גניבת סיסמה מזיכרון המחשב
עם Mimikatz
וונדוס 11

תמלול ההרצאה: גניבת סיסמה מזיכרון המחשב עם Mimikatz וונדוס 11

הטקסט המלא של הדקות הראשונות בהרצאה «גניבת סיסמה מזיכרון המחשב עם Mimikatz וונדוס 11» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

1. 00:02

   שלום לכולם בהרצאה הזו אנחנו נדבר על מימיקאץ בווינדוס 11 ואיך אנחנו שולפים סיסמה מתוך הזיכרון מתוך הרם של המחשב בהרצאה הקודמת ראינו איך לשלוף סיסמה מתוך הדיסק אבל זה לא מספיק טוב לי כי לפעמים היוזרים והסיסמאות שלהם שמורים בשרת המרכזי ואני שולט רק על תחנת עבודה אחת שהצלחתי לפרוץ אליה שזה יכול להיות ווינדוס

2. 00:28

   11 נניח שלחתי להם מייל פישינג והשתלטתי על תחנה אבל אני רוצה להגיע למידע שנמצא בשרתים שליוזר הנוכחי אין גישה לשם השאלה איך אני משתלט, איך אני שולף סיסמה של יוזר אחר אם הוא היה שמור אצלי במחשב לוקאלית לא הייתה בעיה ראינו בסרט קודם איך אפשר לשלוף סיסמה של יוזר כלשהו שהוא מקומית בתחנה, בלא כלכן

3. 00:54

   אבל במציאות בארגונים, ברשתות, הסיסמאות לא נמצאות בתחנה מסוימת הן נמצאות בשרת וכל תחנה הולכת לשרת המרכזי שנקרא Domain Controller, שרת DC, ובודקת מולו את הסיסמה.

4. 01:11

   אז איך נצליח לגנוב, לשלוף את הסיסמה של יוזר אחר? והתשובה היא, מתוך זיכרון של המחשב, אנחנו נחכה שיוזר שאנחנו רוצים לגנוב לו את הסיסמה ייכנס לתוך המחשב הזה שאנחנו שולטים עליו.

5. 01:27

   אנחנו נעשה את זה עם Task Manager, אנחנו נחכה כאן כאשר השירות של אלסאס Local Security Authority הוא זה ששומר סיסמאות של כל היוזרים שעשו לוגין למחשב. הוא שומר את הסיסמאות האלו כדי לעשות חיים נוחים למשתמש שאם המשתמש ירצה לקחת קובץ כלשהו מאיזשהו שרת הוא לא יצטרך להקיש כל פעם שם וסיסמה כל שירותי הרשת דורשים עימות והשירות הזה של אלסאס מעביר לשרת המרוחק

6. 01:59

   לזה שאני מתחבר אליו את הסיסמה שלי בלי להטריד אותי. בזכות השירות הזה אני פעם אחת נכנס לווינדוס בתחילת היום לתחנת עבודה שלי ואחרי זה מטייל בכל הרשת חופשי ולא צריך כל שנייה להקיש שם וסיסמה בכל התחברות לכל שרת.

7. 02:17

   האלסאס הזה, לוקל סיקיוריטי אות'וריטי, זוכר את הסיסמה שלי בלוגין בכניסה וכל פעם ששרת מרוחק רוצה לבדוק מי הולך להתחבר אליו הוא מספק את השם והסיסמה שלי.

8. 02:29

   בקיצור, אלסאס יש לו קאש של כל סיסמה של כל יוזר שעשה לו גין לתחנה הספציפית הזאת. ואם האדמיניסטרטור של הרשת או איזשהו יוזר אחר ייכנס לתחנה הזאת, אני אוכל לגנוב מכאן את הסיסמה.

9. 02:44

   כי אני שולט על המחשב הזה, המחשב הזה כאילו נפרץ. אני האדמיניסטרטור על המחשב הזה, ואני מחכה שמנהל רשת שיש לו הרשאות על כל השרתים ועל כל המערכות ייכנס לתחנה הזאת, לתחנה שלי, ואני אשתלט לו על הסיסמה.

10. 02:59

    כי אני אשלוף אותה מתוך ה-cash. בואו נראה איך זה קורה הלכה למעשה. הורדנו תוכנת מימיקאץ בסרטון קודם, מימיקאץ טראנק. פותחים CMD עם הרשאות של אדמיניסטרטור, Run as Administrator, כי אנחנו צריכים זכות להיכנס לזיכרון רם של אלסאס, של אקזה אחר, של תוכנה אחרת.

11. 03:20

    אז מימיקאץ הולך להיכנס לזיכרון שלו ולשלוף משם סיסמאות. אנחנו בווינדוס 11. אני קודם כל עובר לתיקייה של מימיקאץ, מעריץ אותו, מימי קאץ אקזה.

12. 03:31

    מעריץ דיבאג, נותן לי זכות להיכנס לתוכנות אחרות. ועכשיו אני רוצה להעריץ במקום LSA Dump מתוך הדיסק, Dump מתוך ה-RAM, מתוך הזיכרון.

13. 03:43

    יש מודול שנקרא Secure LSA, לוגון פסוורדס, כל הפסוורדים שבלוגין, ואני מקבל פה אירו שגיאה. למה? כי בווינדוס 11 הם שינו את אופן הפעולה של ווינדוס, וכברירת מחדל, לא מצליח לשלוף סיסמאות מתוך הזיכרון.

14. 04:02

    מתוך הדיסק הוא מצליח, מתוך הזיכרון הוא לא מצליח. אז מה עושים? אנחנו באים לטאסק מנאג'ר ועושים right click על אלסאס ו-create memory dump file.

15. 04:12

    זה אומר לצלם את מצב הזיכרון של התהליך הזה. אני עושה אוקיי, הוא שם לי את זה בקובץ אלסאס נקודה דאמפ, אני יכול להגיד לו open file location, יש פה כפתור, הנה הקובץ, ובתוך הקובץ הזה שמור כל הזיכרון של אלסאס, ורק צריך לפענח אותו.

16. 04:29

    בואו שנייה נעתיק את הקובץ של אלסאס נקודה דאמפ בקופי לתיקיה של מימי קאץ. נעשה פה קופי פייסט. זה הדאמפ, זה הצילום של כל הזיכרון של אלסאס שיש בתוכו את כל הסודות של ווינדוס כולל היוזרים שעשו לוגין ואנחנו בתוך מימי קאץ רוצים להגיד לו מיני דאמפ לקובץ הזה.

17. 04:50

    זה אומר תנתח לי את הקובץ בוא נראה אם הוא יצליח ואתם רואים שהוא אומר לי שהוא מתחיל לעבוד במקום זיכרון עם הקובץ ועכשיו אני עושה לו עוד פעם את הלוגון פסוורדס ואתם רואים שוב שיש לו אירו בקיצור מי מקץ לא יודע לפענח את הדאמפ של ווינדוס 11 המעודכן אז אין לנו מה לעשות עוברים לכלי אחר לוקחים את האלסאס הזה את הדאמפ הזה מעתיקים אותו לתוך קאלי בואו תראו שיטה פשוטה להעתיק אני

18. 05:23

    אני פותח תיקייה ריקה אצלי במחשב הפיזי, מעתיק לפה את ה-elsasdump, עושה עוד פעם קופי והולך למכונה וירטואלית השנייה של קאלי ומדביק את זה פה. זה גם מה שנהוג כשאני כאקר רוצה לפענח דברים בצד, יש לי את הדאמפ.

19. 05:41

    איך אני פותח אותו? בעזרת כלי שנקרא ppcats,