内网渗透—钓鱼获取Windows凭据

Credsleaker 允许攻击者使用 Windows Security 制作高度令人信服的凭据提示，根据 DC 进行验证，然后通过 HTTP 请求泄露它。

该脚本用于显示 powershell 凭据框，伪装成Windows安全询窗口的实用程序，为了使其常运行，需要Web服务器，该Web服务器将从其接收所有必需的文件，并在其中存储用户凭以及Powershel的存在，以向其服务器发送HTTP请求。

特征

• AD域认证验证。
• 使用 Powershell 版本 5.1 在 Windows 10（1809、1903、1909）上进行测试。需要在 788.1 服务器和不同的 powershell 版本上进行测试。
• 可以修改（标题、消息等）。
• 添加了 WORKGROUP 支持（针对本地 SAM 进行验证）。
• 添加了参数支持。现在您可以从命令行自定义消息、标题、IP 和端口。

使用过程

1. 启动Web服务器并将cl_reader.php、config.php、config.cl上传到所需路径。
2. 填写CredsLeaker.ps1中的参数默认值

3. 将 run.bat 中的 Pipeline 参数编辑为所需的场景

4. 执行run.bat文件。

启动run.bat 文件后，用户会看到Windows安全窗口，而且必须输入账号密码才能关闭。

服务端成功获取账号密码，密码会记录在creds.txt 文件下。

原文始发于微信公众号（贝雷帽SEC）：内网渗透—钓鱼获取Windows凭据