Passwort Hack

Es gibt verschiedene Methoden zum Knacken von Kennwörtern. Die wichtigsten sind:

Credential Dumps und andere Cracking-Optionen

LSA secrets dump

Diese Technik besteht darin, vom Local Security Authority Subsystem (LSASS) in der Registrierung (HKEY_LOCAL_MACHINE/Security/Policy/Secrets) gespeicherte Passwörter zu knacken. Die Registrierung wird beim Hochfahren des Computers in den Arbeitsspeicher geladen. Gespeicherte Passwörter beinhalten:

Siehe: https://www.ired.team/offensive-security/credential-access-and-credential-dumping/dumping-lsa-secrets

Hash dump

Sie können Hashes direkt aus den Registry-Hives HKEY_LOCAL_MACHINE\SYSTEM und HKEY_LOCAL_MACHINE\SAM ausgeben und an einen Cracker weitergeben.

User token dump

Indem Sie den Arbeitsspeicher untersuchen und Prozesse ausführen, können sie anzeigen, welche Prozesse verschiedenen Benutzern gehören. Sie können dann eines der Benutzertoken stehlen und verwenden, um sich als dieser Benutzer auszugeben. Alles, was Sie tun, befindet sich im Kontext dieses Benutzers und wird als von diesem ausgeführt protokolliert.
Siehe: https://tbhaxor.com/dumping-token-information-in-windows/

SYSKEY boot key

Sie können die SYSKEY-Startschlüsselteile aus der Registrierung extrahieren und knacken, damit sie zum Entschlüsseln der SAM-, LSA-Geheimnisse und zwischengespeicherten Domänenkennwörter verwendet werden können. Die Registrierungsschlüssel, die diese Informationen speichern, sind:

Cached domain login dump

Standardmäßig speichern Windows-Domänenmitglieder (ab XP) Domänenanmeldeinformationen für Benutzer, die versuchen, sich bei der Domäne anzumelden, aber kein Domänencontroller verfügbar ist. Dieser Cache wird in HKEY_LOCAL_MACHINE/Security/CACHE/NL$X gespeichert. Die Standardrichtlinie besteht darin, dass diese zwischengespeicherten Anmeldeinformationen zehnmal verwendet werden dürfen, bevor ein Domänencontroller erreicht werden muss. 'Das lokale System kann diese Werte extrahieren.

Offline SAM cracking

Sie müssen eine Kopie der Registrierungsschlüssel von HKEY_LOCAL_MACHINE\SYSTEM und HKEY_LOCAL_MACHINE\SAM oder den physischen Dateien, aus denen sie geladen werden, erhalten und diese an den Cracker senden. 

\HarddiskVolumeShadowCopy1\Windows\$ystem32\config
\SYSTEM \\P\GLOBALROOT\Device
\HarddiskVolumeShadowCopy1\Windows\System32\config
\SAM
\System32\ Config\SAM, %WINDIR%\System32\ Config
\SYSTEM.

Offline Active Directory cracking

Stehlen Sie eine Kopie/Sicherung der Active Directory-Datenbankdatei auf einem Domänencontroller. Befindet sich unter %ıSystemRoot%\NTDS\Ntds.dit. Führen Sie Offline-Cracking für die Datei durch.

cPassword dump

Lesen und knacken Sie den cPassword-Wert aus der Datei mit den Gruppenrichtlinieneinstellungen (GPP). Diese befindet sich in der SYSVOL-Freigabe eines beliebigen Active Directory-Domänencontrollers. Domänenadministratoren verwenden diese optionale Einstellung, um Kennwörter für lokale Konten (normalerweise Administratoren) auf allen Arbeitsstationen/Mitgliedsservern in der gesamten Domäne zu standardisieren. MS14-025.
Die Lücke ist sein ca 2014 bekannt und von Microsoft dokumentiert Siehe:

KRBTGT

Mimikatz-Befehl für Golden Ticket: 

kerberos::golden /admin:ANYACCOUNTNAME /domain :DOMAINFODN /id:ACCOUNTRID /sid:DOMAINSID /krbtet  KENAaRZESTT DENN /ptt

Siehe: Kerberoast Golden Ticket Methode

Keylogeing

Installieren Sie einen physischen oder softwarebasierten Keylogger auf einem Computer, um die Anmeldedaten eines Benutzers zu erfassen.
Siehe: https://www.offensive-security.com/metasploit-unleashed/keylogging/

Social engineering

Bringen Sie einen Benutzer dazu, Ihnen sein Passwort durch Schulter-Surfen (einschließlich Kameraaufzeichnung von einem Mobilgerät über den Raum), böse Wi-Fi-Wins, Phishing-E-Mails, gefälschte Anmeldeseiten usw.

Unattended installation

Stehlen Sie die Antwortdatei, die in einer unbeaufsichtigten Windows-Installation verwendet wird, da das Kennwort des lokalen Administrators der Antwortdatei im Klartext gespeichert wird. Wenn Sie die Datei bearbeiten können, können Sie auch sicherstellen, dass der Abschnitt Microsoft-Windows-Shell-Serup \UserAccounts\AdministratorPassword hinzugefügt wird, damit der Administrator nicht aufgefordert wird, sein Passwort bei der ersten Anmeldung zu ändern, damit das gestohlene Passwort verwendet werden kann diese Maschine.

Hard drive overwriting

Starten Sie ein anderes Betriebssystem und löschen/überschreiben Sie den Speicherort auf der Festplatte, an dem das Kennwort gespeichert ist (C:\Windows\System32\ Config).

Anleitungen