从防病毒软件中转储明文密码凭据

从防病毒软件中转储明文密码凭据

我没有什么“疯狂的事”可以分享,现在让我告诉你一个故事。

在我过去的一次渗透测试中,我参与了对网络的内部渗透测试,并假设了一个漏洞场景。我可以像普通员工一样使用机器。

那么,你要做的第一件事是什么?
我试过运行一些枚举脚本,但我没有那么小心,杀毒软件被触发了。不久之后,蓝队通知我我的行为已被注意到,他们向我提供了防病毒软件的图片,并向他们发送了一封警报电子邮件。这让我想知道,防病毒软件究竟是如何发送电子邮件的?

安装的防病毒软件是 ESET。我已经开始浏览它的设置,并且遇到了电子邮件通知。

从防病毒软件中转储明文密码凭据

基本上,每当 ESET 捕获到某些内容时,它就会发送电子邮件通知。

从防病毒软件中转储明文密码凭据

根据安装和权限,您可能无法编辑防病毒软件中的任何设置。在我的场景中就是这种情况,我有只读权限

我尝试了各种方法来读取这些凭据,除此之外,我还尝试了 ESET 的导出功能,希望以明文形式导出电子邮件凭据。

从防病毒软件中转储明文密码凭据

当然,密码是加密的。

从防病毒软件中转储明文密码凭据

然后我想到,如果凭据被加密,ESET 如何发送电子邮件?它使用 SMTP,当然它需要明文凭据才能对 SMTP 服务器进行身份验证。

所以从那个点有 2 条可能的路线。找到密钥并解密凭据或转储进程内存并搜索凭据。猜猜我选了哪一个。是的,我选择了懒惰的。

我使用了任务管理器,找到了进程并转储了它的内存。

从防病毒软件中转储明文密码凭据
从防病毒软件中转储明文密码凭据

通过转储文件简单搜索“SMTP_”即可得到明文凭据。

findstr SMTP_ <dump_file>
从防病毒软件中转储明文密码凭据

我希望我能告诉你我获得的凭证是如何成为域管理员的,或者我是如何设法窃取整个域的,但遗憾的是事实并非如此。我只能以该用户的身份发送电子邮件。

我希望你觉得这很有用,下次不要忘记检查目标的防病毒配置。

雨苁:比如卡巴斯基就不能导出内存

从防病毒软件中转储明文密码凭据
从防病毒软件中转储明文密码凭据

from

转载请注明出处及链接

Leave a Reply

您的电子邮箱地址不会被公开。 必填项已用*标注