T1556.002: 密码筛选器 DLL

摘要

攻击者可能将恶意密码筛选器动态链接库（DLL）注册到身份验证过程中，以在验证用户凭据时获取它们。 Windows 密码筛选器是用于域和本地账户的密码策略强制机制。筛选器实现为 DLL，其中包含一种根据密码策略验证潜在密码的方法。筛选器 DLL 可以定位在本地计算机上用于本地账户和/或域控制器上用于域账户。在将新密码注册到安全账户管理器（SAM）之前，本地安全机构（LSA）会请求每个已注册筛选器的验证。任何潜在更改都要等到每个已注册筛选器确认验证后才能生效。 攻击者可以注册恶意密码筛选器，从本地计算机和/或整个域收集凭据。为执行正确的验证，筛选器必须从 LSA 接收明文凭据。恶意密码筛选器将在每次发出密码请求时接收这些明文凭据。(Citation: Carnal Ownage Password Filters Sept 2013)