BackupCreds

________________________________________________
|      _____________________________           |
| [][] _____________________________ [_][_][_] |
| [][] [_][_][_] [_][_][_][_] [_][_] [_][_][_] |
|            Dump all the Creds!               |
| [][] [][][][][][][][][][][][][][_] [][][][]  |
| [][] [_][][][][][][][][][][][][][] [][][][]  |
| [][] [__][][][][][][][][][][][][_] [][][][]  |
| [][] [___][][][][][][][][][][][__] [__][][]  |
|          [_][______________][_]              |
|          Lefteris (lefty) Panos              |
|______________________________________________|

Abusing SeTrustedCredmanAccessPrivilege to dump user creds

SeTrustedCredmanAccessPrivilegeを悪用してユーザーの資格情報をダンプする このプログラムは、ユーザーがWindows Credential Managerに保存している可能性のある資格情報をダンプする機能を提供します。

昇格したシェルが存在し、複数のユーザーが現在ログインしている場合に有用なテクニックです。

手順

1. 資格情報をダンプしたいユーザーの正しいWinLogonプロセスを見つけます
2. PROCESS_QUERY_LIMITED_INFORMATIONアクセスでWinLogonプロセスを開きます
3. TOKEN_DUPLICATEアクセスでトークンを複製します
4. トークンを偽装トークンに変換します
5. SeTrustedCredmanAccessPrivilege権限を有効にします
6. ユーザーのターゲットプロセスを開きます
7. ターゲットユーザーを窃取して偽装します
8. WinLogonトークンを偽装中にCredBackupCredentialsを呼び出し、書き込み先のパスと、ユーザー暗号化を無効にするためのNULLパスワードを渡します
9. 偽装したままファイルを開き、CryptUnprotectData APIを使用して復号化します
10. ファイルを削除します

使用方法

backupcreds [PID of target user] [path to save file]

昇格されたコンテキストから実行する必要があります。

OPSEC

現在はオペレーターが指定したパスにディスクへ書き込みます。完了するとそのパスを削除します。 WinLogonにアクセスします。

クレジット

• https://www.tiraniddo.dev/2021/05/dumping-stored-credentials-with.html に基づく
• SharpDPAPIの一部を使用 (https://github.com/GhostPack/SharpDPAPI/)
• @eksperienceに、パース処理とNettitute RTの支援に感謝