Mimikatz之DPAPI学习与实践

桃扇骨 2022-02-19 01:51 496阅读 0赞

## 0x00 前言 ##

本文就讲解下Windows下的DPAPI，并且利用mimikatz来解密那些由DPAPI加密的文件。本文使用mimikatz版本2.1.1-20180820，Chrome 版本68.0.3440.106 (Official Build) (64-bit)。

## 0x01 什么是DPAPI ##

DPAPI 英文全称：Data Protection API ，顾名思义就是用来保护数据的接口。这个接口在windows中大量的使用来加密数据，比如chrome的cookies和login data。

更多的详情可以看[这篇文章][Link 1]。 在这里我大致的把这篇文章总结下也是更加详细的介绍DPAPI：

1.DPAPI 使用了叫做`Master Key`的东西，用来解密和加密。`Master Key` 并不会存在在磁盘上，是通过用户的密码HASH加密生成。

2.`Master Key` 的第一种实现方式用用户NTLM Hash来加密。由于NTLM Hash在Windows中有着各种重要的作用，而且NTLM Hash是存储在SAM文件中，只要攻击者获取到Hash就可以用来生成`Master Key`来解密数据了。所以为了防止这样的事，就有了第二种：直接用用户密码生成，函数：`SHA‑1(UTF16LE(user_password))` 。

就算攻击者获取到NTLM，如果不能解密出用户的密码不能生成`Master Key`。

3.文章中还提到了`ARSO`和`TBAL` 。ARSO 英文全称：Automatic Restart Sign-On 。TBAL 文中作者猜测AL是Auto Logon，不清楚TB什么意思。但是评论中有个猜测是Trusted Boot Auto Logon。都是在WIndows 8和Windows 10中才添加的新特性，就是保存了用户会话，恢复到重启之前的状态，也就是在重启之前密码都保存在磁盘中，具体可以看看文章的详细说明。

4.视频演示了整个过程，关闭虚拟机，通过挂载磁盘的方式，来读取security与system文件获取TBAL中保存的SHA1 HASH，之后通过这个HASH与用户的GUID就可以解密得到`Master Key`。其中也有这样一句话：`but if it were a real computer, imagine physically connecting the HDD to your machine.` 所以~~

微软[官方文章][Link 2]更加详细介绍了生成`Master key`与加密`Master Key`，及怎么备份。而上面第四步就是解密，我这里利用一个在线工具演示下生成`Matser key`。

[![t018f1da79c3422ef81.png][]][t018f1da79c3422ef81.png]

## 0x02 DPAPI的利用 ##

### 1.Chrome Cookies/Login Data ###

本地用户登录时，解密Cookies：

`dpapi::chrome /in:"%localappdata%GoogleChromeUser DataDefaultCookies" /unprotect`

[![t013b6c14d4b193dcfe.png][]][t013b6c14d4b193dcfe.png]

如果通过某些方式从其它电脑获取到cookie到本地：

先执行上面这条命令看看，会报错：

[![t015f39ba8a924da60f.png][]][t015f39ba8a924da60f.png]

提示需要GUID \{219d25e6-27f5-4754-8bcb-2aa77df53b68\} 这个用户的`Master key`才能解密，所以在你拿回这个cookie文件时，要把那个机器的masterkey导出一下，两个命令`privilege::debug` `sekurlsa::dpapi`：

[![t01d982ef82ed8d2d6a.png][]][t01d982ef82ed8d2d6a.png]

接下来就`dpapi::chrome /in:"c:tempCookies" /masterkey:上图的masterkey值 /unprotect`

[![t01de2424f08fc7b540.png][]][t01de2424f08fc7b540.png]

而如果是域用户的话，是由域用户的master key就是由域的DPAPI key来保护的，`lsadump::backupkeys /system:DC CONTROLLER /export`会得到一个PVK文件，可以用来解密所有域用户的Master Key，而且这个key是不会改变的。`dpapi::masterkey /in:"C:UsersxxxxxAppDataRoamingMicrosoftProtectsid值ca748af3–8b95–40ae-8134-cb9534762688" /pvk:导出的PVK文件`这里就可以解密得到域用户的Master Key值。然后跟上面一样`dpapi::chrome /in:Cookies /masterkey:a3fv34aedd7...`，这样就能解密Cookies的内容了。

导出pvk:

[![t01f4b3d06042a3b416.png][]][t01f4b3d06042a3b416.png]

利用PVK解密得到masterkey值，后面一样解密就是了：

[![t0162bd9a2beda398ca.png][]][t0162bd9a2beda398ca.png]

解密保存的密码跟上面类似，把传入文件改成login data：

[![t011dfaf304ecbf97da.png][]][t011dfaf304ecbf97da.png]

### 2.Rdg 文件 ###

最新release版本添加了解密rdg的功能，windows中`C:WindowsSystem32configsystemprofileAppDataLocalMicrosoftCredentialsxxx`中保存的信息与WIFI密码的保存都是利用了DPAPI来加密：

[![t01dbb79d67fea8fcb1.png][]][t01dbb79d67fea8fcb1.png]

先向DC进行RPC查询出key，利用key，`dpapi::cred /in:C:UsersxxAppDataLocalMicrosoftCredentialsxxxxx /unprotect /masterkey:X`解密Credentials下保存的凭据：

[![t017b6b8f90bc6b6be4.png][]][t017b6b8f90bc6b6be4.png]

## 0X03 总结 ##

现在mimikatz功能越来越多，并不是所有功能都会在当时的渗透环境中使用，其实大家完全可以把其中每个模块单独分出来用，这样体积可以减少，而且还可以过下静态查杀。windows下还有很多接口是MSDN中没有文档或者很少文档的，很多大佬应该都FUZZ出来一些了。可以看看这位[BLOG][] 经常有windows的一些TRICKS。

本文由安全客原创发布   
转载，请参考[转载声明][Link 3]，注明出处： [https://www.anquanke.com/post/id/158667][https_www.anquanke.com_post_id_158667]   
安全客 - 有思想的安全新媒体

[Link 1]: http://vztekoverflow.com/2018/07/31/tbal-dpapi-backdoor/
[Link 2]: https://msdn.microsoft.com/en-us/library/ms995355.aspx%20userpassword+sha-1+random%2016%20bytes+4000%20pbkdf2
[t018f1da79c3422ef81.png]: /images/20220219/a21f45cedc324b7495002d889ca3d687.png
[t013b6c14d4b193dcfe.png]: /images/20220219/f5cab117de4d45eda6b585705c037493.png
[t015f39ba8a924da60f.png]: /images/20220219/41f58a9373d34d4ba8eaf7df0d688e0c.png
[t01d982ef82ed8d2d6a.png]: /images/20220219/7793b399857148888d02d20ee02f9b4d.png
[t01de2424f08fc7b540.png]: /images/20220219/13e498c1b1c24cfebfa7b3c5b1979827.png
[t01f4b3d06042a3b416.png]: /images/20220219/f00561f0e3854745808042e3915c4c6c.png
[t0162bd9a2beda398ca.png]: /images/20220219/73330348ca864feab09da32369fe0b12.png
[t011dfaf304ecbf97da.png]: /images/20220219/adf6e63af0dc4e91904cd64ffe48dde0.png
[t01dbb79d67fea8fcb1.png]: /images/20220219/9b19237c557f4a8a9338509df30a2f07.png
[t017b6b8f90bc6b6be4.png]: /images/20220219/df91a9e717ee48278cc44ec9d32cf8d4.png
[BLOG]: http://www.hexacorn.com/blog/
[Link 3]: https://www.anquanke.com/note/repost
[https_www.anquanke.com_post_id_158667]: https://www.anquanke.com/post/id/158667