搜索

[9826] 2016-02-18_如何防御“神器”Mimikatz窃取系统密码？

文档创建者：s7ckTeam
浏览次数：43
最后更新：2025-01-18
2016-02-18_如何防御“神器”Mimikatz窃取系统密码？ 如 何 防 御 “ 神 器 ” M i m i k a t z 窃 取 系 统 密 码 ？ v u l t u r e   F r e e B u f   2 0 1 6 - 0 2 - 1 8 M i m i k a t z 是 一 款 能 够 从 是 一 款 能 够 从 W i n d o w s 中 获 取 内 存 ， 并 且 获 取 明 文 密 码 和 中 获 取 内 存 ， 并 且 获 取 明 文 密 码 和 N T L M 哈 希 值 的 神 器 ， 本 文 将 介 绍 如 何 防 御 这 款 软 哈 希 值 的 神 器 ， 本 文 将 介 绍 如 何 防 御 这 款 软 件 获 取 密 码 。 件 获 取 密 码 。   M i m i k a t z 介 绍 介 绍 M i m i k a t z 是 一 款 能 够 从 W i n d o w s 认 证 ( L S A S S ) 的 进 程 中 获 取 内 存 ， 并 且 获 取 明 文 密 码 和 N T L M 哈 希 值 的 工 具 ， 攻 击 者 可 以 借 此 漫 游 内 网 。 他 们 可 以 通 过 明 文 密 码 或 者 传 递 h a s h 值 来 提 权 。 可 能 很 多 人 会 问 “ 难 道 微 软 就 没 想 过 怎 么 防 御 吗 ？ ” 在 G o o g l e 上 搜 索 “ m i m i k a t z 的 防 御 ” ， 你 会 发 现 搜 索 结 果 很 有 限 。 我 找 到 的 最 好 的 一 篇 文 章 ， 里 面 提 到 了 很 多 好 的 建 议 ， 诸 如 使 用 最 近 版 本 的 活 动 目 录 中 的 “ 受 保 护 的 用 户 ” 用 户 组 ( S I D : S - 1 - 5 - 2 1 - - 5 2 5 ) ， 或 者 是 限 制 使 用 管 理 员 ， 或 者 通 过 注 册 表 设 置 不 在 内 存 中 储 存 密 码 。 你 可 以 限 制 以 系 统 身 份 运 行 的 服 务 数 量 ， 或 者 移 除 调 试 权 限 ， 防 止 攻 击 者 使 用 m i m i k a t z 。 这 篇 文 章 和 其 他 的 那 些 文 章 都 要 让 你 安 装 W i n d o w s 8 或 者 8 . 1 或 者 1 0 版 本 。 那 那 么 多 运 行 W i n d o w s 7 / 2 0 0 8   R 2 的 电 脑 怎 么 办 呢 ？ 对 于 这 些 版 本 的 W i n d o w s ， 你 一 样 有 防 御 手 段 。 防 御 措 施 防 御 措 施 第 一 步 ： 第 一 步 ： A c t i v e   D i r e c t o r y   2 0 1 2   R 2 功 能 级 别 功 能 级 别 首 先 你 可 以 升 级 你 的 域 或 林 的 功 能 级 别 到 2 0 1 2   R 2 。 这 个 级 别 添 加 了 个 “ 受 保 护 的 用 户 ” 用 户 组 。 如 果 你 看 过 T e c h N e t 上 对 它 的 介 绍 ， 你 可 能 会 感 觉 这 个 用 户 组 会 防 止 m i m i k a t z 获 取 密 码 。 实 际 情 况 是 怎 样 的 呢 ？
  注 意 ： 对 于 非 保 护 用 户 ， m i m i k a t z 是 可 以 获 取 到 N T L M 哈 希 的 。   而 当 用 户 被 添 加 到 保 护 用 户 组 的 时 候 ， N T L M 哈 希 和 明 文 密 码 都 看 不 到 了 。 很 显 然 ， 这 招 很 管 用 ， 那 W i n d o w s   7 或 者 2 0 0 8   R 2 上 的 保 护 用 户 组 又 是 怎 样 的 呢 ？   可 以 看 到 ， 即 使 加 入 了 保 护 用 户 组 ， 密 码 和 哈 希 还 是 可 见 的 。 不 过 这 台 机 器 没 有 打 过 补 丁 。 实 际 上 如 果 电 脑 不 知 道 保 护 用 户 组 意 味 着 什 么 ， 那 这 个 用 户 组 也 就 失 去 了 意 义 。 幸 运 的 是 ， 微 软 已 经 把 这 个 W i n d o w s 8 . 1   和 2 0 1 2 R 2 有 的 功 能 移 植 到 旧 版 本 的 W i n d o w s 上 了 。 第 二 步 ： 安 装 第 二 步 ： 安 装 K B 2 8 7 1 9 9 7 如 果 你 一 直 安 装 W i n d o w s 更 新 的 话 ， K B 2 8 7 1 9 9 7 应 该 已 经 装 好 了 。 这 个 更 新 会 把 保 护 用 户 组 的 功 能 移 植 到 旧 版 的 W i n d o w s 中 。 一 旦 安 装 了 这 个 更 新 ， W i n d o w s 2 0 0 8   R 2 就 也 能 防 御 m i m i k a t z 了 。
  安 装 K B 2 8 7 1 9 9 7 更 新 后 没 有 把 用 户 放 入 保 护 用 户 组 就 是 这 样 的 效 果   而 一 旦 加 入 了 保 护 用 户 组 ， 效 果 就 跟 2 0 1 2   R 2 上 的 一 样 了 第 三 步 ： 去 除 内 存 中 的 存 储 空 间 第 三 步 ： 去 除 内 存 中 的 存 储 空 间 这 一 步 是 可 选 的 ， 因 为 你 可 能 想 把 所 有 的 账 号 放 到 保 护 用 户 组 里 面 ， 但 是 实 际 上 不 行 。 微 软 反 对 把 计 算 机 账 号 和 服 务 账 号 放 到 保 护 用 户 组 里 面 。 所 以 这 一 步 是 针 对 那 些 不 在 保 护 用 户 组 里 面 的 用 户 的 。 在 W i n d o w s   2 0 1 2   R 2 上 ， 无 论 用 户 有 没 有 被 添 加 到 保 护 用 户 组 ， m i m i k a t z 都 没 有 获 取 到 过 密 码 ， 而 W i n d o w s 2 0 0 8 中 ， 如 果 不 添 加 到 保 护 用 户 组 ， m i m i k a t z 还 是 能 够 获 取 密 码 的 。 密 码 的 存 储 是 由 一 个 注 册 表 设 置 决 定 的 。 就 像 保 护 用 户 组 的 功 能 一 样 ， 在 新 版 本 的 W i n d o w s ( 8 . 1 +   &   2 0 1 2 R 2 + ) 中 ， 密 码 默 认 不 会 储 存 在 内 存 中 。 这 一 特 性 也 在 K B 2 8 7 1 9 9 7 更 新 中 被 移 植 到 了 老 版 本 中 。 但 是 由 于 兼 容 原 因 ， 在 安 装 更 新 后 ， 老 版 本 仍 然 会 默 认 在 内 存 中 存 储 密 码 。 你 只 要 把 注 册 表 中 的 “ U s e L o g o n C r e d e n t i a l ” 项 设 置 成 0 就 好 了 。
H K E Y _ L O C A L _ M A C H I N E S y s t e m C u r r e n t C o n t r o l S e t C o n t r o l S e c u r i t y P r o v i d e r s W D i g e s t   这 位 用 户 没 有 被 添 加 到 保 护 用 户 组 ， 但 是 注 册 表 的 值 改 过 了 ， 因 此 ， M i m i k a t z 无 法 获 取 到 明 文 密 码 。 结 论 结 论 总 结 一 下 ， 把 A c t i v e   D i r e c t o r y 功 能 级 别 升 级 到 2 0 1 2   R 2 ， 及 时 进 行 W i n d o w s 更 新 ， 把 重 要 账 号 加 入 保 护 用 户 组 ， 设 置 注 册 表 值 。 另 外 ， 不 要 授 予 账 号 过 多 的 管 理 权 限 。 希 望 这 篇 文 章 能 够 帮 助 大 家 防 御 M i m i k a t z 。 *   参 考 来 源 ： J i m   S h a v e r ， v u l t u r e 翻 译 ， 文 章 有 修 改 ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ）   阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理