הסבר על mimikatz
פרקי ההרצאה: הסבר על mimikatz
תמלול ההרצאה: הסבר על mimikatz
הטקסט המלא של הדקות הראשונות בהרצאה «הסבר על mimikatz» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
שלום לכולם, ברוכים הבאים להרצאה על מימיקאץ, שזה כלי מדהים שיודע לחלץ סיסמאות מתוך זיכרון של המחשב, תוך כדי פעולה של הווינדוס.
דרך אגב, מייקרוסופט מנסים להילחם בזה, כן? שלא תחשבו שמייקרוסופט נורא שמחים מהאופציה הזאת. מייקרוסופט עשו פיצ'ר מיוחד שנקרא Credentials Guard, הם עשו אותו רק ב-2020, ורק עבור Windows Enterprise Edition, אפילו גרסת ווינדוס שרק ארגונים גדולים מקבלים
אותה וגם רק ב-2020 הם עשו את זה, שעושה איזוליישן, מבודד את ה-elsas הזה. למה הם מבודדים אותו? למה הם עושים לו איזוליישן? כדי למנוע מהתוקפים גנבה של credentials, שלא נוכל לגנוב את הסיסמאות, את השם והסיסמה מתוך הזיכרון שלו.
אז הם עשו מעין וירטואליזציה כזאת, שם אותו כאילו במכונה וירטואלית וכדי לבקש ממנו איזשהו שירות צריך לפנות לפרוקסי, למתווך והמתווך הזה שואל אותו, שואל אותי ונותן לי תשובות.
אבל מה? לא נותן לי כהאקר לחטט אצלו בזיכרון. למה? כי הזיכרון של אלסאס עצמו הוא מוצפן כמו מכונה וירטואלית מוצפנת בזיכרון.
אז זה מה שמייקרוסופט מנסים לעשות כי הם מודעים לבעיה הזאת. אז אנחנו נשתמש בכלי של מימיקאץ שהוא אופן סורס שיש לנו את כל הקוד מקור שלו בגלל זה אנחנו יכולים לשנות אותו כדי שאנטיווירוס לא יתפוס אותו לשנות כל פעם משהו שאנטיווירוס יחשוב שזה תוכנה חדשה
view and save authentication credentials לראות ולשמור את פרטי העימות של המשתמש שזה הסיסמאות זה התעודות הדיגיטליות הכל בוא ניכנס לזה אנחנו נכנסים ופה הוא כותב שהוא יודע לשלוף את הפסוורדים מזיכרון, מתוך ארדיסק, הוא יודע לשלוף תעודות דיגיטליות, כולל פרייבט קיז, מפתחות פרטיים הסודיים שבתוך התעודה.
בקיצור, זה כלי ממש ממש מדהים. אנחנו יכולים לקחת את הקוד שלו, זה קוד מקור, ולקרוא אותו. הוא כתוב בשפת C, וצריך את השפת C להפוך לשפת מכונה.
אני לא רוצה להתעסק בזה לבד, אני סומך על מי שעשה את זה שהוא עשה הכל טוב אני לא קורא את הקוד שלו אני סומך עליהם שלא יכניסו לנו איזה וירוס ואני מוריד ישר את האגזה שלו אתם רואים פה יש לנו פה את הריליז הגרסה האחרונה כרגע זה 220 ואני מוריד לא את הקוד מקור כי אני לא רוצה להתחיל לתכנת ולשנות אותו אני ישר מוריד את הזיפ מה שחשוב זה לנתק את האנטיווירוס
כן זאת אומרת כי אנטיווירוס מזהה את זה כווירוס אנחנו מנתקים אותו.
להתחמק מאנטיווירוס זאת לא בעיה, צריך לשנות איזושהי מילה שהוא מחפש. אם אנחנו נשנה בתוך קוד מקור משהו שהוא מחפש, הרי אנטיווירוס מחפש מילים מסוימות בקוד בתוך התוכנה, הוא עובר על כל התוכנה ומחפש מילים מסוימות.
בגדול אני יכול להוריד את קוד המקור, להפוך כל מיני מילים, ואז האנטיווירוס כבר לא יזהה את זה. ויש דברים שעושים את הטריק הזה אוטומט, ואחרי שאני עושה את זה, כבר לא תהיה לי בעיה עם האנטיווירוס.
תדעו שצריך לנטרל את האנטיווירוס, אחרת הוא לא ייתן לכם להוריד את הקובץ. טוב, הורדנו את הקובץ, בואו נעשה לו unzip. אני עושה לו unzip. הנה, נהיה לנו unzip, ואת קובץ זיפ אני מוחק.
נכנס ל-unzip. יש לנו גרסת 32-ביט ו-64-ביט. נכנסים ל-64-ביט. אנחנו עושים על המימיקאץ הזה right-click run as administrator. למה run as administrator?
כי אני צריך את ה-debug privilege הזה, הזכות הזאת אחרת היא פשוט לא תהיה קיימת אם אני אפעיל את זה בלי זה אז אני אעשה run as administrator זה שיש לי את הזכות הזאת זה לא אומר שאני כבר משתמש בה אני צריך לבקש אותה באופן מפורש זה כמו נצרה שצריך לפתוח אותה אנחנו בתוך המימיקאדס יש לו בפנים מודולים שימו לב יש לו מודול סטנדרטי שזה הבסיס אנחנו יכולים לעשות סטנדרט נקודתיים ולראות
מה יש לנו בתוך מודול כמו לצאת לנקות מסך הכי חשוב לי זה קובץ לוג לכתוב קובץ לוג למה זה כל כך חשוב לי כי בקובץ לוג נורא קל לחפש מאשר על המסך כל מה שיקרה פה גם יירשם בקובץ לוג כאן בוא נראה איך עושים את זה אני כותב שם של מודול שם של פונקציה במודול שם של פקודה בתוך המודול ואיזשהו פרמטר לדוגמה קובץ לוג בואו תראו
מה קרה הופה נהיה לנו פה קובץ לוג ובפנים נורא קל לחפש כי יש לנו פה edit ויש לנו ו-Find, ואנחנו יכולים לחפש עם כל מיני כלים בקובץ לוג.
אז אני יכול לעשות סטנדרט, נקודתיים, ורז'ן, ואז בקובץ לוג ייכתב לנו הפלט, שזה גרסת 64 ביט, שזה בדיוק מה שכתוב על המסך.
רק במקום לחפש דברים על המסך, אני אוכל לחפש גם בקובץ לוג. אז יש לי גם קובץ לוג וגם מסך. דרך אגב, אני לא חייב לרשום שם של מודול, אני יכול ישר לרשום מילת ורז'ן, וזהו.
זה אותו דבר. יש כאן עוד כל מיני פקודות, אני כרגע לא רוצה להסביר לכם כל פקודה אפשרית. למה? כי יש פה המון המון המון המון פקודות במימיקאץ הזה שמעל לעשר שנים הוא התפתח.
דברים הכי מעניינים, מודולים הכי מעניינים. קריפטו, מודול קריפטו, מה הוא עושה? מטפל בכל התעודות הדיגיטליות. זאת אומרת שהוא יודע לטפל בסרטיפיקטס, בתעודות דיגיטליות, במפתחות סודיים בתוך התעודות, הוא יודע להוציא את כל מה שאתם רוצים לגבי תעודה דיגיטלית.
שימו לב, משתמש. יכול להזדהות מול השרת לא רק עם שם וסיסמה, אלא גם עם תעודה דיגיטלית במקום השם שלו. לדוגמה, תעודה דיגיטלית, משתמשים בה בסמארט-קארד, בכרטיס כזה חכם כמו בבנקים, שהפקידה מעבירה כרטיס מנהל, כרטיס חכם, בפנים יושבת תעודה דיגיטלית.
כל הנושא הזה של תעודות דיגיטליות הוא גם יודע לשלוף, לא רק שם וסיסמה, אלא גם הזדהות על ידי תעודה דיגיטלית. זה מודול של קריפטו מטפל בזה. המודול של סקורה סקור LSA מטפל בכל הסיסמאות שיושבות בזיכרון בתוך הראם בתוך הזיכרון עם איזשהו יוזר אסלוגין או כל מיני דברים כאלו שהם נתפסו אצלו בקאש בזיכרון אנחנו יודעים לשלוף אותם סקורה LSA אנחנו יכולים לראות את ה-NTLM credentials שמות וסיסמאות ב-NTLM
בקרברוס שזה בתוך הארגונים השרת המרכזי שמנהל את העימותים הוא למעשה שולף לי את כל מה שקורה ברעם בזיכרון של האלסאס הזה.
סקורה, אנחנו נחזור ונשתמש בו בהמשך, ונראה לי בהרצאה הבאה אנחנו כבר משתמשים במודול הזה. הסקורה שולף מתוך הזיכרון, ואני ישר אקפוץ ואני אדלג למודול שמאוד מאוד דומה לו, ומבלבל אנשים שנקרא LSA Dump.
ה-LSA Dump הזה הוא גם שולף סיסמאות, הוא שולף סיסמאות מתוך רג'יסטרי זאת אומרת לא מתוך הראם אלא מתוך הארדיסק הסקורה שולף מהראם של אלסאס LSA Dump שולף את זה מתוך הארדיסק ואנחנו הולכים לעשות את זה בהרצאה הזאת זאת המטרה של ההרצאה שלנו עכשיו לשלוף את הסיסמאות האלו שיש לנו ברג'יסטרי של המשתמשים כל הנושא של קרברוס שזה עימות בארגונים
כל הנושא של וולט זוכרים כשאנחנו עושים לווינדוס לשמור שם וסיסמה שמים V כזה של לשכור את ה-Credentials Manager, לשכור את השמות והסיסמאות שהקשנו לו כשהתחברנו לאיזשהו שיתוף.
זוכרים את הדבר הזה שפה אנחנו שומרים את הסיסמאות? הוא יודע לשלוף את זה מתוך הכספת הזאתי. זה נקרא Vault או Credentials Manager.