Credenciales en el registro
Subtécnica de T1552 Credenciales sin proteger ↗
Leer contraseñas guardadas en el registro de Windows: autologon, PuTTY, VNC o software de terceros.
Cómo aparece en Hack The Box
winPEAS lo revisa solo, pero a mano empieza por Winlogon (DefaultPassword) y las claves de software instalado en HKLM y HKCU.
Técnicas de nuestro catálogo que corresponden a esta (el número son sus máquinas):
Máquinas para practicarla
Ordenadas de más fácil a más difícil. El enlace ▶ te lleva al minuto del vídeo de IppSec donde se usa.
Guías
- Volcado de credenciales en Windows: SAM, LSA, LSASS, DPAPI y NTDS.dit 4 min de lectura Dónde guarda Windows las credenciales y cómo sacarlas: SAM y SYSTEM, secretos LSA, LSASS con lsassy o pypykatz, DPAPI y NTDS.dit con SeBackup.
Comandos
Sacados de nuestras chuletas y fichas de herramientas. Escribe tus datos y se rellenan en todos los comandos.
Escalada en Windows y Active Directory › Windows
Comprobar (las dos claves a 1)
reg query HKLM\SOFTWARE\Policies\Microsoft\Windows\Installer /v AlwaysInstallElevated
reg query HKCU\SOFTWARE\Policies\Microsoft\Windows\Installer /v AlwaysInstallElevated
Autologon en el registro
reg query "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon"Ningún comando coincide.