando as strings "procdump.exe" e "lsass.exe". Portanto, é mais discreto passar como argumento o PID do lsass.exe para o procdump em vez de o nome lsass.exe.
Fazendo dump do lsass com comsvcs.dll
Uma DLL chamada comsvcs.dll encontrada em C:\Windows\System32
é responsável por fazer dump da memória do processo em caso de falha. Esta DLL inclui uma função chamada MiniDumpW
, projetada para ser invocada usando rundll32.exe
.
Não são relevantes os dois primeiros argumentos, mas o terceiro é dividido em três componentes. O ID do processo a ser dumpado constitui o primeiro componente, a localização do arquivo de dump representa o segundo, e o terceiro componente é estritamente a palavra full. Não existem opções alternativas.
Ao analisar esses três componentes, a DLL se engaja em criar o arquivo de dump e transferir a memória do processo especificado para este arquivo.
A utilização da comsvcs.dll é viável para fazer dump do processo lsass, eliminando assim a necessidade de fazer upload e executar o procdump. Este método é descrito detalhadamente em https://en.hackndo.com/remote-lsass-dump-passwords/.
O comando a seguir é empregado para a execução:
Você pode automatizar esse processo com lssasy.
Despejando lsass com o Gerenciador de Tarefas
Clique com o botão direito na Barra de Tarefas e clique em Gerenciador de Tarefas
Clique em Mais detalhes
Procure pelo processo "Processo de Autoridade de Segurança Local" na guia Processos
Clique com o botão direito no processo "Processo de Autoridade de Segurança Local" e clique em "Criar arquivo de despejo".
Despejando lsass com procdump
Procdump é um binário assinado pela Microsoft que faz parte da suíte sysinternals.
Despejando lsass com PPLBlade
PPLBlade é uma ferramenta de despejo de Processo Protegido que suporta a obfuscação do despejo de memória e a transferência para estações de trabalho remotas sem gravá-lo no disco.
Funcionalidades principais:
Bypass da proteção PPL
Obfuscação de arquivos de despejo de memória para evitar mecanismos de detecção baseados em assinaturas do Defender
Upload de despejo de memória com métodos de upload RAW e SMB sem gravá-lo no disco (despejo sem arquivo)
CrackMapExec
Despejar hashes SAM
Extrair segredos LSA
Extrair o NTDS.dit do DC de destino
Extrair o histórico de senhas do NTDS.dit do DC alvo
Mostrar o atributo pwdLastSet para cada conta NTDS.dit
Roubo de SAM & SYSTEM
Esses arquivos devem estar localizados em C:\windows\system32\config\SAM e C:\windows\system32\config\SYSTEM. Mas você não pode simplesmente copiá-los de forma regular porque eles estão protegidos.
Do Registro
A maneira mais fácil de roubar esses arquivos é obter uma cópia do registro:
Baixe esses arquivos para sua máquina Kali e extraia os hashes usando:
Cópia de Sombra de Volume
Você pode realizar a cópia de arquivos protegidos usando este serviço. Você precisa ser Administrador.
Usando vssadmin
O binário vssadmin está disponível apenas nas versões do Windows Server
Mas você pode fazer o mesmo a partir do Powershell. Este é um exemplo de como copiar o arquivo SAM (o disco rígido usado é "C:" e é salvo em C:\users\Public), mas você pode usar isso para copiar qualquer arquivo protegido:
Código do livro: https://0xword.com/es/libros/99-hacking-windows-ataques-a-sistemas-y-redes-microsoft.html
Invoke-NinjaCopy
Por fim, você também pode usar o script PS Invoke-NinjaCopy para fazer uma cópia do SAM, SYSTEM e ntds.dit.
Credenciais do Active Directory - NTDS.dit
O arquivo NTDS.dit é conhecido como o coração do Active Directory, contendo dados cruciais sobre objetos de usuário, grupos e suas associações. É onde os hashes de senha dos usuários do domínio são armazenados. Este arquivo é um banco de dados do Extensible Storage Engine (ESE) e reside em %SystemRoom%/NTDS/ntds.dit.
Dentro deste banco de dados, três tabelas principais são mantidas:
Tabela de Dados: Esta tabela é responsável por armazenar detalhes sobre objetos como usuários e grupos.
Tabela de Links: Ela mantém o controle de relacionamentos, como associações de grupos.
Tabela SD: Descritores de segurança para cada objeto são mantidos aqui, garantindo a segurança e controle de acesso para os objetos armazenados.
Mais informações sobre isso: http://blogs.chrisse.se/2012/02/11/how-the-active-directory-data-store-really-works-inside-ntds-dit-part-1/
O Windows usa Ntdsa.dll para interagir com esse arquivo e é usado pelo lsass.exe. Então, parte do arquivo NTDS.dit pode estar localizada dentro da memória do lsass
(você pode encontrar os dados acessados mais recentemente provavelmente devido à melhoria de desempenho ao usar um cache).
Descriptografando os hashes dentro do NTDS.dit
O hash é cifrado 3 vezes:
Descriptografar a Chave de Criptografia de Senha (PEK) usando o BOOTKEY e RC4.
Descriptografar o hash usando PEK e RC4.
Descriptografar o hash usando DES.
PEK tem o mesmo valor em cada controlador de domínio, mas é cifrado dentro do arquivo NTDS.dit usando o BOOTKEY do arquivo SYSTEM do controlador de domínio (é diferente entre controladores de domínio). Por isso, para obter as credenciais do arquivo NTDS.dit, você precisa dos arquivos NTDS.dit e SYSTEM (C:\Windows\System32\config\SYSTEM).
Copiando o NTDS.dit usando o Ntdsutil
Disponível desde o Windows Server 2008.
Você também pode usar o truque do volume shadow copy para copiar o arquivo ntds.dit. Lembre-se de que você também precisará de uma cópia do arquivo SYSTEM (novamente, faça o dump do registro ou use o truque do volume shadow copy).
Extraindo hashes do NTDS.dit
Depois de ter obtido os arquivos NTDS.dit e SYSTEM, você pode usar ferramentas como o secretsdump.py para extrair os hashes:
Você também pode extrair automaticamente usando um usuário administrador de domínio válido:
Para grandes arquivos NTDS.dit, é recomendado extrair usando gosecretsdump.
Por fim, você também pode usar o módulo metasploit: post/windows/gather/credentials/domain_hashdump ou mimikatz lsadump::lsa /inject
Extraindo objetos de domínio do NTDS.dit para um banco de dados SQLite
Objetos NTDS podem ser extraídos para um banco de dados SQLite com ntdsdotsqlite. Não apenas segredos são extraídos, mas também os objetos inteiros e seus atributos para extração de informações adicionais quando o arquivo NTDS.dit bruto já foi recuperado.
O hive SYSTEM
é opcional, mas permite a descriptografia de segredos (hashes NT & LM, credenciais suplementares como senhas em texto simples, chaves kerberos ou de confiança, históricos de senhas NT & LM). Juntamente com outras informações, os seguintes dados são extraídos: contas de usuário e máquina com seus hashes, flags UAC, carimbo de data/hora do último logon e alteração de senha, descrição de contas, nomes, UPN, SPN, grupos e associações recursivas, árvore de unidades organizacionais e associações, domínios confiáveis com tipo de confiança, direção e atributos...
Lazagne
Baixe o binário da qui. Você pode usar este binário para extrair credenciais de vários softwares.
Outras ferramentas para extrair credenciais do SAM e LSASS
Windows credentials Editor (WCE)
Esta ferramenta pode ser usada para extrair credenciais da memória. Faça o download em: http://www.ampliasecurity.com/research/windows-credentials-editor/
fgdump
Extrai credenciais do arquivo SAM
PwDump
Extrair credenciais do arquivo SAM
PwDump7
Baixe em: http://www.tarasco.org/security/pwdump_7 e apenas execute-o e as senhas serão extraídas.
Defesas
Last updated