搜索

[20533] 2021-03-01_神兵利器-WdToggleWDigest凭据缓存

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2021-03-01_神兵利器-WdToggleWDigest凭据缓存 神 兵 利 器   -   W d T o g g l e   W D i g e s t 凭 据 缓 存 o u t f l a n k n l   K h a n 安 全 攻 防 实 验 室   2 0 2 1 - 0 3 - 0 1 W d T o g g l e   -   C o b a l t   S t r i k e 的 信 标 对 象 文 件 ( B O F ) ， 它 使 用 直 接 的 系 统 调 用 来 启 用 W D i g e s t 凭 证 缓 存 。 背 景 背 景         此 P o C 代 码 基 于 以 下 出 色 的 博 客 文 章 ：         探 索 M i m i k a t z - 第 1 部 分 - W D i g e s t         绕 过 凭 据 守 卫         通 过 B O F 代 码 中 的 内 联 汇 编 利 用 直 接 系 统 调 用 提 供 了 一 种 更 安 全 的 与 L S A S S 流 程 进 行 交 互 的 方 式 。 使 用 直 接 系 统 调 用 可 避 免 A V   /   E D R 软 件 拦 截 用 户 模 式 A P I 调 用 。
        V i s u a l   S t u d i o （ C   + + ） 不 支 持 x 6 4 处 理 器 的 内 联 汇 编 。 因 此 ， 为 了 编 写 包 含 我 们 已 编 译 / 汇 编 代 码 的 单 个 信 标 对 象 文 件 ， 我 们 必 须 使 用 M i n g w - w 6 4 （ 适 用 于 W i n d o w s 的 G C C ） 编 译 器 。 这 个 是 做 什 么 用 的 ？ 这 个 是 做 什 么 用 的 ？ 演 示 使 用 内 联 汇 编 的 直 接 系 统 调 用 的 用 法 ， 以 提 供 更 安 全 的 方 式 与 L S A S S 流 程 进 行 交 互 。 通 过 在 L S A S S 进 程 （ w d i g e s t . d l l 模 块 ） 中 将 全 局 参 数 切 换 为 1 来 启 用 W D i g e s t 凭 据 缓 存 。 规 避 凭 据 保 护 凭 据 保 护 （ 如 果 启 用 ） 由 切 换 L S A S S 进 程 内 变 量 为 0 （ w d i g e s t . d l l 模 块 ） 。 使 用 B e a c o n 对 象 文 件 在 B e a c o n 进 程 中 执 行 此 代 码 。 克 隆 此 存 储 库 。 确 保 已 安 装 M i n g w - w 6 4 编 译 器 。 例 如 ， 在 M a c   O S X 上 ， 我 们 可 以 使 用 p o r t s 集 合 安 装 M i n g w - w 6 4 （ ） 。 运 行 命 令 以 编 译 B e a c o n 目 标 文 件 。 在 C o b a l t s t r i k e 信 标 上 下 文 中 ， 运 行 命 令 并 提 供 目 标 文 件 的 路 径 。 运 行 C o b a l t s t r i k e 命 令 （ M i m i k a t z ） ， 注 意 新 用 户 登 录 名 或 解 锁 解 锁 桌 面 会 话 的 用 户 再 次 启 用 了 明 文 密 码 。 g _ f P a r a m e t e r _ U s e L o g o n C r e d e n t i a l g _ I s C r e d G u a r d E n a b l e d s u d o   p o r t   i n s t a l l   m i n g w - w 6 4 m a k e i n l i n e - e x e c u t e W d T o g g l e . o l o g o n p a s s w o r d s
局 限 性 局 限 性 此 内 存 修 补 程 序 不 是 永 久 重 启 的 ， 因 此 重 启 后 ， 您 必 须 重 新 运 行 代 码 。 和 全 局 变 量 的 内 存 偏 移 量 可 能 会 在 W i n d o w s 版 本 和 修 订 版 之 间 改 变 。 我 们 为 不 同 的 版 本 提 供 了 一 些 偏 移 ， 但 是 这 些 偏 移 可 能 会 在 将 来 的 版 本 中 更 改 。 您 可 以 添 加 自 己 的 版 本 偏 移 量 ， 可 以 使 用 W i n d o w s 调 试 器 工 具 找 到 该 偏 移 量 。 侦 测 侦 测 w d i g e s t ! g _ f P a r a m e t e r _ U s e L o g o n C r e d e n t i a l w d i g e s t ! g _ I s C r e d G u a r d E n a b l e d
                要 通 过 L S A S S 内 存 访 问 来 检 测 凭 证 盗 窃 ， 我 们 可 以 使 用 S y s m o n 之 类 的 工 具 。 可 以 将 S y s m o n 配 置 为 记 录 打 开 l s a s s . e x e 进 程 句 柄 的 进 程 。 通 过 应 用 此 配 置 ， 我 们 可 以 收 集 访 问 L S A S S 进 程 的 可 疑 进 程 的 遥 测 ， 并 帮 助 检 测 可 能 的 凭 证 转 储 活 动 。 当 然 ， 还 有 更 多 选 择 来 检 测 凭 据 盗 用 ， 例 如 使 用 W i n d o w s   D e f e n d e r   A T P 之 类 的 高 级 检 测 平 台 。 但 是 ， 如 果 您 没 有 使 用 这 些 平 台 的 预 算 和 奢 侈 ， 那 么 S y s m o n 是 可 以 帮 助 填 补 空 白 的 免 费 工 具 。 项 目 地 址 ： h t t p s : / / g i t h u b . c o m / o u t f l a n k n l / W d T o g g l e
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理