BackupCreds

________________________________________________
|      _____________________________           |
| [][] _____________________________ [_][_][_] |
| [][] [_][_][_] [_][_][_][_] [_][_] [_][_][_] |
|            Dump all the Creds!               |
| [][] [][][][][][][][][][][][][][_] [][][][]  |
| [][] [_][][][][][][][][][][][][][] [][][][]  |
| [][] [__][][][][][][][][][][][][_] [][][][]  |
| [][] [___][][][][][][][][][][][__] [__][][]  |
|          [_][______________][_]              |
|          Lefteris (lefty) Panos              |
|______________________________________________|

SeTrustedCredmanAccessPrivilege를 악용하여 사용자 자격 증명 덤프하기

이 프로그램은 사용자가 Windows 자격 증명 관리자에 저장한 자격 증명을 덤프하는 기능을 제공합니다.

이 기술은 상승된 셸이 존재하고 여러 사용자가 현재 로그인되어 있는 경우 유용합니다.

단계

1. 자격 증명을 덤프하려는 사용자의 올바른 WinLogon 프로세스를 찾습니다.
2. PROCESS_QUERY_LIMITED_INFORMATION 액세스 권한으로 WinLogon 프로세스를 엽니다.
3. TOKEN_DUPLICATE 액세스 권한으로 토큰을 복제합니다.
4. 토큰을 가장 토큰으로 전환합니다.
5. SeTrustedCredmanAccessPrivilege 권한을 활성화합니다.
6. 사용자의 대상 프로세스를 엽니다.
7. 대상 사용자를 도용하고 가장합니다.
8. WinLogon 토큰을 가장하는 동안 CredBackupCredentials를 호출하여 쓸 경로와 사용자 암호화를 비활성화하기 위한 NULL 암호를 전달합니다.
9. 가장 상태를 유지하면서 파일을 열고 CryptUnprotectData API를 사용하여 해독합니다.
10. 파일을 삭제합니다.

사용법

backupcreds [PID of target user] [path to save file]

상승된 컨텍스트에서 실행해야 합니다.

OPSEC

현재 운영자가 제공한 경로에 디스크에 기록합니다. 완료되면 해당 경로를 삭제합니다. WinLogon에 액세스합니다.

크레딧

• Based on https://www.tiraniddo.dev/2021/05/dumping-stored-credentials-with.html
• Uses parts of SharpDPAPI (https://github.com/GhostPack/SharpDPAPI/)
• @eksperience에게 파싱 및 Nettitute RT를 도와준 것에 감사드립니다.