DumpGuard

DumpGuardは、最新のWindowsシステム向けの資格情報ダンプおよびプロトコル調査ツールです。_Remote Credential Guard_プロトコルを悪用して、_Credential Guard_が有効な場合でも資格情報を復元し、さらにセッション指向のNTLM抽出のためのMicrosoft v1認証パッケージパスも含んでいます。

現在の機能は以下の通りです:

• NTLMv1応答
• NTLMv2応答
• Kerberosサービスチケット
• ローカルログオンセッションのMicrosoft v1認証パッケージダンプ

このリポジトリのリリースセクションからビルド済みのコピーをダウンロードできます。

免責事項: このツールは教育および正当なテスト目的のみに提供されています。このリポジトリの作成者は、いかなる種類の誤用も容認または支持しておらず、このツールの使用に起因する損害や法的結果について一切の責任を負いません。

使用概要

以下の表は、現在実装されている手法をまとめたものです。

DumpGuardはcommandとtargetのモデルを使用します。

• commandは抽出手法を選択します。
• targetは現在のセッションで動作するか、セッションを列挙するかを選択します。

サポートされているコマンド:

• /command:ntlmv1
• /command:ntlmv2
• /command:kerbtgs
• /command:msv10

サポートされているターゲット:

• /target:self
• /target:all

共通のRemote Credential Guardパラメータ:

• /domain:<DOMAIN>
• /username:<SAMACCOUNTNAME>
• /password:<PASSWORD>
• /spn:<SPN>

Kerberos TGSパラメータ:

• /tgsdomain:<DOMAIN>
• /tgsspn:<SPN>

コンピュータアカウントの場合、/spnが省略されると、DumpGuardはデフォルトでHOST/<computername>になります。

Remote Credential Guard経由で自分のセッションをダンプする

非特権コンテキストから現在のユーザーの資格情報をダンプするために、DumpGuardはRemote Credential Guardを使用してSPN有効アカウントに対して認証し、確立されたセキュリティコンテキスト上で後続のリクエストを発行します。

これはCredential Guardの状態に関係なく機能しますが、SPN有効アカウントの資格情報が必要です。

特権要件: なし。

NTLMv1:

DumpGuard.exe /command:ntlmv1 /target:self /domain:<DOMAIN> /username:<SAMACCOUNTNAME> /password:<PASSWORD> [/spn:<SPN>]

NTLMv2:

DumpGuard.exe /command:ntlmv2 /target:self /domain:<DOMAIN> /username:<SAMACCOUNTNAME> /password:<PASSWORD> [/spn:<SPN>]

Kerberos TGS:

DumpGuard.exe /command:kerbtgs /target:self /domain:<DOMAIN> /username:<SAMACCOUNTNAME> /password:<PASSWORD> [/spn:<SPN>] [/tgsdomain:<DOMAIN>] /tgsspn:<service/host>

/tgsdomainが省略された場合、デフォルトでRemote Credential Guardの/domain値になります。

Remote Credential Guard経由ですべてのセッションをダンプする

特権コンテキストから現在アクセス可能なすべてのユーザーの資格情報をダンプするために、DumpGuardは実行中のプロセスからトークンを偽装し、Remote Credential Guardを使用してSPN有効アカウントに対して認証し、確立されたセキュリティコンテキスト上で後続のリクエストを発行します。

これはCredential Guardの状態に関係なく機能しますが、SPN有効アカウントの資格情報が必要です。

特権要件: SYSTEM または 管理者 ( SeImpersonatePrivilege が必要)。

NTLMv1:

DumpGuard.exe /command:ntlmv1 /target:all /domain:<DOMAIN> /username:<SAMACCOUNTNAME> /password:<PASSWORD> [/spn:<SPN>]

NTLMv2:

DumpGuard.exe /command:ntlmv2 /target:all /domain:<DOMAIN> /username:<SAMACCOUNTNAME> /password:<PASSWORD> [/spn:<SPN>]

Kerberos TGS:

DumpGuard.exe /command:kerbtgs /target:all /domain:<DOMAIN> /username:<SAMACCOUNTNAME> /password:<PASSWORD> [/spn:<SPN>] [/tgsdomain:<DOMAIN>] /tgsspn:<service/host>

/tgsdomainが省略された場合、デフォルトでRemote Credential Guardの/domain値になります。

Microsoft v1認証パッケージ経由ですべてのセッションをダンプする

特権SYSTEMコンテキストから現在認証されているユーザーのNTLM応答をダンプするために、DumpGuardはNTLM SSPと直接相互作用し、検出されたすべてのログオンセッションに対してチャレンジ応答を要求します。

これは以下の条件下でのみ機能します:

• Credential Guardがローカルシステムで無効になっている場合。
• リモートユーザーがRemote Credential Guardを介してリモートホストからローカルシステムに認証されている場合。

特権要件: SYSTEM ( SeTcbPrivilege が必要)。

DumpGuard.exe /command:msv10

この攻撃は、LSA Whisperer を使用して以下のコマンドで実行することもできます:

lsa-whisperer.exe msv1_0 Lm20GetChallengeResponse --luid {session id} --challenge {challenge to clients} [flags...]

追加情報

私はCredential Guard (LsaIso.exe) によって公開されているインターフェースをリバースエンジニアリングして再現し、さらなる研究に関心のある方のためにこのリポジトリに含めました。

2025年10月現在、以下のインターフェースが実装されています:

• BCryptIum
• CloudApIum
• KerberosIum
• LsaIsoMgmtIum
• NtlmIum
• ProvIum

謝辞

この研究を支援してくださったSpecterOpsと、開発に協力してくれた同僚に感謝します。

• Elad Shamir - このツールと研究にインスピレーションを与え、壁にぶつかったときに貴重な視点と励ましを提供してくれたことに感謝します。
• Evan McBroom - LSA内部に関する有益な洞察を共有し、このプロジェクトで使用されるほとんどの構造体のASN.1エンコーダを提供してくれたことに感謝します。

関連ツール

• LSA Whisperer (Evan McBroom) - 認証パッケージと対話するためのツールセット。
• Rubeus (Will Schroeder, Charlie Clark) - 生のKerberos操作と悪用のためのC#ツールセット。
• Mimikatz (Benjamin Delpy) - Windowsセキュリティを試すための小さなツール。
• Kekeo (Benjamin Delpy) - C言語でMicrosoft Kerberosを試すための小さなツールボックス。

関連研究

• Oliver Lyak (2022) - 私の知る限り、Credential Guardで保護された資格情報のダンプに関する唯一の公開研究。
• James Forshaw (2022, 2022, 2022, 2022) - 私たちが調査したいくつかの未公開インターフェースを少し文書化した脆弱性報告。