BackupCreds

________________________________________________
|      _____________________________           |
| [][] _____________________________ [_][_][_] |
| [][] [_][_][_] [_][_][_][_] [_][_] [_][_][_] |
|            Dump all the Creds!               |
| [][] [][][][][][][][][][][][][][_] [][][][]  |
| [][] [_][][][][][][][][][][][][][] [][][][]  |
| [][] [__][][][][][][][][][][][][_] [][][][]  |
| [][] [___][][][][][][][][][][][__] [__][][]  |
|          [_][______________][_]              |
|          Lefteris (lefty) Panos              |
|______________________________________________|

滥用 SeTrustedCredmanAccessPrivilege 转储用户凭据

该程序能够转储用户在 Windows 凭据管理器中存储的凭据。

在存在提权 shell 且当前有多个用户登录的情况下，这是一种有用的技术。

步骤

1. 找到我们要转储其凭据的用户对应的 WinLogon 进程
2. 使用 PROCESS_QUERY_LIMITED_INFORMATION 访问权限打开 WinLogon 进程
3. 使用 TOKEN_DUPLICATE 访问权限复制令牌
4. 将令牌转换为模拟令牌
5. 启用 SeTrustedCredmanAccessPrivilege 权限
6. 打开目标用户进程
7. 窃取并模拟目标用户
8. 在模拟 WinLogon 令牌时调用 CredBackupCredentials，传入要写入的路径和 NULL 密码以禁用用户加密
9. 在仍处于模拟状态时打开文件，并使用 CryptUnprotectData API 解密
10. 删除文件

用法

backupcreds [PID of target user] [path to save file]

必须在提权上下文中运行。

OPSEC

当前会写入操作者提供的磁盘路径。完成后将删除该路径。 访问 WinLogon。

致谢

• 基于 https://www.tiraniddo.dev/2021/05/dumping-stored-credentials-with.html
• 使用了 SharpDPAPI 的部分代码 (https://github.com/GhostPack/SharpDPAPI/)
• 感谢 @eksperience 在解析方面提供的帮助，以及 Nettitute RT