GhostKatz

通过滥用带有签名的易受攻击驱动程序，利用 MmMapIoSpace 直接读取物理内存，从 LSASS 中提取凭据，从而绕过传统的用户态检测能力。

本工具由 Julian Peña 与 Eric Esquivel 合作开发。

此版本的 GhostKatz 使用了已公开披露为易受攻击的驱动程序。为获得最佳效果，GhostKatz 旨在配合暴露读取内存原语漏洞且加载时未被阻止/公开已知的内核驱动程序使用。本次公开发布不包括针对此前未公开驱动程序的利用代码。相反，该项目设计为模块化且可扩展，允许用户研究自己的驱动程序，并通过扩展 utils.c 中的读取内存原语函数来集成它们。在内部，我们已自动化发现和利用过程，并维护了几个带有编写好的利用代码的已签名内核驱动程序。

如果您想贡献，请参阅 贡献文档。

我们为什么制作 GhostKatz？

我们想开始学习如何利用内核驱动程序，并认为这将是一个很酷的项目。此外，当我们看到 Outflank 的 KernelKatz 工具并想使用它时受到了启发，但由于我们是学生，无法获得 Outflank 工具，因此我们自己制作了一个。

使用说明

运行 make 编译 BOF。

将 ghostkatz.cna 攻击脚本加载到您的脚本管理器中。

要运行 GhostKatz，请使用命令 ghostkatz [logonpasswords/wdigest] -prv <provider id>。

您可以在 Beacon 控制台中运行帮助命令：help ghostkatz。

beacon> help ghostkatz
Synopsis: ghostkatz [logonpasswords/wdigest] -prv <provider id>
Description:
  通过使用已签名的内核驱动程序读取物理内存来从 LSASS 中转储凭据。

Examples:
  ghostkatz logonpasswords -prv 1
  ghostkatz wdigest

演示

已测试的 Windows 版本

以下是我们手动压力测试过的版本。主要版本（如 1607）在较小的内部版本更新中不应有破坏性变化。

• Windows Server 2012 R2
  • 版本 6.3（操作系统内部版本：9600）
• Windows Server 2016
  • 版本 1607（操作系统内部版本：14393.693）
• Windows Server 2019
  • 版本 1809（操作系统内部版本：17763.3650）
• Windows 10
  • 版本 21H2（操作系统内部版本：19044.6809）
  • 版本 22H2（操作系统内部版本：19045.6466）
• Windows Server 2022
  • 版本 21H2（操作系统内部版本：20348.587）

[!警告] 尽管 GhostKatz 已经过全面测试，但如果您在生产环境中部署，应谨慎使用。GhostKatz 利用了易受攻击的内核驱动程序。错误可能导致蓝屏死机（BSOD）。

提供者

可利用 GhostKatz 的驱动程序

资源

• Outflank - 使用 Superfetch 将虚拟地址映射到物理地址
• UnknownCheats - [信息] 由 Midi12 提供的 NtQuerySystemInformation SystemSuperfetchInformation
• Physical Graffiti Lsass
• 使用 WinDBG 和 PyKD 转储 LSASS
• Mimkatz 结构体，密钥偏移
• 转储 MSV1 登录凭据
• XPN 探索 Mimikatz WDigest

特别感谢

感谢 ch3rn0byl 和 Cedric 花时间回答我们关于内核、驱动程序和 Superfetch 的愚蠢问题。