伪造windows登录屏幕窃取密码之FakeLogonScreen

在windows环境中，获取系统密码，提升系统权限。在渗透测试是经常遇到的。今天这里介绍一款伪造windows登录屏幕以达到窃取密码或题全的软件——FakeLogonScreen。

简介

FakeLogonScreen这个程序是用于伪造windows登录凭证以获取系统登录密码。它会获取当前系统配置的背景图片，这样显得更加真实，成功率也会更高。

另外，该程序会对输入的密码进行Active Directory或本地计算机的认证，以确保窃取密码的准确性。它可以显示在控制台，也可以保存早文件远程系统的硬盘上。

这个软件的好处就是可以与其它工具配合使用，可以直接通过内存执行（无文件）。比如可以配合Cobalt Strike的execute-assembly来执行。

运行环境

由于使用c#编写，需要系统中有.net framework框架。这里测试windows10和windows7，系统均为64位。在其release的版本中，作者给出来.net framework3.5和4.5的可执行程序。适用于windows7 和windows10等情况。实际中可根据实际情况进行选择。

利用

可以配合Cobalt Strike，系统上线后，进入到beacon中，然后直接执行execute-assembly /root/Desktop/FakeLogonScreen.exe 。（后面为控制机上的文件路径，非被控机的路径）。接下来就是等待对方输入密码，即可在进入的beacon中显示输入的密码了。效果图如下：

也可以使用FakeLogonScreenToFile.exe 在本地执行后，然后去查看文件。

当然这个程序也有些问题，就是windows7也显示windows10样式的窗口，同时，界面显示仍然与系统原有的有区别，但是对于安全意识低的员工还是有作用的。

软件地址：FakeLogonScreen