读取不到 hash 怎么绕过

方法一：绕过 EDR/AV 和 LSAProtection

这是最常见的挑战。大多数攻击者会使用 Mimikatz，但它常常被安全软件检测到

• 使用定制或混淆的工具：
  • Mimikatz 的变种： 寻找或自己编译 Mimikatz 的混淆版本（如P-Code、Minidump）。这些版本可能没有被 EDR/AV 的签名库收录
  • 不依赖 Mimikatz 的替代工具： 尝试使用其他开源工具，如 LaZagne 或 DonPAPI。这些工具采用不同的技术来提取凭据，可能绕过某些防御
• 使用内存转储（Memory Dumping）
  • procdump.exe： 这是微软官方的工具，可以合法地转储进程内存。你可以使用它来转储 LSASS 进程，然后在另一台安全的机器上用 Mimikatz 的 sekurlsa::minidump 模块离线分析
  • 注意： 尽管 procdump 是官方工具，但许多 EDR/AV 已经对其进行了监控。你需要小心使用
  • 手动转储： 也可以使用 Powershell 或 C# 编写代码，直接调用 MiniDumpWriteDump API 来转储 LSASS 进程。这比使用现成的工具更隐蔽
• 进程注入与内存补丁
  • 通过注入到合法的进程（如svchost.exe）中，然后从该进程内部转储 LSASS 内存，可以绕过一些基于进程行为的监控
  • PPL（Protected Process Light） 绕过：如果目标启用了 PPL，传统的注入方式会失败。可以尝试利用一些已知漏洞或驱动程序来提升权限并绕过 PPL。例如，使用一些内核驱动加载工具，在内核模式下操作

方法二：不直接读取哈希，而是获取明文密码

如果哈希实在无法获取，可以考虑获取用户的明文密码

• 键盘记录（Keylogging）：
  • 部署一个键盘记录程序（如 PowerSploit 中的 Get-Keystrokes），记录用户在登录或输入密码时的按键
  • 优点： 可以获取明文密码，且绕过了哈希的保护机制
  • 缺点： 实时性差，需要等待用户输入密码，并且容易被杀毒软件检测
• Hooking
  • 通过在登录或凭据输入过程中，Hook 相关的 WinAPI 函数（如 LsaLogonUser），可以截取到明文密码或哈希
  • 优点： 实时性高，可以在用户登录时立即获取凭据
  • 缺点： 实现复杂，需要编写专门的代码，且容易被 EDR/AV 拦截

方法三：利用其他机制获取凭据

除了 LSASS，凭据还可能存储在其他地方

• 注册表（Registry）
  • 某些应用程序（如 Putty、TeamViewer 等）可能会将连接密码以加密或明文形式存储在注册表中。可以使用 LaZagne 或其他专用工具扫描注册表
  • 例如：HKCU\Software\Microsoft\Windows NT\CurrentVersion\Winlogon 下可能会存储自动登录的明文密码
• 服务凭据（Service Credentials）
  • 许多服务使用服务账户运行，这些账户的凭据通常存储在服务配置中。如果权限足够，可以枚举这些服务并尝试读取其配置
• 浏览器、邮件客户端和 FTP 客户端
  • 浏览器（如 Chrome、Firefox）、邮件客户端（如 Outlook）和 FTP 客户端（如 FileZilla）通常会缓存用户的明文密码
  • 可以使用 Mimikatz 的 dpapi:: 模块或专门的工具来解密这些存储的凭据