BackupCreds

________________________________________________
|      _____________________________           |
| [][] _____________________________ [_][_][_] |
| [][] [_][_][_] [_][_][_][_] [_][_] [_][_][_] |
|            Dump all the Creds!               |
| [][] [][][][][][][][][][][][][][_] [][][][]  |
| [][] [_][][][][][][][][][][][][][] [][][][]  |
| [][] [__][][][][][][][][][][][][_] [][][][]  |
| [][] [___][][][][][][][][][][][__] [__][][]  |
|          [_][______________][_]              |
|          Lefteris (lefty) Panos              |
|______________________________________________|

Злоупотребление привилегией SeTrustedCredmanAccessPrivilege для дампа пользовательских учетных данных

Программа позволяет выполнять дамп сохраненных учетных данных, которые могут быть у пользователя в Диспетчере учетных данных Windows.

Это полезный прием в случаях, когда есть оболочка с повышенными привилегиями и в систему одновременно вошли несколько пользователей.

Шаги

1. Находит подходящий процесс WinLogon пользователя, чьи учетные данные нужно сбросить
2. Открывает процесс WinLogon с доступом PROCESS_QUERY_LIMITED_INFORMATION
3. Дублирует токен с доступом TOKEN_DUPLICATE
4. Преобразует токен в токен олицетворения
5. Включает привилегию SeTrustedCredmanAccessPrivilege
6. Открывает целевой процесс пользователя
7. Похищает и олицетворяет целевого пользователя
8. Вызывает CredBackupCredentials, олицетворяя токен WinLogon, передавая путь для записи и пароль NULL для отключения шифрования пользователя
9. Продолжая олицетворение, открывает файл и расшифровывает его с помощью API CryptUnprotectData
10. Удаляет файл

Использование

backupcreds [PID of target user] [path to save file]

Необходимо запускать из контекста с повышенными привилегиями.

OPSEC

В настоящее время записывает данные на диск по указанному оператором пути. По завершении удаляет файл. Обращается к процессу WinLogon.

Благодарности

• Основано на https://www.tiraniddo.dev/2021/05/dumping-stored-credentials-with.html
• Использует части SharpDPAPI (https://github.com/GhostPack/SharpDPAPI/)
• Респект @eksperience за помощь с парсингом и Nettitute RT