搜索

[10241] 2016-06-27_如何防止Mimikatz「获取」Windows密码

文档创建者：s7ckTeam
浏览次数：24
最后更新：2025-01-18
2016-06-27_如何防止Mimikatz「获取」Windows密码 如 何 防 止 M i m i k a t z 「 获 取 」 W i n d o w s 密 码 东 二 门 陈 冠 希   F r e e B u f   2 0 1 6 - 0 6 - 2 7 黑 客 总 是 在 用 最 简 单 的 攻 击 方 式 来 实 现 他 们 的 目 的 ， 比 如 用 已 经 存 在 了 好 多 年 的 工 具 黑 客 总 是 在 用 最 简 单 的 攻 击 方 式 来 实 现 他 们 的 目 的 ， 比 如 用 已 经 存 在 了 好 多 年 的 工 具 — — M i m i k a t z （ 猕 猴 桃 ） ， 它 可 以 从 （ 猕 猴 桃 ） ， 它 可 以 从 系 统 内 存 中 轻 松 获 取 到 明 文 密 码 。 系 统 内 存 中 轻 松 获 取 到 明 文 密 码 。 受 影 响 的 系 统 受 影 响 的 系 统 W i n d o w s   7 和 W i n d o w s   S e r v e r   2 0 0 8 （ 老 系 统 也 受 影 响 ） 。 最 新 的 W i n d o w s   8   /   1 0   、 W i n d o w s   S e r v e r   2 0 1 2   /   2 0 1 6 原 本 是 不 受 影 响 的 ， 但 是 高 权 限 的 黑 客 可 以 通 过 修 改 注 册 表 来 实 现 这 样 的 攻 击 。 风 险 风 险 黑 客 拥 有 系 统 管 理 员 权 限 ， 就 能 从 内 存 中 获 取 登 录 认 证 信 息 （ 明 文 / 各 种 哈 希 格 式 ） 。 描 述 描 述 在 W i n d o w s   X P 中 ， M i c r o s o f t 增 加 了 对 “ W D i g e s t ” 协 议 的 支 持 。 该 协 议 基 于 R F C   2 6 1 7 和 2 8 3 1 。 客 户 端 用 该 协 议 向 H T T P 和 S A S L 应 用 发 送 明 文 凭 证 ， W i n d o w s 会 将 密 码 缓 存 在 内 存 中 ， 便 于 用 户 登 录 本 地 工 作 站 。 这 也 就 是 利 用 M i m i k a t z 工 具 进 行 攻 击 的 基 础 了 。 演 示 演 示 我 们 在 实 验 环 境 中 设 置 了 如 下 系 统 ： 我 们 的 域 控 服 务 器 运 行 W i n d o w s   2 0 1 2   R 2 系 统 。 我 们 用 C r a c k M a p E x e c （ h t t p s : / / g i t h u b . c o m / b y t 3 b l 3 3 d 3 r / C r a c k M a p E x e c ） 来 模 拟 如 何 从 这 些 系 统 中 获 取 认 证 信 息 。 在 服 务 器 上 通 过 在 服 务 器 上 通 过 p o w e r s h e l l 来 执 行 来 执 行 M i m i k a t z ， 获 取 的 认 证 信 息 如 下 。 非 常 明 了 ！ 是 明 文 的 ： ， 获 取 的 认 证 信 息 如 下 。 非 常 明 了 ！ 是 明 文 的 ：         建 议 建 议 M i c r o s o f t 先 前 就 发 布 了 K B   2 8 7 1 9 9 7 补 丁 ， 就 是 用 于 解 决 该 问 题 ， 以 及 相 关 的 另 外 几 个 问 题 的 。 上 述 补 丁 安 装 过 后 ， 我 们 还 需 要 修 改 注 册 表 ， 防 止 认 证 信 息 被 缓 存 在 内 存 中 。 值 得 一 提 的 是 ， 某 些 I I S 服 务 器 可 能 会 配 置 使 用 W D i g e
s t 身 份 认 证 。 我 们 建 议 先 在 实 验 环 境 中 测 试 上 述 修 复 方 案 ， 如 果 没 有 问 题 再 更 新 到 生 产 环 境 中 。 我 们 可 以 通 过 如 下 命 令 来 测 试 修 改 是 否 生 效 ： r e g   q u e r y   H K L M S Y S T E M C u r r e n t C o n t r o l S e t C o n t r o l S e c u r i t y P r o v i d e r s W D i g e s t   / v   U s e L o g o n C r e d e n t i a l 如 果 成 功 ， 系 统 应 该 会 返 回 如 下 内 容 ： H K E Y _ L O C A L _ M A C H I N E S Y S T E M C u r r e n t C o n t r o l S e t C o n t r o l S e c u r i t y P r o v i d e r s W D i g e s t U s e L o g o n C r e d e n t i a l         R E G _ D W O R D         0 x 0 很 多 用 户 更 喜 欢 通 过 组 策 略 （ G r o u p   P o l i c y ） 来 修 改 注 册 表 ， 按 照 微 软 给 出 的 步 骤 操 作 即 可 。 打 开 组 策 略 管 理 控 制 台 （ G r o u p   P o l i c y   M a n a g e m e n t   C o n s o l e ） ， 右 键 单 击 组 策 略 对 象 （ G r o u p   P o l i c y   o b j e c ） ， 然 后 点 击 编 辑 （ E d i t ） 。 在 控 制 台 中 ， 计 算 机 配 置 （ C o m p u t e r   C o n f i g u r a t i o n ） 或 者 用 户 配 置 （ U s e r   C o n f i g u r a t i o n ） 下 ， 打 开 预 设 （ P r e f e r e n c e s ） 文 件 夹 ， 再 打 开 窗 口 设 置 文 件 夹 （ W i n d o w s   S e t t i n g s ） ， 右 键 单 击 注 册 表 （ R e g i s t r y ） ， 然 后 新 建 一 个 注 册 表 ， 选 择 “ 注 册 项 （ R e g i s t r y   I t e m ） ” 。
在 新 建 注 册 表 项 对 话 框 中 ， 下 拉 菜 单 中 选 择 “ C r e a t （ 创 建 ） ” ， 输 入 如 下 数 据 ： 设 置 好 点 击 “ 确 认 ” ， 新 添 加 的 项 就 会 显 示 在 右 边 的 目 录 中 。 在 W i n d o w s   7 和 2 0 0 8 系 统 中 执 行 下 面 这 句 命 令 （ 跳 过 组 策 略 刷 新 间 隔 ） ： g p u p d a t e 现 在 来 验 证 一 下 修 改 是 否 完 成 ， 如 下 图 说 明 我 们 在 W i n d o w s   7 中 修 改 成 功 。
W i n d o w s   S e r v e r   2 0 0 8   R 2 系 统 中 看 起 来 是 这 样 的 ： 现 在 我 们 重 启 两 台 电 脑 ， 然 后 使 用 先 前 的 域 登 录 凭 证 登 录 系 统 。 修 改 注 册 表 其 实 是 不 需 要 重 启 电 脑 的 ， 但 因 为 登 录 凭 证 是 缓 存 在 内 存 中 的 ， 所 以 还 是 需 要 重 启 清 理 一 下 。 最 后 我 们 再 用 C r a c k M a p E x e c （ h t t p s : / / g i t h u b . c o m / b y t 3 b l 3 3 d 3 r / C r a c k M a p E x e c ） 工 具 尝 试 看 看 是 不 是 能 获 取 到 登 录 凭 证 。
如 你 所 见 ， 我 们 已 经 不 能 从 内 存 中 获 取 到 明 文 凭 证 了 。 当 然 ， 还 是 可 以 看 到 N T L M   h a s h 。 由 此 可 见 ， 强 密 码 和 双 因 子 认 证 是 防 止 认 证 密 码 被 破 解 的 重 要 手 段 。 另 外 ， 我 们 也 需 要 较 好 的 策 略 来 防 止 哈 希 传 递 攻 击 。 拥 有 系 统 权 限 的 攻 击 者 仍 然 能 通 过 恢 复 注 册 表 来 实 现 攻 击 ， 所 以 仍 要 关 注 注 册 表 的 未 授 权 更 改 情 况 。 译 者 注 ： 译 者 注 ： 通 过 这 样 的 手 段 ， 虽 说 不 能 完 全 阻 止 黑 客 ， 但 是 至 少 能 给 黑 客 制 造 无 数 的 麻 烦 ， 非 常 提 倡 这 么 做 。 通 过 这 样 的 手 段 ， 虽 说 不 能 完 全 阻 止 黑 客 ， 但 是 至 少 能 给 黑 客 制 造 无 数 的 麻 烦 ， 非 常 提 倡 这 么 做 。 *   参 考 来 源 ： p r a e t o r i a n ， F B 小 编 东 二 门 陈 冠 希 编 译 ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ） 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理