T1003.001: LSASS 内存

摘要

攻击者可能尝试访问存储在本地安全机构子系统服务（LSASS）进程内存中的凭据材料。用户登录后，系统会在 LSASS 进程内存中生成并存储各种凭据材料。管理员用户或 SYSTEM 可采集这些凭据材料，并使用[使用替代身份验证材料](https://attack.mitre.org/techniques/T1550)来执行[横向移动](https://attack.mitre.org/tactics/TA0008)。 除了内存中技术外，还可以从目标主机转储 LSASS 进程内存，并在本地系统上进行分析。 例如，在目标主机上使用 procdump： * <code>procdump -ma lsass.exe lsass_dump</code> 在本地，可以使用以下方式运行 mimikatz： * <code>sekurlsa::Minidump lsassdump.dmp</code> * <code>sekurlsa::logonPasswords</code> 还可以使用 `comsvcs.dll` 等 Windows 内置工具： * <code>rundll32.exe C:\Windows\System32\comsvcs.dll MiniDump PID lsass.dmp full</code>(Citation: Volexity Exchange Marauder March 2021)(Citation: Symantec Attacks Against Government Sector) 与[映像文件执行选项注入](https://attack.mitre.org/techniques/T1546/012)类似，可以滥用静默进程退出机制，通过 Windows 错误报告（`WerFault.exe`）创建 `lsass.exe` 的内存转储。(Citation: Deep Instinct LSASS) Windows 安全支持提供程序（SSP）DLL 会在系统启动时加载到 LSASS 进程中。一旦加载到 LSA，SSP DLL 便可访问 Windows 中存储的加密和明文密码，例如任何已登录用户的域密码或智能卡 PIN 码。SSP 配置存储在以下两个注册表项中：<code>HKLM\SYSTEM\CurrentControlSet\Control\Lsa\Security Packages</code> 和 <code>HKLM\SYSTEM\CurrentControlSet\Control\Lsa\OSConfig\Security Packages</code>。攻击者可能修改这些注册表项以添加新的 SSP，这些 SSP 将在系统下次启动时或调用 AddSecurityPackage Windows API 函数时被加载。(Citation: Graeber 2014) 以下 SSP 可用于访问凭据： * Msv：交互式登录、批处理登录和服务登录均通过 MSV 身份验证包完成。 * Wdigest：摘要式身份验证协议设计用于超文本传输协议（HTTP）和简单身份验证安全层（SASL）交换。(Citation: TechNet Blogs Credential Protection) * Kerberos：在 Windows 2000 及更高版本中优先用于客户端-服务器双向域身份验证。 * CredSSP：为远程桌面服务提供 SSO 和网络级身份验证。(Citation: TechNet Blogs Credential Protection)