BackupCreds

________________________________________________
|      _____________________________           |
| [][] _____________________________ [_][_][_] |
| [][] [_][_][_] [_][_][_][_] [_][_] [_][_][_] |
|            Dump all the Creds!               |
| [][] [][][][][][][][][][][][][][_] [][][][]  |
| [][] [_][][][][][][][][][][][][][] [][][][]  |
| [][] [__][][][][][][][][][][][][_] [][][][]  |
| [][] [___][][][][][][][][][][][__] [__][][]  |
|          [_][______________][_]              |
|          Lefteris (lefty) Panos              |
|______________________________________________|

استغلال صلاحية SeTrustedCredmanAccessPrivilege لتفريغ بيانات اعتماد المستخدم

يتيح البرنامج القدرة على تفريغ بيانات الاعتماد المخزنة التي قد يمتلكها المستخدم في Windows Credential Manager.

إنها تقنية مفيدة في الحالات التي يوجد فيها شل بصلاحيات مرتفعة (elevated shell) ويكون هناك عدة مستخدمين مسجّل دخولهم حاليًا.

الخطوات

1. يجد عملية WinLogon الصحيحة للمستخدم الذي نريد تفريغ بيانات اعتماده
2. يفتح عملية WinLogon بصلاحية وصول PROCESS_QUERY_LIMITED_INFORMATION
3. يكرر التوكن بصلاحية وصول TOKEN_DUPLICATE
4. يحوّل التوكن إلى توكن انتحال
5. يفعّل صلاحية SeTrustedCredmanAccessPrivilege
6. يفتح العملية المستهدفة الخاصة بالمستخدم
7. يسرق هوية المستخدم المستهدف وينتحلها
8. يستدعي CredBackupCredentials أثناء انتحال توكن WinLogon، مع تمرير مسار للكتابة إليه وكلمة مرور NULL لتعطيل تشفير المستخدم
9. أثناء استمرار الانتحال، يفتح الملف ويفك تشفيره باستخدام واجهة برمجة التطبيقات CryptUnprotectData
10. يحذف الملف

الاستخدام

backupcreds [PID of target user] [path to save file]

يجب تشغيله من سياق بصلاحيات مرتفعة.

الأمان التشغيلي (OPSEC)

يكتب حاليًا على القرص في مسار يوفره المشغّل. سيحذف المسار بمجرد الانتهاء. يصل إلى WinLogon.

الشكر والتقدير

• مبني على https://www.tiraniddo.dev/2021/05/dumping-stored-credentials-with.html
• يستخدم أجزاءً من SharpDPAPI (https://github.com/GhostPack/SharpDPAPI/)
• تحية إلى @eksperience لمساعدته في التحليل وNettitute RT