搜索

[18578] 2021-06-18_内网渗透了解和防御Mimikatz抓取密码的原理

文档创建者：s7ckTeam
浏览次数：42
最后更新：2025-01-18
2021-06-18_内网渗透了解和防御Mimikatz抓取密码的原理 内 网 渗 透   |   了 解 和 防 御 M i m i k a t z 抓 取 密 码 的 原 理 原 创   c k i n   H A C K 学 习 呀   2 0 2 1 - 0 6 - 1 8 收 录 于 话 题 # 实 战 渗 透   , 3 # 横 向 移 动   , 3 P r e f a c e 前 不 久 在 使 用 m i m i k a t z 抓 取 h a s h 的 时 候 遇 到 了 报 错 ， 本 着 追 根 溯 源 的 原 则 去 查 看 了 m i m i k a t z 抓 取 密 码 的 原 理 。 在 学 习 的 过 程 中 发 现 了 m i m i k a t z 的 每 种 报 错 都 有 不 同 的 原 因 ， 本 文 就 记 录 一 下 自 己 的 学 习 过 程 ， 从 m i m i k a t z 的 防 御 角 度 出 发 来 分 析 如 何 防 御 m i m i k a t z 抓 取 密 码 。 D e b u g   P r i v i l e g e 这 里 先 放 一 个 微 软 官 方 对 调 试 权 限 的 解 释 ： 在   w i n d o w s ， 调 试 权 限 可 以 来 调 试 进 程 ， 甚 是 调 试 内 核 。 对 于     的 工 作 原 理 必 须 要 读 取 内 存 ， 那 么 只 有 它 拥 有 了 调 试 的 权 限 才 能 去 打 开 进 程 。 所 以 能 抓 取 的 一 个 必 要 条 件 拥 有 调 试 程 序 的 权 限 。 默 认 情 况 下 ， 本 地 管 理 员 组 是 由 这 个 权 限 的 。 但 是 ， 除 非 管 理 员 是 个 程 序 员 ， 般 他 应 该 不 到 这 种 权 限 ， 因 为 普 通 使 用 电 脑 的 用 户 一 般 不 会 去 调 试 程 序 。 为 什 么 需 要 管 理 员 权 限 才 能 够 抓 取 也 是 这 个 原 因 ， 如 果 只 是 一 个 权 限 就 获 得 不 了 调 试 程 序 的 权 限 。 本 地 安 全 策 略 是 默 认 给 管 理 员 组 权 限 的 调 试 权 限 允 许 某 人 调 试 他 们 原 本 无 权 访 问 的 进 程 。 例 如 ， 以 在 其 令 牌 上 启 用 调 试 权 限 的 用 户 身 份 运 行 的 进 程 可 以 调 试 作 为 本 地 系 统 运 行 的 服 务 。 调 试 权 限 是 一 种 安 全 策 略 设 置 ， 允 许 用 户 将 调 试 器 附 加 到 进 程 或 内 核 。 管 理 员 可 以 修 改 用 户 组 的 安 全 策 略 以 包 含 或 删 除 此 功 能 。 正 在 调 试 自 己 的 应 用 程 序 的 开 发 人 员 不 需 要 此 用 户 权 限 。 调 试 系 统 组 件 或 调 试 远 程 组 件 的 开 发 人 员 将 需 要 此 用 户 权 限 。 此 用 户 权 限 提 供 对 敏 感 和 关 键 操 作 系 统 组 件 的 完 全 访 问 权 限 。 默 认 情 况 下 ， 为 具 有 管 理 员 权 限 的 用 户 启 用 此 属 性 。 具 有 管 理 员 权 限 的 用 户 可 以 为 其 他 用 户 组 启 用 此 属 性 。 m i m i k a t z m i m i k a t z h a s h m i m i k a t z h a s h u s e r
在 组 策 略 里 面 也 是 把 调 试 程 序 这 个 权 限 给 了 管 理 员 。 这 里 提 一 个 w i n d o w s 的 效 力 位 阶 ， 默 认 情 况 下 ， 多 条 策 略 不 冲 突 的 情 况 下 ， 多 条 策 略 是 合 并 的 关 系 ； 如 果 冲 突 的 话 ， 优 先 级 高 的 适 用 ， 优 先 级 从 低 到 高 分 别 为 那 么 这 里 在 本 地 和 组 策 略 都 为 把 这 个 权 限 给 了 管 理 员 的 情 况 下 也 不 需 要 使 用 w i n d o w s 的 效 力 位 阶 再 去 分 配 权 限 ， 即 权 限 就 能 够 调 试 程 序 l o c a l   p o l i c y （ 本 地 ） － >   s i t e   p o l i c y （ 站 点 ） － >     d o m a i n   p o l i c y （ 域 ） － >   o u   p o l i c y （ 组 织 单 元 ） A d m i n i s t r a t o r
这 里 在 没 有 更 改 原 始 本 地 策 略 和 组 策 略 的 情 况 下 ， 使 用 提 升 权 限 是 能 够 提 权 成 功 的 但 当 我 在 组 策 略 中 将 调 试 程 序 设 为 空 ， 即 任 何 权 限 都 不 能 够 调 试 程 序 的 情 况 下 再 去 尝 试 用 提 升 权 限 p r i v i l e g e : : d e b u g p r i v i l e g e : : d e b u g
发 现 已 经 报 错 ， 不 能 提 升 权 限 ， 根 本 原 因 就 是 因 为 不 能 够 获 取 调 试 权 限 则 不 能 够 提 权 W D i g e s t 何 为 m i m i k a t z W D i g e s t
? 有 何 作 用 ？ 回 到 在 使 用 过 程 中 的 作 用 ， 我 们 知 道 利 用 和 进 行 身 份 验 证 ， 具 体 表 现 为 把 明 文 密 码 存 在 进 程 里 通 过 进 行 认 证 。 这 也 衍 生 出 了 一 个 问 题 ， 一 旦 攻 击 者 从 中 利 用 ， 就 可 以 获 得 明 文 ， 所 以 明 文 传 输 是 极 其 不 安 全 的 。 所 以 在 w i n 2 0 0 8 之 后 的 版 本 是 默 认 不 启 用 的 ， 在 w i n 2 0 0 8 之 前 的 版 本 虽 然 打 开 了 ， 但 是 如 果 系 统 上 安 装 了 补 丁 的 话 ， 也 不 能 从 中 获 得 明 文 。 这 里 说 到 补 丁 补 充 一 个 点 ， 我 们 知 道 这 个 补 丁 的 作 用 就 是 关 闭 ， 但 是 并 不 是 完 全 关 闭 。 因 为 某 些 系 统 服 务 ( 如 I I S 的 S S O 身 份 认 证 ) 就 需 要 用 到 ， 所 以 这 里 微 软 选 择 了 一 个 折 中 的 方 法 ， 让 用 户 选 择 是 否 关 闭 ， 安 装 补 丁 之 后 可 以 自 己 选 择 是 否 开 启 W D i g e s t 即 摘 要 身 份 验 证 ， 摘 要 身 份 验 证 是 一 种 质 询 / 响 应 协 议 ， 主 要 在   W i n d o w s   S e r v e r   2 0 0 3   中 用 于   L D A P   和 基 于   W e b   的 身 份 验 证 。 它 利 用 超 文 本 传 输 协 议 W D i g e s t W i n d o w s   安 全 审 核 应 该 是 每 个 人 的 优 先 事 项 ， 了 解 您 的 端 点 的 配 置 方 式 以 及 它 们 可 能 为 恶 意 用 户 打 开 哪 些 门 与 保 护 任 何 环 境 都 相 关 。 这 就 是 如 果 恶 意 用 户 可 以 访 问 端 点 并 能 够 运 行 像   M i m i k a t z   这 样 的 工 具 ， 他 们 不 仅 可 以 获 得 当 前 存 储 在 内 存 中 的 哈 希 值 ， 而 且 还 可 以 获 得 帐 户 的 明 文 密 码 。 这 显 然 是 一 个 问 题 ， 因 为 现 在 他 们 不 仅 能 够 利 用 像 W D i g e s t m i m i k a t z W D i g e s t H T T P S A S L l s a s s . e x e h t t p W D i g e s t W D i g e s t W D i g e s t K B 2 8 7 1 9 9 7 K B 2 8 7 1 9 9 7 K B 2 8 7 1 9 9 7 W D i g e s t   A u t h W D i g e s t   A u t h W D i g e s t   A u t h W D i g e s t  
， 如 果 选 择 开 启 的 话 还 是 会 保 存 明 文 密 码 对 应 的 注 册 表 键 值 为 的 注 册 表 位 于 这 里 首 先 看 一 下 没 有 安 装 补 丁 的 情 况 ， 可 以 看 到 这 里 是 没 有 这 个 值 的 可 以 看 到 这 里 是 抓 取 得 到 明 文 的 A u t h W D i g e s t   A u t h K B 2 8 7 1 9 9 7 U s e L o g o n C r e d e n t i a l W D i g e s t H K E Y _ L O C A L _ M A C H I N E S y s t e m C u r r e n t C o n t r o l S e t C o n t r o l S e c u r i t y P r o v i d e r s W D i g e s t U s e L o g o n C r e d e n t i a l
这 里 我 到 微 软 官 方 下 载 一 下 补 丁
安 装 完 成 后 发 现 已 经 有 了 这 个 键 值 ， 再 尝 试 用 抓 取 明 文 发 现 已 经 抓 不 到 了 这 里 如 果 要 设 置 为 能 够 重 新 用 存 储 明 文 使 用 命 令 修 改 键 值 修 改 为 1 即 可 因 为 这 里 锁 屏 之 后 要 注 销 后 重 启 才 能 够 抓 到 明 文 密 码 ， 但 是 我 们 在 不 知 道 明 文 的 情 况 下 就 登 陆 不 了 ， 所 以 这 里 就 需 要 考 虑 如 下 问 题 ： 所 以 这 里 需 要 实 现 以 下 几 个 步 骤 ， 这 里 因 为 本 人 水 平 有 限 ， 所 以 这 个 地 方 参 考 了 三 好 学 生 大 佬 的 p o w e r s h e l l 代 码 ， 这 里 向 三 好 学 生 大 佬 表 示 衷 心 感 谢 m i m i k a t z W D i g e s t U s e L o g o n C r e d e n t i a l r e g   a d d   H K L M S Y S T E M C u r r e n t C o n t r o l S e t C o n t r o l S e c u r i t y P r o v i d e r s W D i g e s t   / v   U s e L o g o n C r e d e n t i a l   / t   R E G _ D W O R D   修 改 注 册 表 锁 屏 进 入 循 环 ， 判 断 当 前 系 统 是 否 结 束 锁 屏 状 态 用 户 登 录 后 ， 跳 出 循 环 等 待 ， 立 即 导 出 明 文 口 令 并 保 存
• 使 用 p o w e r s h e l l 实 现 注 册 表 键 值 修 改 修 改 键 值 为 1 这 里 判 断 注 册 表 键 值 是 否 为 0 ， 如 果 为 1 则 等 待 1 0 s 再 判 断 ， 如 果 为 0 则 退 出 循 环 ， 可 以 用 来 监 控 注 册 表 键 值 是 否 被 修 改 这 里 使 用 p o w e r s h e l l 脚 本 运 行 脚 本 ， 可 以 看 到 在 没 有 修 改 的 情 况 下 是 1 0 s 刷 新 一 次 在 修 改 注 册 表 为 0 之 后 脚 本 停 止 退 出 循 环 # ! b a s h S e t - I t e m P r o p e r t y   - P a t h   H K L M : S Y S T E M C u r r e n t C o n t r o l S e t C o n t r o l S e c u r i t y P r o v i d e r s W D i g e s t   - N a m e   U s e L o g o n C r e d e n t i a l # ! p o w e r s h e l l $ k e y = G e t - I t e m P r o p e r t y   - P a t h   " R e g i s t r y : : H K E Y _ L O C A L _ M A C H I N E S Y S T E M C u r r e n t C o n t r o l S e t C o n t r o l S e c u r i t y P r o v i d e r s W D i g e s t "   - N a m e   " $ F l a g = $ k e y . U s e L o g o n C r e d e n t i a l w r i t e - h o s t   " [ + ] C h e c k i n g   F l a g " w h i l e ( $ F l a g   - e q   1 ) {         w r i t e - h o s t   " [ + ] F l a g   N o r m a l "         w r i t e - h o s t   " [ + ] W a i t   1 0   S e c o n d s . . . "         S t a r t - S l e e p   - S e c o n d s   1 0         $ k e y = G e t - I t e m P r o p e r t y   - P a t h   " R e g i s t r y : : H K E Y _ L O C A L _ M A C H I N E S Y S T E M C u r r e n t C o n t r o l S e t C o n t r o l S e c u r i t y P r o v i d e r s W D i g e s t "   - N a m e   "         $ F l a g = $ k e y . U s e L o g o n C r e d e n t i a l         w r i t e - h o s t   " [ + ] C h e c k i n g   F l a g " } w r i t e - h o s t   " [ ! ] F l a g   C h a n g e d ! " p o w e r s h e l l . e x e   - E x e c u t i o n P o l i c y   B y p a s s   - F i l e   t e s t . p s 1
• 锁 屏 正 常 情 况 下 w i n d o w s 锁 屏 的 快 捷 键 是 w i n + L ， 但 是 这 里 我 们 如 果 是 在 渗 透 的 过 程 中 就 不 能 使 用 w i n + L 对 对 方 主 机 进 行 锁 屏 ， 这 里 就 需 要 使 用 c m d 命 令 来 使 对 方 主 机 锁 屏 c m d 命 令 如 下 ： 使 用 p o w e r s h e l l 实 现 ： r u n d l l 3 2 . e x e   u s e r 3 2 . d l l , L o c k W o r k S t a t i o n # ! p o w e r s h e l l F u n c t i o n   L o c k - W o r k S t a t i o n   { $ s i g n a t u r e   =   @ " [ D l l I m p o r t ( " u s e r 3 2 . d l l " ,   S e t L a s t E r r o r   =   t r u e ) ] p u b l i c   s t a t i c   e x t e r n   b o o l   L o c k W o r k S t a t i o n ( ) ; " @ $ L o c k W o r k S t a t i o n   =   A d d - T y p e   - m e m b e r D e f i n i t i o n   $ s i g n a t u r e   - n a m e   " W i n 3 2 L o c k W o r k S t a t i o n "   - n a m e s p a c e   W i n 3 2 F u n c t i o n s $ L o c k W o r k S t a t i o n : : L o c k W o r k S t a t i o n ( )   |   O u t - N u l l } L o c k - W o r k S t a t i o n p o w e r s h e l l . e x e   - E x e c u t i o n P o l i c y   B y p a s s   - F i l e   t e s t 2 . p s 1
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理