| FOTO | AUTO | EDV | AUDIO |

Passwort Hack

Es gibt verschiedene Methoden zum Knacken von Kennwörtern. Die wichtigsten sind:

  • Brute-Force der Passwörter über das Netzwerk.
  • Memory-Dump der aktuell im Speicher geladenen Anmeldeinformationen
  • LSA-Secrets
  • Benutzer-Hashes
  • Hashes von privilegierten Konten wie krbtgt.
  • Token (temporäre Zugriffsschlüssel) von aktuellen oder zuvor angemeldeten Benutzern.
  • Kopien von früheren Benutzerpasswörtern, die zur Durchsetzung von Passwortverlaufsrichtlinien verwendet werden.
  • Stehlen einer Kopie einer Datei, die die Anmeldeinformationen enthält und versuchen, diese offline zu knacken (SAM, SYSTEM, ntds.dit).
  • Entwenden von lokal zwischengespeicherten Domänen-Anmeldeinformationen.
  • Die Datei mit den Gruppenrichtlinienpräferenzen (GPP) stehlen, um alle Kennwörter zu extrahieren (cPassword).

Credential Dumps und andere Cracking-Optionen

LSA secrets dump

Diese Technik besteht darin, vom Local Security Authority Subsystem (LSASS) in der Registrierung (HKEY_LOCAL_MACHINE/Security/Policy/Secrets) gespeicherte Passwörter zu knacken. Die Registrierung wird beim Hochfahren des Computers in den Arbeitsspeicher geladen. Gespeicherte Passwörter beinhalten:

  • Standard-Administratorpasswort aus der Installation.
  • Internet Explorer-Passwörter
  • Verbindungspasswörter für den Fernzugriff
  • Kennwörter für SYSTEM-Konten
  • ERS-Verschlüsselungsschlüssel

Siehe: https://www.ired.team/offensive-security/credential-access-and-credential-dumping/dumping-lsa-secrets

Hash dump

Sie können Hashes direkt aus den Registry-Hives HKEY_LOCAL_MACHINE\SYSTEM und HKEY_LOCAL_MACHINE\SAM ausgeben und an einen Cracker weitergeben.

  • Muss SYSTEM-Berechtigung haben oder SYSTEM-Token verwenden
  • Extrahieren Sie Hashes und Anmeldeinformationen direkt aus der Registrierung
  • Extrahieren Sie Hashes durch DLL-Injektion in den Isass.exe-Prozess

User token dump

Indem Sie den Arbeitsspeicher untersuchen und Prozesse ausführen, können sie anzeigen, welche Prozesse verschiedenen Benutzern gehören. Sie können dann eines der Benutzertoken stehlen und verwenden, um sich als dieser Benutzer auszugeben. Alles, was Sie tun, befindet sich im Kontext dieses Benutzers und wird als von diesem ausgeführt protokolliert.
Siehe: https://tbhaxor.com/dumping-token-information-in-windows/

SYSKEY boot key

Sie können die SYSKEY-Startschlüsselteile aus der Registrierung extrahieren und knacken, damit sie zum Entschlüsseln der SAM-, LSA-Geheimnisse und zwischengespeicherten Domänenkennwörter verwendet werden können. Die Registrierungsschlüssel, die diese Informationen speichern, sind:

  • SYSTEM\CurrentControlSet\Control\Lsa\JD
  • SYSTEM\CurrentControlSet\Control\Lsa\Skewi
  • SYSTEM\CurrentControlSet\Control\Lsa\GBG
  • SYSTEM\CurrentControlSet\Control\Lsa\Data

Cached domain login dump

Standardmäßig speichern Windows-Domänenmitglieder (ab XP) Domänenanmeldeinformationen für Benutzer, die versuchen, sich bei der Domäne anzumelden, aber kein Domänencontroller verfügbar ist. Dieser Cache wird in HKEY_LOCAL_MACHINE/Security/CACHE/NL$X gespeichert. Die Standardrichtlinie besteht darin, dass diese zwischengespeicherten Anmeldeinformationen zehnmal verwendet werden dürfen, bevor ein Domänencontroller erreicht werden muss. 'Das lokale System kann diese Werte extrahieren.

Offline SAM cracking

Sie müssen eine Kopie der Registrierungsschlüssel von HKEY_LOCAL_MACHINE\SYSTEM und HKEY_LOCAL_MACHINE\SAM oder den physischen Dateien, aus denen sie geladen werden, erhalten und diese an den Cracker senden.

  • Kopieren Sie die HKLM\SAM- und HKLM\SYSTEM-Hives reg.exe oder regedit.exe:
    • reg.exe speichert HKLM\SAM sambak.hiv
    • reg.exe speichert HKLM\SYSTEM sysback.hiv
    • regedit –> Rechtsklick auf HKLM\SAM –> Exportieren
    • regedit –> Rechtsklick auf HKLM\SYSTEM –> Exportieren
  • Verwenden Sie cscript vssown.vbs, um eine Volumenschattenkopie zu erstellen, und verwenden Sie dann den Kopierbefehl, um die beiden physischen Dateien daraus zu extrahieren:
\HarddiskVolumeShadowCopy1\Windows\$ystem32\config
\SYSTEM \\P\GLOBALROOT\Device
\HarddiskVolumeShadowCopy1\Windows\System32\config
\SAM
  • Starten Sie ein anderes Betriebssystem und kopieren Sie die beiden physischen Dateien: VWINDIR%
\System32\ Config\SAM, %WINDIR%\System32\ Config
\SYSTEM.

Offline Active Directory cracking

Stehlen Sie eine Kopie/Sicherung der Active Directory-Datenbankdatei auf einem Domänencontroller. Befindet sich unter %ıSystemRoot%\NTDS\Ntds.dit. Führen Sie Offline-Cracking für die Datei durch.

cPassword dump

Lesen und knacken Sie den cPassword-Wert aus der Datei mit den Gruppenrichtlinieneinstellungen (GPP). Diese befindet sich in der SYSVOL-Freigabe eines beliebigen Active Directory-Domänencontrollers. Domänenadministratoren verwenden diese optionale Einstellung, um Kennwörter für lokale Konten (normalerweise Administratoren) auf allen Arbeitsstationen/Mitgliedsservern in der gesamten Domäne zu standardisieren. MS14-025.
Die Lücke ist sein ca 2014 bekannt und von Microsoft dokumentiert Siehe:

KRBTGT

Mimikatz-Befehl für Golden Ticket: 

kerberos::golden /admin:ANYACCOUNTNAME /domain :DOMAINFODN /id:ACCOUNTRID /sid:DOMAINSID /krbtet  KENAaRZESTT DENN /ptt

Siehe: Kerberoast Golden Ticket Methode

Keylogeing

Installieren Sie einen physischen oder softwarebasierten Keylogger auf einem Computer, um die Anmeldedaten eines Benutzers zu erfassen.
Siehe: https://www.offensive-security.com/metasploit-unleashed/keylogging/

Social engineering

Bringen Sie einen Benutzer dazu, Ihnen sein Passwort durch Schulter-Surfen (einschließlich Kameraaufzeichnung von einem Mobilgerät über den Raum), böse Wi-Fi-Wins, Phishing-E-Mails, gefälschte Anmeldeseiten usw.

Unattended installation

Stehlen Sie die Antwortdatei, die in einer unbeaufsichtigten Windows-Installation verwendet wird, da das Kennwort des lokalen Administrators der Antwortdatei im Klartext gespeichert wird. Wenn Sie die Datei bearbeiten können, können Sie auch sicherstellen, dass der Abschnitt Microsoft-Windows-Shell-Serup \UserAccounts\AdministratorPassword hinzugefügt wird, damit der Administrator nicht aufgefordert wird, sein Passwort bei der ersten Anmeldung zu ändern, damit das gestohlene Passwort verwendet werden kann diese Maschine.

Hard drive overwriting

Starten Sie ein anderes Betriebssystem und löschen/überschreiben Sie den Speicherort auf der Festplatte, an dem das Kennwort gespeichert ist (C:\Windows\System32\ Config).

Anleitungen