【安全研究】从mimikatz学习万能密码——上

1.背景介绍

2015年1月2日，Dell Secureworks共享了一份关于利用专用域控制器（DC）恶意软件（名为“SkeletonKey”恶意软件）进行高级攻击活动的报告，SkeletonKey恶意软件修改了DC的身份验证流程，域用户仍然可以使用其用户名和密码登录，攻击者可以使用Skeleton Key密码作为任何域用户登录

【资料查看】

(http://www.secureworks.com/cyber-threat-intelligence/threats/skeleton-key-malware-analysis/），2015 年 1 月 17 日Benjamin Delpy更新了Mimikatz使其也能进行Skeleton Key攻击，我们今天分析的主要内容也就是mimikatz的misc::skeleton功能。

2.模块详细分析

misc::skeleton功能模块在kuhl_m_misc.c文件中，从该c文件开头可以看到作者定义了一个结构体数组用来存储当前misc模块中具体有哪些功能，该结构体有3个成员第一个是功能函数，第二个是启动该功能的参数，第三个是功能描述所以我们今天要分析的skeleton在这个kuhl_m_misc_skeleton函数中启动命令为misc::skeleton暂无描述，可以看到其他该misc模块是有很多功能是日常使用中也没有用上后续可以挖掘功能

所以我们在这个kuhl_m_misc_skeleton函数下个断点当我们执行misc::skeleton时就可以执行到这里开始调试，在该函数开始前还定义一个数组存储了一个字符串Kerberos-Newer-Keys，这是个很重要的字符串后续用到的时候详细解释

可以看到函数开始定义了很多变量,可以看到extensions结构体初始化了一些值，我们查看一下这个结构体可以发现该结构体成员有4个从名称大概可以猜出来分别为模块，功能，替换的值，指针，这样我们大概就可以这个结构体数组是什么了第一个结构体就是模块是kernel32.dll，localAlloc函数，替换的值为0X4a4a4a4a4a,指针为NULL，从现在来看这个结构体大部分内容是没意义的还有很多为NULL的

接下来又定义了一个结构体exforcb来存储extensions以及extensions的大小，判断当前Mimikatz的版本号是否小于vista系统的版本号这里我们的软件版本11是大于宏定义的visita系统5000的或者传入命令参数是否有letaes我们这里传入的是misc::skeleton所以两个判断都不为真onlyRC4Stuff为0 这样也才能进入下面的功