T1556.005: 可逆加密

摘要

攻击者可能滥用 Active Directory 身份验证加密属性，以在 Windows 系统上获取凭据。<code>AllowReversiblePasswordEncryption</code> 属性指定是否为账户启用可逆密码加密。默认情况下，此属性被禁用（而是将用户凭据存储为单向哈希函数的输出），除非旧版或其他软件需要，否则不应启用。(Citation: store_pwd_rev_enc) 如果该属性被启用和/或用户在启用后更改了密码，攻击者可能能够获取在属性启用后创建/更改的密码的明文。要解密密码，攻击者需要四个组成部分： 1. 来自 Active Directory 用户结构 <code>userParameters</code> 的加密密码（<code>G$RADIUSCHAP</code>） 2. 同样来自 <code>userParameters</code> 的 16 字节随机生成值（<code>G$RADIUSCHAPKEY</code>） 3. 全局 LSA 机密（<code>G$MSRADIUSCHAPKEY</code>） 4. 远程访问子身份验证 DLL（<code>RASSFM.DLL</code>）中硬编码的静态密钥 有了这些信息，攻击者可能能够重现加密密钥，并随后解密加密的密码值。(Citation: how_pwd_rev_enc_1)(Citation: how_pwd_rev_enc_2) 攻击者可能通过各种范围设置此属性，包括本地组策略编辑器、用户属性、细粒度密码策略（FGPP），或通过 ActiveDirectory [PowerShell](https://attack.mitre.org/techniques/T1059/001) 模块。例如，如果域功能级别设置为 "Windows Server 2008" 或更高，攻击者可能对用户或组实施并应用 FGPP。(Citation: dump_pwd_dcsync) 在 PowerShell 中，攻击者可能使用类似于 <code>Set-ADUser -AllowReversiblePasswordEncryption $true</code> 的命令对用户设置进行相关更改。