T1003.002: 安全账户管理器

摘要

攻击者可能尝试通过内存中技术或存储 SAM 数据库的 Windows 注册表，从安全账户管理器（SAM）数据库中提取凭据材料。SAM 是一个包含主机本地账户的数据库文件，通常可通过 <code>net user</code> 命令找到这些账户。枚举 SAM 数据库需要 SYSTEM 级别访问权限。 可使用多种工具通过内存中技术获取 SAM 文件： * pwdumpx.exe * [gsecdump](https://attack.mitre.org/software/S0008) * [Mimikatz](https://attack.mitre.org/software/S0002) * secretsdump.py 或者，可以使用 Reg 从注册表中提取 SAM： * <code>reg save HKLM\sam sam</code> * <code>reg save HKLM\system system</code> 随后可使用 Creddump7 在本地处理 SAM 数据库以获取哈希。(Citation: GitHub Creddump7) 说明： * RID 500 账户是本地内置管理员。 * RID 501 是来宾账户。 * 用户账户的 RID 从 1,000+ 开始。